紫水晶编程技术论坛 - 努力打造成全国最好的编程论坛

 找回密码
 加入我们

QQ登录

只需一步,快速开始

搜索
查看: 4879|回复: 4

[原创]WIN64上的驱动路径欺骗(过PCHUNTER等流行ARK)

[复制链接]

823

主题

3357

帖子

2

精华

管理员

身居欧盟,心系中华。

Rank: 125Rank: 125Rank: 125Rank: 125Rank: 125

积分
35899
发表于 2014-9-23 23:08:55 | 显示全部楼层 |阅读模式
如果需要购买这个PoC的源码,请查看这里

不废话直接上图:自己的驱动被PCHUNTER识别成了系统自带的FASTFAT.SYS。
值得一提的是,这种方法不会触发PATCHGUARD。
drv64hid.png
可惜的是,这样子修改之后驱动就无法卸载了(其实还是可以的,只不过我在DEMO里偷懒了)。

drv64hid.zip

69.12 KB, 下载次数: 2590

BIN

28

主题

144

帖子

0

精华

铜牌会员

Rank: 2Rank: 2

积分
273
发表于 2014-9-24 08:57:40 | 显示全部楼层
神奇的东西。

30

主题

724

帖子

0

精华

钻石会员

Rank: 6Rank: 6

积分
2815
发表于 2015-6-9 12:53:12 | 显示全部楼层
有源代码就好了

2

主题

32

帖子

0

精华

初来乍到

Rank: 1

积分
37
发表于 2016-5-13 13:11:56 | 显示全部楼层
厉害,学习下

1

主题

31

帖子

0

精华

钻石会员

Rank: 6Rank: 6

积分
5012
发表于 2019-12-6 23:01:56 | 显示全部楼层
学习一下  谢谢楼主
您需要登录后才可以回帖 登录 | 加入我们

本版积分规则

手机版|Archiver|紫水晶工作室 ( 粤ICP备05020336号 )

GMT+8, 2020-2-28 03:16 , Processed in 0.035498 second(s), 22 queries , Gzip On.

Powered by Discuz! X3.4

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表