紫水晶编程技术论坛 - 努力打造成全国最好的编程论坛

 找回密码
 加入我们

QQ登录

只需一步,快速开始

搜索
查看: 32502|回复: 96

[测试]WIN7X64上的DLL路径欺骗(过PCHUNTER等流行ARK)

  [复制链接]

851

主题

3477

帖子

2

精华

管理员

此生无悔入华夏,  长居日耳曼尼亚。  

Rank: 125Rank: 125Rank: 125Rank: 125Rank: 125

积分
37093
发表于 2015-4-16 19:48:20 | 显示全部楼层 |阅读模式
如果需要购买这个PoC的源码,请查看这里
注意:部分PoC使用了知名的泄露证书(比如:“HT SRL”等)进行签名,微软在最新的系统上已经将这些证书拉黑。如果您发现驱动无法加载,请使用没有被微软拉黑的证书给驱动重新进行签名,或使用signtool工具移除驱动的签名后再关闭DSE进行测试。


废话不说直接上图。注意DLL的BASE没变化,但指向的文件变化了。
值得一提的是:这种方法不会触发PATCHGUARD,并支持32位和64位两种进程。
32位进程修改前:
64p32old.png
32位进程修改后:
64p32new.png
64位进程修改前:
64p64old.png
64位进程修改后:
64p64new.png

使用方法:
输入PID即可。

amd64.rar

89.97 KB, 下载次数: 4803

评分

参与人数 1水晶币 +6 收起 理由
dagangwood + 6 赞一个!

查看全部评分

0

主题

6

帖子

0

精华

铜牌会员

Rank: 2Rank: 2

积分
32
发表于 2015-4-24 18:10:35 | 显示全部楼层
很好,技术性强。

0

主题

42

帖子

0

精华

贵宾会员

Rank: 2Rank: 2

积分
1864
发表于 2015-4-25 14:07:31 | 显示全部楼层
好东西啊 谢谢

8

主题

77

帖子

2

精华

钻石会员

Rank: 6Rank: 6

积分
3279
发表于 2015-4-26 09:16:33 | 显示全部楼层
谢坛主分享

8

主题

77

帖子

2

精华

钻石会员

Rank: 6Rank: 6

积分
3279
发表于 2015-4-26 09:17:32 | 显示全部楼层
亲, 水晶币扣了  东西下载不了

2

主题

167

帖子

0

精华

金牌会员

Rank: 4Rank: 4Rank: 4Rank: 4

积分
944
发表于 2015-4-26 09:23:49 | 显示全部楼层
来看看怎么实现的

0

主题

11

帖子

0

精华

贵宾会员

Rank: 2Rank: 2

积分
4
发表于 2015-4-26 17:09:00 | 显示全部楼层
学一下

1

主题

11

帖子

0

精华

铜牌会员

Rank: 2Rank: 2

积分
59
发表于 2015-4-27 13:17:05 | 显示全部楼层
谢谢大大的分享   我会继续努力学习

0

主题

7

帖子

0

精华

初来乍到

Rank: 1

积分
15
发表于 2015-4-27 21:56:43 | 显示全部楼层
很好,技术性强。

0

主题

7

帖子

0

精华

初来乍到

Rank: 1

积分
15
发表于 2015-4-27 21:57:24 | 显示全部楼层
很好,技术性强。
您需要登录后才可以回帖 登录 | 加入我们

本版积分规则

手机版|Archiver|紫水晶工作室 ( 粤ICP备05020336号 )

GMT+8, 2024-3-29 16:13 , Processed in 0.031407 second(s), 23 queries , Gzip On.

Powered by Discuz! X3.4

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表