x64內核HOOK技術之攔截進程.攔截線程.攔截模塊
x64內核HOOK技術之攔截進程.攔截線程.攔截模塊 一丶為什么講解HOOK技術. 在32系統下, 例如我們要HOOK SSDT表,那么直接講CR0的內存保護屬性去掉. 直接講表的地址修改即可. 但是在64位系統下,不可以這樣操作了. 第一是因為 SSDT表 ...
原文：X64驅動：內核操作進線程/模塊
注意：下面的所有案例必須使用.C結尾的文件，且必須在鏈接選項中加入 INTEGRITYCHECK 選項，否則編譯根本無法通過 整合修正，Win 可編譯，須在測試模式下進行 ，內核代碼相對固定，如果對內核編程不太熟的話，建議不要隨意修改代碼，任何一處錯誤的調用都會導致系統藍屏，大佬繞過 下方所有代碼，均在 Windows LTSC 企業版中測試，經過修改后代碼均無任何問題，放心不會藍屏 內核枚舉進線 ...
2019-10-21 07:50 0 768 推薦指數：
相關推薦
YDArk - About X64內核小工具
https://github.com/ClownQq/YDArk ...
x64內核內存空間結構
0x00 前言 本文主要是討論Windows 7 x64下的內核虛擬地址空間的結構，可以利用WiinDBG調試的擴展命令"!CMKD.kvas"來顯示x64下的內核虛擬地址空間的整體布局。了解內核的地址布局在某些情況下是很有的，比如說在研究New Blue Pill的源碼和虛擬化 ...
win7（X64）+wdk7驅動環境搭建
！！版權聲明：本文為博主原創文章，版權歸原文作者和博客園共有，謝絕任何形式的 轉載！！ 作者：mohist ----- 藍 屏 警 告 --- 加載驅動的操作請在虛擬機中完成， 可以有效避免物理機藍屏 或者其他情況出現 帶來的損失。 1、准備 ...
X64驅動：讀取SSDT表基址
前面的驅動編程相關內容都是在32位環境下進行的，驅動程序與應用程序不同，32位的驅動只能運行在32位系統中，64位驅動只能在64位系統中運行，在WIN32環境下，我們可以各種Hook掛鈎各種系統函數，而惡意程序也可以通過加載驅動進行內核層面的破壞(Rootkit)，大家都可以亂搞，把好端端 ...
x64驅動：DKOM 實現進程隱藏
DKOM 就是直接內核對象操作技術，我們所有的操作都會被系統記錄在內存中，而驅動進程隱藏的做舊就是操作進程的EPROCESS結構與線程的ETHREAD結構、鏈表，要實現進程的隱藏我們只需要將某個進程中的信息，在系統EPROCESS鏈表中摘除即可實現進程隱藏。 DKOM 隱藏進程的本質是操作 ...
深入 x64
本篇原文為 X64 Deep Dive，如果有良好的英文基礎的能力，可以點擊該鏈接進行閱讀。本文為我個人：寂靜的羽夏(wingsummer) 中文翻譯，非機翻，著作權歸原作者所有。 由於原文十分冗長，也十分干貨，采用機翻輔助，人工閱讀比對修改的方式進行，如有翻譯不得當的地方，歡迎批評 ...