[科普]内核拦截DLL加载的正确方式

Tesla.Angela · 发表于 2016-12-21 22:29:11

在我的WIN64教程里，提到了使用LoadImageNotify来拦截驱动加载。但用这个回调拦截DLL加载并不方便，主要原因有两个：1.这个时候写内存有可能导致死锁；2.DLL被拦截一次之后，重启前再也无法加载。所以，用LoadImageNotify来实现拦截DLL加载是不对的，必须使用别的方案。

游客，如果您要查看本帖隐藏内容请回复

实际上，这个方案只是在国内鲜为人知而已，在国外早被BIT9公司应用在其安全产品上。

63430334 · 发表于 2016-12-21 22:34:26

坐个板凳

basketwill · 发表于 2016-12-21 22:36:08

支持。。。。。。

liwen930723 · 发表于 2016-12-21 22:36:32

我们公司的pe防火墙就是用的loadimage，应该还行吧

linkerrors · 发表于 2016-12-21 22:42:00

感谢楼主！

flac · 发表于 2016-12-21 22:46:04

学习，第一次离前排那么近

46785131 · 发表于 2016-12-21 22:46:11

这个姿势100分!~~~

Success · 发表于 2016-12-21 22:48:56

围观

thegfw · 发表于 2016-12-21 22:54:40

谢谢分享

Yecate · 发表于 2016-12-21 23:05:37

前排占楼这次不打错别字

eroy · 发表于 2016-12-21 23:20:32

涨涨姿势

maigo · 发表于 2016-12-21 23:56:02

围观

kz丶cn · 发表于 2016-12-22 00:04:30

感谢分享

kz丶cn · 发表于 2016-12-22 00:08:00

这个方法确实可行我还实现过那个IRP下 PageProtection如果等于PAGE_EXECUTE就是加载操作

renminbi · 发表于 2016-12-22 08:59:18

应该在哪拦截

daterlove · 发表于 2016-12-22 09:30:01

楼主霸气

wtxpwh · 发表于 2016-12-22 09:33:34

看看学习一下。

haidejintou · 发表于 2016-12-22 09:38:50

nice,学习

haidejintou · 发表于 2016-12-22 09:40:00

支持。。。。。。

fhpknight · 发表于 2016-12-22 09:50:55

牛逼大大

Alpha.Po · 发表于 2016-12-22 10:01:45

看看。。。。

xtfpg · 发表于 2016-12-22 10:04:16

我要学习

n36437517 · 发表于 2016-12-22 11:18:59

学习学习。。。。。

yimingqpa · 发表于 2016-12-22 12:20:23

看看.

1171320344 · 发表于 2016-12-22 13:05:25

回复学习下

deegar · 发表于 2016-12-22 15:12:23

学习国外高手的玩法！

jyw0113 · 发表于 2016-12-22 15:52:16

这个必须学习下

3207145141 · 发表于 2016-12-23 09:12:10

学习一下这个拦截方式.谢谢.

xiaotaotao · 发表于 2016-12-23 10:23:09

赞一下楼主

lsj_pro · 发表于 2016-12-23 10:23:52

这姿势 ,哈哈哈

tangptr@126.com · 发表于 2016-12-23 10:57:17

围观

菜鸟找虫子 · 发表于 2016-12-23 14:50:02

看看～～

账号		自动登录	找回密码
密码			加入我们