Tesla.Angela 发表于 2014-10-22 18:14:25

[测试]WIN64全平台的磁盘IRP“隐形”拦截（过PCHUNTER等ARK）

如果需要购买这个PoC的源码，请查看这里。注意：部分PoC使用了知名的泄露证书（比如：“HT SRL”等）进行签名，微软在最新的系统上已经将这些证书拉黑。如果您发现驱动无法加载，请使用没有被微软拉黑的证书给驱动重新进行签名，或使用signtool工具移除驱动的签名后再关闭DSE进行测试。WIN32版本：http://www.m5home.com/bbs/thread-8228-1-1.html
DEMO中的驱动挂钩了DISK.SYS的IRP_MJ_READ和IRP_MJ_WRITE，但PCHUNTER等流行ARK检查不出来。不是地址替换（IRP HOOK），不是指令修改（IRP INLINE HOOK）。稳定性较好，支持WINDOWS XP～WINDOWS 11，不触发PATCHGUARD。

gfw 发表于 2014-10-24 11:01:48

前排占座 LZ威武

rkq1991 发表于 2014-11-22 18:06:46

支持老大。。。学习学习了。。。

ywledoc 发表于 2014-11-30 00:27:39

不是地址替换（IRP HOOK），不是指令修改（IRP INLINE HOOK），也不是对象劫持
排除了这三种方法，真想不到第四种。
感觉。。起码也要修改一些指令

陌路人 发表于 2015-4-19 23:20:42

看看 神马东东

flac 发表于 2017-5-20 00:53:36

不触发PATCHGUARD才是诱惑 啊
页: [1]
查看完整版本: [测试]WIN64全平台的磁盘IRP“隐形”拦截（过PCHUNTER等ARK）