[测试]WIN32全平台的磁盘IRP“隐形”拦截（过PCHUNTER等ARK）

Tesla.Angela

如果需要购买这个PoC的源码，请查看这里。

注意：部分PoC使用了知名的泄露证书（比如：“HT SRL”等）进行签名，微软在最新的系统上已经将这些证书拉黑。如果您发现驱动无法加载，请使用没有被微软拉黑的证书给驱动重新进行签名，或使用signtool工具移除驱动的签名后再关闭DSE进行测试。

---

WIN64版本：http://www.m5home.com/bbs/thread-8229-1-1.html

DEMO中的驱动挂钩了DISK.SYS的IRP_MJ_READ和IRP_MJ_WRITE，但PCHUNTER等流行ARK检查不出来。不是地址替换（IRP HOOK），不是指令修改（IRP INLINE HOOK）。稳定性较好，支持WINDOWS XP～WINDOWS 10。

zfdyq

前排围观老大~

hilylwz

谢谢分享~学习了！

hapi

嗯，怎么实现的

rkq1991

膜拜大神   下来看一看

陌路人

谢谢老大分享

Tesla.Angela

icew4y 发表于 2016-8-19 22:55
不知道设置这种200块的会员是干嘛的？200买一堆VMP？要么你就直接设置2万块给源码那种，这种200块的直接就 ...

看了半天原来你的吐槽点在这里，很可惜，吐槽错地方了。
这个帖子的附件，不需要购买VIP会员，普通会员回复两个帖子就可以下载了。