[原创开源]过PCHUNTER64检查MBR

Tesla.Angela · 发表于 2013-12-11 09:03:39

PCHUNTER64检查MBR的方法是很上层的，直接发SRB到磁盘类驱动（classpnp.sys）而已。
于是我们对classpnp.sys进行“附加设备驱动对象劫持”，就能拦截到PCHUNTER64读写MBR的IRP了！核心代码如下：

游客，如果您要查看本帖隐藏内容请回复

同理过POWERTOOL X64，但不过WIN64AST。因为WIN64AST是直接把SRB发送到磁盘小端口驱动的，而且还特殊处理了部分磁盘小端口驱动的IRP_MJ_SCSI分发函数。

致谢：

游客，如果您要查看本帖隐藏内容请回复

马大哈 · 发表于 2013-12-11 09:53:43

完全不懂,只能帮顶一下!{:soso_e136:}

cxjnet · 发表于 2013-12-30 00:55:30

看看楼主的东西

shuxuliang · 发表于 2014-2-11 16:13:59

hook atapi?

xiaomo · 发表于 2014-7-18 08:31:26

这个不错

basketwill · 发表于 2014-12-23 11:49:22

学习了。。。。。。

haidejintou · 发表于 2016-4-19 23:58:49

xuexi

绿林科技 · 发表于 2016-4-20 18:52:06

想进群交流下，好怀念。

jyw0113 · 发表于 2016-6-28 16:34:59

这个学习西啊，

a890528 · 发表于 2016-9-11 01:39:31

/******************************************************************
注释
******************************************************************/

freecat · 发表于 2017-1-14 15:06:44

have a look!

YOUBADBAD · 发表于 2018-3-6 16:42:17

谢谢楼主

Peter_king55 · 发表于 2018-3-6 17:59:55

感谢无私的分享！！

看看是怎么弄的

sc12345 · 发表于 2018-4-14 15:50:34

谢谢分享

zoandcom · 发表于 2018-6-11 17:08:49

找下关于磁盘操作的

kz丶cn · 发表于 2018-8-20 19:57:26

mgr rootkit

RootKitsNt · 发表于 2018-10-25 15:42:58

学习学习，顶一下

CleanLove · 发表于 2019-7-13 08:56:15

学习学习，顶一下

kimjongun · 发表于 2019-12-16 18:09:56

好好学习内核编程，早日成为安全大牛。。

e_days · 发表于 2019-12-21 04:04:45

谢谢楼主

82430886 · 发表于 2019-12-28 05:34:31

看看学习学习

a1678131758 · 发表于 2020-11-6 09:56:07

瞅瞅

账号		自动登录	找回密码
密码			加入我们