wenh7788 发表于 2012-2-23 17:56:14

『讨论』PatchGuard原理

如何过掉PatchGuard?

add3to6 发表于 2012-2-23 21:18:40

版主很多帖子，我也跟帖留个脚印

wenh7788 发表于 2012-2-24 11:00:50

我也是边看书边说的，就是因为现在看书看的有点累。发出来然后大家讨论下，说不定会有好的方法呢
我看的书是《bypassing patchguard on windows x64》
我每次说的不多啊，抱歉啊因为是英文的。我理解上肯定会有偏差的。如果发现有错误的请一定给我指出，谢谢！
pg保护的核心内容有：
SSDT
GDT
IDT
System images(ntoskrnl.exe,ndis.sys,hal.dll)
Processor MSRs(syscall)

pg实施是采用设置例程的方式实现的。大概5到10分钟的时候会使用校验和的方式来去校验。pg的实现采用的是轮询的方式这样会比事件驱动或是硬件方式的好。

pg使用错误的地址，错误的函数的名称，代码混淆等来做安全方面的保护。

pg代码的初始化在系统启动之前，是作为nt!KeInitSystem的一部分。

KiSystemStartup
      |
KiInitializeKernel
      |
ExplnitializeExecutive
      |
KeInitSystem
      |
KiDivide6432

就这些吧，我继续看了....有错误指出啊！！！！

Tesla.Angela 发表于 2012-2-24 12:44:10

http://www.m5home.com/bbs/thread-6182-1-1.html

wenh7788 发表于 2012-2-24 13:15:27

谢谢老大，我去看看先。

gl542400 发表于 2012-5-18 22:40:07

路过跳到一个好转址！

z804768186 发表于 2012-8-30 18:02:50

wenh7788 发表于 2012-2-24 11:00 static/image/common/back.gif
我也是边看书边说的，就是因为现在看书看的有点累。发出来然后大家讨论下，说不定会有好的方法呢
我看的书 ...

我用windbg为神马找不到nt!KiDivide6432

kk1025 发表于 2013-4-11 13:03:48

版本有好多說明。

飞跃 发表于 2015-4-24 08:40:12

楼主找到好方法了吗
页: [1]
查看完整版本: 『讨论』PatchGuard原理