通過修改CR0寄存器繞過SSDT驅動保護
為了安全起見，Windows XP及其以后的系統將一些重要的內存頁設置為只讀屬性，這樣就算有權力訪問該表也不能隨意對其修改，例如SSDT、IDT等。但這種方法很容易被繞過，我們只要將這些部分修改為可寫屬性就可以了，不過當我們的事情做完后記得把它們恢復為只讀屬性，不然會造成一些很難預料到的后果 ...
原文：windows SSDT和驅動保護
對於windwos逆向人員來說，不論是寫外掛 寫病毒 木馬，都需要打開其他內存的空間，改寫某些關鍵數據，達到改變其原有執行流程的目的。那么日常的工作肯定涉及到openprocess readprocessmemory writeprocessmemory等函數 這些函數都是怎么被調用的了 windows提供了大量的系統函數供 層的應用調用。這些函數被統一編號，入口地址放在一張表里，編號就是索引， ...
2020-11-07 19:24 0 666 推薦指數：
相關推薦
Windows 64位驅動編程基礎與win64 ssdt
Win64編程 32位系統逐漸淘汰,轉到64位編程相當重要. 但苦於64位驅動編程網上的資料比較雜亂 這里打算寫寫關於64位驅動編程的內容,當然大部分內容都是從網上搜集過來的,然后匯集到一起好用來學習. 准備 雙機調試, 加載驅動 ...
SSDT Hook實現內核級的進程保護
目錄 SSDT Hook效果圖 SSDT簡介 SSDT結構 SSDT HOOK原理 Hook前准備 如何獲得SSDT中函數的地址呢 SSDT Hook流程 SSDT Hook實現進程保護 Ring3與Ring0的通信 如何安裝啟動停止卸載服務 ...
進程隱藏與進程保護（SSDT Hook 實現）（二）
文章目錄： 1. 引子 – Demo 實現效果： 2. 進程隱藏與進程保護概念： 3. SSDT Hook 框架搭建： 4. Ring0 實現進程隱藏： 5. Ring0 實現進程保護： 6. 隱藏進程列表和保護進程列表的維護： 7. 小結 ...
HOOK - 進程隱藏與進程保護（SSDT Hook 實現）（一）
進程隱藏與進程保護（SSDT Hook 實現）（一） 文章目錄： 1. 引子 – Hook 技術： 2. SSDT 簡介： 3. 應用層調用 Win32 API 的完整執行流程： 4. 詳解 SSDT ...
過 DNF TP 驅動保護（二）
過 DNF TP 驅動保護（二） 文章目錄： 01. 博文簡介： 02. 環境及工具准備： 03. 分析 TP 所做的保護： 04. 干掉 NtOpenProcess 中的 Deep InLine ...
過 DNF TP 驅動保護（一）
文章目錄： 01. 博文簡介： 02. 環境及工具准備： 03. 分析 TP 所做的保護： 04. 干掉 NtOpenProcess 中的 Deep InLine Hook： 05. 干掉 NtOpenThread 中的 Deep InLine ...
Win10X64 獲取SSDT、Shadow SSDT和內核函數地址--Windows內核學習記錄
編譯環境Windows10 X64 首先通過 msr = (PUCHAR)__readmsr(0xC0000082);獲取內核函數入口地址, msr在開啟內核隔離模式下獲取到的是KiSystemCall64Shadow函數地址,在未開啟內核隔離模式下獲取到的是KiSystemCall64 ...