通过修改CR0寄存器绕过SSDT驱动保护
为了安全起见，Windows XP及其以后的系统将一些重要的内存页设置为只读属性，这样就算有权力访问该表也不能随意对其修改，例如SSDT、IDT等。但这种方法很容易被绕过，我们只要将这些部分修改为可写属性就可以了，不过当我们的事情做完后记得把它们恢复为只读属性，不然会造成一些很难预料到的后果 ...
原文：windows SSDT和驱动保护
对于windwos逆向人员来说，不论是写外挂 写病毒 木马，都需要打开其他内存的空间，改写某些关键数据，达到改变其原有执行流程的目的。那么日常的工作肯定涉及到openprocess readprocessmemory writeprocessmemory等函数 这些函数都是怎么被调用的了 windows提供了大量的系统函数供 层的应用调用。这些函数被统一编号，入口地址放在一张表里，编号就是索引， ...
2020-11-07 19:24 0 666 推荐指数：
相关推荐
Windows 64位驱动编程基础与win64 ssdt
Win64编程 32位系统逐渐淘汰,转到64位编程相当重要. 但苦于64位驱动编程网上的资料比较杂乱 这里打算写写关于64位驱动编程的内容,当然大部分内容都是从网上搜集过来的,然后汇集到一起好用来学习. 准备 双机调试, 加载驱动 ...
SSDT Hook实现内核级的进程保护
目录 SSDT Hook效果图 SSDT简介 SSDT结构 SSDT HOOK原理 Hook前准备 如何获得SSDT中函数的地址呢 SSDT Hook流程 SSDT Hook实现进程保护 Ring3与Ring0的通信 如何安装启动停止卸载服务 ...
进程隐藏与进程保护（SSDT Hook 实现）（二）
文章目录： 1. 引子 – Demo 实现效果： 2. 进程隐藏与进程保护概念： 3. SSDT Hook 框架搭建： 4. Ring0 实现进程隐藏： 5. Ring0 实现进程保护： 6. 隐藏进程列表和保护进程列表的维护： 7. 小结 ...
HOOK - 进程隐藏与进程保护（SSDT Hook 实现）（一）
进程隐藏与进程保护（SSDT Hook 实现）（一） 文章目录： 1. 引子 – Hook 技术： 2. SSDT 简介： 3. 应用层调用 Win32 API 的完整执行流程： 4. 详解 SSDT ...
过 DNF TP 驱动保护（二）
过 DNF TP 驱动保护（二） 文章目录： 01. 博文简介： 02. 环境及工具准备： 03. 分析 TP 所做的保护： 04. 干掉 NtOpenProcess 中的 Deep InLine ...
过 DNF TP 驱动保护（一）
文章目录： 01. 博文简介： 02. 环境及工具准备： 03. 分析 TP 所做的保护： 04. 干掉 NtOpenProcess 中的 Deep InLine Hook： 05. 干掉 NtOpenThread 中的 Deep InLine ...
Win10X64 获取SSDT、Shadow SSDT和内核函数地址--Windows内核学习记录
编译环境Windows10 X64 首先通过 msr = (PUCHAR)__readmsr(0xC0000082);获取内核函数入口地址, msr在开启内核隔离模式下获取到的是KiSystemCall64Shadow函数地址,在未开启内核隔离模式下获取到的是KiSystemCall64 ...