紫水晶编程技术论坛 - 努力打造成全国最好的编程论坛

 找回密码
 加入我们

QQ登录

只需一步,快速开始

搜索
查看: 4680|回复: 5

[原创]WIN64上的“隐形”IRP拦截(过PCHUNTER等流行ARK)

  [复制链接]

823

主题

3357

帖子

2

精华

管理员

身居欧盟,心系中华。

Rank: 125Rank: 125Rank: 125Rank: 125Rank: 125

积分
35899
发表于 2014-10-22 18:14:25 | 显示全部楼层 |阅读模式
如果需要购买这个PoC的源码,请查看这里


DEMO中的驱动挂钩了DISK.SYS的IRP_MJ_READ和IRP_MJ_WRITE,但PCHUNTER等流行ARK检查不出来。
不是地址替换(IRP HOOK),不是指令修改(IRP INLINE HOOK)。稳定性较好,支持WINDOWS XP~WINDOWS 8.1,不触发PATCHGUARD
w7.png

InvisibleIrpHook64.rar

66.18 KB, 下载次数: 1268

28

主题

144

帖子

0

精华

铜牌会员

Rank: 2Rank: 2

积分
273
发表于 2014-10-24 11:01:48 | 显示全部楼层
前排占座 LZ威武

0

主题

30

帖子

0

精华

铜牌会员

Rank: 2Rank: 2

积分
124
发表于 2014-11-22 18:06:46 | 显示全部楼层
支持老大。。。学习学习了。。。

47

主题

312

帖子

8

精华

核心会员

Rank: 20Rank: 20Rank: 20Rank: 20

积分
10349
发表于 2014-11-30 00:27:39 | 显示全部楼层
不是地址替换(IRP HOOK),不是指令修改(IRP INLINE HOOK),也不是对象劫持
排除了这三种方法,真想不到第四种。
感觉。。起码也要修改一些指令

8

主题

77

帖子

2

精华

钻石会员

Rank: 6Rank: 6

积分
3279
发表于 2015-4-19 23:20:42 | 显示全部楼层
看看 神马东东

3

主题

73

帖子

0

精华

银牌会员

Rank: 3Rank: 3Rank: 3

积分
435
发表于 2017-5-20 00:53:36 | 显示全部楼层
不触发PATCHGUARD才是诱惑 啊
您需要登录后才可以回帖 登录 | 加入我们

本版积分规则

手机版|Archiver|紫水晶工作室 ( 粤ICP备05020336号 )

GMT+8, 2020-2-28 04:44 , Processed in 0.034437 second(s), 22 queries , Gzip On.

Powered by Discuz! X3.4

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表