『讨论』PatchGuard原理

wenh7788

如何过掉PatchGuard?

add3to6

版主很多帖子，我也跟帖留个脚印

wenh7788

我也是边看书边说的，就是因为现在看书看的有点累。发出来然后大家讨论下，说不定会有好的方法呢
我看的书是《bypassing patchguard on windows x64》
我每次说的不多啊，抱歉啊因为是英文的。我理解上肯定会有偏差的。如果发现有错误的请一定给我指出，谢谢！

1. 
   
2. pg保护的核心内容有：
   
3. SSDT
   
4. GDT
   
5. IDT
   
6. System images(ntoskrnl.exe,ndis.sys,hal.dll)
   
7. Processor MSRs(syscall)
   
8. 
   
9. pg实施是采用设置例程的方式实现的。大概5到10分钟的时候会使用校验和的方式来去校验。pg的实现采用的是轮询的方式这样会比事件驱动或是硬件方式的好。
   
10. 
    
11. pg使用错误的地址，错误的函数的名称，代码混淆等来做安全方面的保护。
    
12. 
    
13. pg代码的初始化在系统启动之前，是作为nt!KeInitSystem的一部分。
    
14. 
    
15. KiSystemStartup
    
16.         |
    
17. KiInitializeKernel
    
18.         |
    
19. ExplnitializeExecutive
    
20.         |
    
21. KeInitSystem
    
22.         |
    
23. KiDivide6432
    
24. 
    
25. 就这些吧，我继续看了....有错误指出啊！！！！
    

复制代码

Tesla.Angela

http://www.m5home.com/bbs/thread-6182-1-1.html

wenh7788

谢谢老大，我去看看先。

gl542400

路过跳到一个好转址！

z804768186

wenh7788 发表于 2012-2-24 11:00
我也是边看书边说的，就是因为现在看书看的有点累。发出来然后大家讨论下，说不定会有好的方法呢
我看的书 ...

我用windbg为神马找不到nt!KiDivide6432

kk1025

版本有好多說明。

飞跃

楼主找到好方法了吗