[原创开源]Ring3全局禁止进程创建(x64)

9908006 · 发表于 2011-11-2 20:21:31

回复一下看看

x64asm · 发表于 2011-11-3 02:06:33

本帖最后由 x64asm 于 2011-11-3 02:10 编辑

原理就是替换了函数入口点为
0x90,0xc3,0x90

伪代码就是

复制代码

让函数什么都不做直接返回

可是大家照样可以SYSCALL SYSRET呢

Tesla.Angela · 发表于 2011-11-3 10:41:05

x64asm 发表于 2011-11-3 02:06
原理就是替换了函数入口点为
0x90,0xc3,0x90

恩，对NATIVE API确实没什么用。自己构造一下机器码就行了。
但是在大部分场合还是有用的。

wxfmsf · 发表于 2011-11-7 09:47:01

hook ok I look

freecat · 发表于 2011-11-7 21:52:31

看一下了

p1b234 · 发表于 2011-11-7 22:39:08

谢谢分享，学习下

xmlpull · 发表于 2011-12-16 23:54:14

{:soso_e104:} KiFastSystemCall

sWZ · 发表于 2012-1-10 16:47:31

学习膜拜一下。看看是纯ring3嘛

iloveqqp · 发表于 2012-3-9 01:22:30

我也回复一下看看

zhaogrand · 发表于 2012-3-11 10:40:49

好东西就要支持

帐号		自动登录	找回密码
密码			加入我们