TP的装逼笔记：伪装创建进程通告例程回调地址欺骗PCHunter

tangptr@126.com · 发表于 2016-11-21 22:21:19

本帖最后由 tangptr@126.com 于 2016-11-21 22:21 编辑

用PsSetCreateProcessNotifyRoutine创建了回调例程之后，PCHunter会检测到你的回调以及你的所属驱动。如果这个驱动明显不属于系统驱动，ARK的使用者会直接把你的回调Remove掉。如果这个回调地址是一个正常的驱动的地址，比如ntkrnlpa.exe的地址，没有经验的用户会不疑有他直接忽略掉。
具体实现方法回复后可见

游客，如果您要查看本帖隐藏内容请回复

Tesla.Angela · 发表于 2016-11-21 23:40:13

其实PCH扫描内核钩子有BUG，略施小计就可以让PCH看不到内核钩子（而且不影响PCH的其它功能）。

rtfkill · 发表于 2016-11-21 23:57:20

好东西啊，，装B我喜欢

tangptr@126.com · 发表于 2016-11-21 23:57:40

更新了个装逼版的，加了VMP的壳，使得PCH查到的钩子是乱七八糟的，连跳到哪都不知道嘿嘿嘿

liwen930723 · 发表于 2016-11-22 11:20:09

这个其实很实用的哟我在群上看到你过来看的

goodluckwxl · 发表于 2016-11-23 03:05:47

谢谢哦，值得学习一下

1171320344 · 发表于 2016-11-25 12:41:31

哦,这样也可以

kz丶cn · 发表于 2016-11-29 19:44:33

都想搞PCHunter和安软哈哈

zjr230506 · 发表于 2016-11-30 05:22:52

害怕.jpg

46785131 · 发表于 2017-2-11 19:39:10

这个方法不错哟。！~

3207145141 · 发表于 2017-2-12 08:45:50

学习一下.

hamman · 发表于 2017-7-3 11:37:49

来涨姿势了。谢谢楼主！

落笔飞花 · 发表于 2017-7-3 15:44:07

看看~~~~~~~~

ayamat · 发表于 2017-8-6 16:03:41

看看。。。很好奇

黄枫叶 · 发表于 2017-8-12 23:01:55

谢谢哦，值得学习一下

n36437517 · 发表于 2017-8-25 19:34:23

学习新的知识，谢谢分享

zt8152070 · 发表于 2017-8-29 08:47:05

TP的装逼笔记：伪装创建进程通告例程回调地址欺骗PCHunter [修改]

as3852711 · 发表于 2017-10-24 12:54:09

看下什么方法

hanfengyuxue · 发表于 2017-11-1 14:47:31

不回帖是一种很欠扁的行为，很赞成！

daniellee · 发表于 2017-11-16 17:26:26

谢谢哦，值得学习一下

chaos4 · 发表于 2017-11-30 01:05:32

这个必须要看看了..伪装回调

aki447 · 发表于 2017-12-19 21:51:34

看看是怎么实现的

mmlai8 · 发表于 2018-2-12 04:49:34

这个方法不错哟。！~

hantao · 发表于 2018-2-28 12:27:53

看看他究竟是怎么装逼的。

sc12345 · 发表于 2018-4-10 17:29:58

谢谢分享

163xlt · 发表于 2018-4-12 10:16:59

看看这个老帖啊

zouxiaofei · 发表于 2018-5-6 15:57:09

谢谢分享

309100 · 发表于 2018-6-17 01:34:25

正好需要看看方法

testid · 发表于 2018-6-28 21:52:36

这应该是个实用的技术.

YOUBADBAD · 发表于 2018-6-29 16:46:28

谢谢楼主

shonker · 发表于 2018-10-5 14:15:23

学习学习

月儿弯弯 · 发表于 2018-10-6 00:06:23

厉害厉害

账号		自动登录	找回密码
密码			加入我们