Tesla.Angela 发表于 2014-10-22 18:12:50

[测试]WIN32全平台的磁盘IRP“隐形”拦截（过PCHUNTER等ARK）

如果需要购买这个PoC的源码，请查看这里。注意：部分PoC使用了知名的泄露证书（比如：“HT SRL”等）进行签名，微软在最新的系统上已经将这些证书拉黑。如果您发现驱动无法加载，请使用没有被微软拉黑的证书给驱动重新进行签名，或使用signtool工具移除驱动的签名后再关闭DSE进行测试。WIN64版本：http://www.m5home.com/bbs/thread-8229-1-1.html
DEMO中的驱动挂钩了DISK.SYS的IRP_MJ_READ和IRP_MJ_WRITE，但PCHUNTER等流行ARK检查不出来。不是地址替换（IRP HOOK），不是指令修改（IRP INLINE HOOK）。稳定性较好，支持WINDOWS XP～WINDOWS 10。

zfdyq 发表于 2014-10-22 22:56:52

前排围观老大~

hilylwz 发表于 2014-11-5 12:16:41

谢谢分享~学习了！

hapi 发表于 2014-11-21 06:27:07

嗯，怎么实现的

rkq1991 发表于 2014-11-22 18:05:57

膜拜大神   下来看一看

陌路人 发表于 2015-3-11 21:27:15

谢谢老大分享

icew4y 发表于 2016-8-19 22:53:05

icew4y 发表于 2016-8-19 22:55:01

icew4y 发表于 2016-8-19 22:55:58

Tesla.Angela 发表于 2016-8-25 00:05:50

icew4y 发表于 2016-8-19 22:55
不知道设置这种200块的会员是干嘛的？200买一堆VMP？要么你就直接设置2万块给源码那种，这种200块的直接就 ...

看了半天原来你的吐槽点在这里，很可惜，吐槽错地方了。
这个帖子的附件，不需要购买VIP会员，普通会员回复两个帖子就可以下载了。
页: [1]
查看完整版本: [测试]WIN32全平台的磁盘IRP“隐形”拦截（过PCHUNTER等ARK）