紫水晶编程技术论坛 - 努力打造成全国最好的编程论坛

 找回密码
 加入我们

QQ登录

只需一步,快速开始

搜索
查看: 7141|回复: 3

[测试]WIN64上的驱动隐藏(过PCHUNTER等流行ARK)

[复制链接]

823

主题

3357

帖子

2

精华

管理员

身居欧盟,心系中华。

Rank: 125Rank: 125Rank: 125Rank: 125Rank: 125

积分
35899
发表于 2016-10-21 18:27:25 | 显示全部楼层 |阅读模式
如果需要购买这个PoC的源码,请查看这里

驱动加载后PCHUNTER等ARK看不到驱动的存在(可能会看到“可疑模块”,但没有BASE/SIZE/PATH等信息)。
驱动创建的线程每隔1秒会通过DBGVIEW输出字符串(证明驱动是“活动的”)。
驱动加载后不可以卸载(不是技术上做不到,而是增加测试的麻烦程度,所以略去了)。
支持XP~WIN10。
64.png

HideDrvPassARK64.zip

79.09 KB, 下载次数: 3771

4

主题

143

帖子

0

精华

贵宾会员

Rank: 2Rank: 2

积分
1183
发表于 2016-10-22 17:16:13 | 显示全部楼层
我实现的方法是去hook别人驱动的DriverEntry 然后把自己复制过去重定位 然后卸载原来的驱动,启动复制过去的驱动...

2

主题

34

帖子

0

精华

铜牌会员

Rank: 2Rank: 2

积分
68
发表于 2017-12-19 16:24:45 | 显示全部楼层
感谢ta大人

0

主题

11

帖子

0

精华

初来乍到

Rank: 1

积分
31
发表于 2018-1-8 15:03:39 | 显示全部楼层
本帖最后由 xjun 于 2018-1-8 15:07 编辑

我猜肯定是用这种方法隐藏的
Driver.rar (1.67 KB, 下载次数: 1839)
您需要登录后才可以回帖 登录 | 加入我们

本版积分规则

手机版|Archiver|紫水晶工作室 ( 粤ICP备05020336号 )

GMT+8, 2020-2-28 03:29 , Processed in 0.033110 second(s), 22 queries , Gzip On.

Powered by Discuz! X3.4

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表