紫水晶编程技术论坛 - 努力打造成全国最好的编程论坛

 找回密码
 加入我们

QQ登录

只需一步,快速开始

搜索
查看: 5313|回复: 10

[装逼录像]Win7x64上突破雨过天晴20130111

[复制链接]

822

主题

3358

帖子

2

精华

管理员

身居欧盟,心系中华。

Rank: 125Rank: 125Rank: 125Rank: 125Rank: 125

积分
35479
发表于 2013-2-2 02:45:36 | 显示全部楼层 |阅读模式
一、突破雨过天晴20130111自我保护写入正常MBR
录制视频时比较仓促,注意四点:
1.一开始演示时,屏幕右下角有提示:“此WINDOWS副本不是正版”,恢复MBR并重启后提示消失(因为用了什么小马WIN7激活,这个激活也是写MBR的,某种意义上也算是MBR ROOTKIT,不过是有益的MBR ROOTKIT{:soso_e107:} )。
2.如果雨过天晴的MBR存在,会在WINDOWS启动前出现一个雨过天晴的界面,恢复MBR后,界面消失(因为已经恢复了正常的MBR,所以重启时看不到雨过天晴的界面)。
3.重启后,雨过天晴右下角的图标出现了个小叉,而且不久后,这个托盘进程自动退出了。
4.以上只是辅助证据,核心证据见GMER和XT64的提示:恢复MBR前,GMER的检测有三个关于DR0的异常提示,XT64里DISK和ATAPI满是红色(地址异常);恢复MBR并重启后,GMER的检测没有任何异常提示,XT64里DISK和ATAPI全是黑色(地址正常)。
录像地址:http://www.m5home.com/fuck_ygtq_20130111.gif


二、在不破坏雨过天晴20130111的情况下,穿透还原写入文件
本来这个录像是完全没有必要制作的,不过今天有个人质疑我,说我只能“破坏”雨过天晴,不能绕过“雨过天晴”。
所以为了封住人家的嘴,我只能再制作一个录像了。
录像地址:http://www.m5home.com/bypassYGTQ20130111.gif


WIN64AST 1.01还在完善中,完善后自然会发布。请各位稍等。
另外,WIN8X64一样突破,过程几乎一样,所以不录像了。

0

主题

3

帖子

0

精华

初来乍到

Rank: 1

积分
267
发表于 2013-2-2 02:56:35 | 显示全部楼层
沙发 我第一个?? 特来支持

评分

参与人数 1水晶币 +100 收起 理由
Tesla.Angela + 100 半夜顶贴难得。

查看全部评分

本网站最菜的人 该用户已被删除
发表于 2013-2-2 19:41:08 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽

271

主题

3281

帖子

1

精华

管理员

嗷嗷叫的老马

Rank: 125Rank: 125Rank: 125Rank: 125Rank: 125

积分
17039

论坛牛人贡献奖关注奖最佳版主进步奖人气王疯狂作品奖精英奖赞助论坛勋章乐于助人勋章

QQ
发表于 2013-2-2 21:18:35 | 显示全部楼层
我以前也折腾过一次冰点,是在一家宾馆里,那电脑有病毒,动不动死机要重启,很不爽.而杀毒后要重启,一重启就还原了,汗.

于是用U盘启动了PE系统,在PE下改了几个注册表的地方,记得好象是什么文件系统过滤驱动的上下层转发关系还是啥的,再删除冰点的文件,最后重启后冰点就没有了.

不过现在看来,只要了解这类软件的原理,可以直接穿透啊哈哈!
我就是嗷嗷叫的老马了......

40

主题

366

帖子

0

精华

铂金会员

Eax=0

Rank: 5

积分
1577
发表于 2013-2-2 22:11:42 | 显示全部楼层
语法有问题,应该是MBR may be abnormal

点评

谢谢指点。  发表于 2013-2-2 22:41

评分

参与人数 1水晶币 +20 收起 理由
Tesla.Angela + 20 赞一个!

查看全部评分

Do my best.

21

主题

131

帖子

4

精华

铂金会员

Rank: 5

积分
7522
发表于 2013-2-3 17:34:18 | 显示全部楼层
本帖最后由 KMSRussian 于 2013-2-3 17:35 编辑

感觉下发SCSI指令给disk/atapi还是太高层了点...冰点/雨过天晴一直在disk层之上做过滤

可以尝试下 shadow defender 最新版 我记得当时我测试的时候SCSI指令是干不掉shadow defender的

atapi层面的Hook也有缺点 比方是scsi硬盘 貌似用的就是scsiport.sys  也是挺头疼的事情

有空的时候可以看看shadow defender

http://pan.baidu.com/share/link?shareid=228621&uk=639038202  

822

主题

3358

帖子

2

精华

管理员

身居欧盟,心系中华。

Rank: 125Rank: 125Rank: 125Rank: 125Rank: 125

积分
35479
 楼主| 发表于 2013-2-3 18:53:06 | 显示全部楼层
KMSRussian 发表于 2013-2-3 17:34
感觉下发SCSI指令给disk/atapi还是太高层了点...冰点/雨过天晴一直在disk层之上做过滤

可以尝试下 shadow  ...


目前已经BYPASS(注意是BYPASS不是KILL)的还原软件(WIN7 X64测试):
Deep Freeze Standard 7.51.20.4170
shadow defender 1.2.0.355
Returnil 2011(1.0.5.5400)
雨过天晴20130111
貌似以上都是最新版或者次最新版。
另外光发SCSI指令是过不了的,要有很多处理技巧的。

21

主题

131

帖子

4

精华

铂金会员

Rank: 5

积分
7522
发表于 2013-2-3 19:45:25 | 显示全部楼层
还有设置的一些障碍吧 shutdown回调 FS回调之类的 .....

822

主题

3358

帖子

2

精华

管理员

身居欧盟,心系中华。

Rank: 125Rank: 125Rank: 125Rank: 125Rank: 125

积分
35479
 楼主| 发表于 2013-2-3 23:58:24 | 显示全部楼层
KMSRussian 发表于 2013-2-3 19:45
还有设置的一些障碍吧 shutdown回调 FS回调之类的 .....


我穿越还原基本是摘掉所有跟DISK/ATAPI相关的过滤驱动+SCSI指令写磁盘+摘除(绕过)所有对DISK/ATAPI的IRP HOOK。其他乱七八糟的回调一点不碍事。
另外,如果对ATAPI的IRP HOOK处理不好,就没有任何意义。雨过天晴20130111把ATAPI的IRP分发函数表改得一团糟,但一点不影响我给CLASSPNP.SYS发SCSI指令穿透(据网上的资料说ATAPI在DISK的下层)。另外,我的笔记本真机上连ATAPI.SYS都没有加载,相关功能被INTEL的驱动iaStorV.sys取代了。
Untitled.png

0

主题

94

帖子

0

精华

金牌会员

Rank: 4Rank: 4Rank: 4Rank: 4

积分
3031
发表于 2013-2-5 10:07:06 | 显示全部楼层
大牛果然是大牛  这样的水平是我努力的目标
您需要登录后才可以回帖 登录 | 加入我们

本版积分规则

手机版|Archiver|紫水晶工作室 ( 粤ICP备05020336号 )

GMT+8, 2019-8-22 07:30 , Processed in 0.045792 second(s), 31 queries , Gzip On.

Powered by Discuz! X3.4

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表