号外号外:据说Hook MmFlushImageSection函数可以过冰刃的文件强删!

tangptr@126.com

这只是据说，我测试的时候蓝屏了。。。
在删除文件的过程中要调用MmFlushImageSection判定文件在运行时是否已经释放，若没有释放，返回FALSE，若已释放，返回TRUE。如果判断文件没有被释放则删不掉。因此很多粉碎机工具会Hook这个函数，使之返回TRUE。
贴代码喽~（挂钩过程不贴了，我之前贴了太多的挂钩引擎的代码了）

1. BOOLEAN NTAPI  fake_MmFlushImageSection(IN PSECTION_OBJECT_POINTERS SectionObjectPointer,IN MMFLUSH_TYPE FlushType)
   
2. {
   
3.         PFILE_OBJECT pfile;
   
4.         WCHAR *pwsz=NULL;
   
5.         if (FlushType == MmFlushForDelete)
   
6.         {
   
7.                 if(SectionObjectPointer->DataSectionObject!=NULL)
   
8.                 {
   
9.                         pfile=(PFILE_OBJECT)( *(ULONG*)((ULONG)SectionObjectPointer->DataSectionObject + 0x24) );
   
10.                         __try
    
11.                         {
    
12.                                 pwsz=wcsrchr(pfile->FileName.Buffer,L'\\');
    
13.                                 if (pwsz!=NULL)
    
14.                                 {
    
15.                                         pwsz++;
    
16.                                 }
    
17.                                 if (!_wcsnicmp(pwsz,L"test.txt",wcslen(L"test.txt")*2))
    
18.                                 {
    
19.                                         return FALSE;
    
20.                                 }
    
21.                         }
    
22.                         __except(1)
    
23.                         {
    
24.                                 return FALSE;  
    
25.                         }
    
26.                 }
    
27.         }
    
28.         return  MmFlushImageSection(SectionObjectPointer,FlushType);
    
29. }

复制代码

加载驱动后，一打开冰刃就蓝了。。。。。。尼玛！

Tesla.Angela

哇，这都被你发现了，好厉害。
我发现你好喜欢拿我以前发在黑防的代码来改。。。

马大哈

加载驱动后，一打开冰刃就蓝了。。。。。。尼玛！

这不就已经让冰刃删除不了这文件了么......{:soso_e120:}