Tesla.Angela 发表于 2013-12-18 23:03:44

[原创总结]WIN64上不触犯PatchGuard的HOOK

1.修改非关键驱动的内存空间。据网络资料和本人测试，PatchGuard只保护了寥寥几个驱动：NTOSKRNL.EXE、HAL.DLL、CI.DLL、KDCOM.DLL、NDIS.SYS，其它的驱动并未保护。举个例子，在WIN64上对文件系统驱动、磁盘类驱动乃至磁盘小端口驱动进行IRP HOOK，都是合法的。
2.RING3的API HOOK和内存空间PATCH。

微软对PATCHGUARD技术的简介和问答：
Patching Policy for x64-Based Systems
Kernel Patch Protection: Frequently Asked Questions
温馨提示：看不懂英语就用谷歌翻译看大概意思。

testid 发表于 2014-1-5 18:03:38

{:soso_e118:}不玩64

wangmin1944 发表于 2014-1-15 10:13:13

页: [1]
查看完整版本: [原创总结]WIN64上不触犯PatchGuard的HOOK