发一份主动防御代码,32位和64位

2012-2-27 Nie.Meining Coding

算是个雏形吧,界面很丑,拦截的函数也不够多,不过框架是完整的,很容易扩展。
几个月前写的,本来想完善一下再放出来,但是发现最近实在没时间弄了。

截两个图:
点击查看原图点击查看原图

阅读全文>>

评论(80) 浏览(60500)

QQ电脑管家中的 Hook 过程分析

2012-2-10 Nie.Meining Debug

最近对QQ电脑管家中的TsFltMgr.sys做了些分析,发现不少有用的东西,这里跟大家分享一下 TsFltMgr 对 KiFastCallEntry 的 Hook 过程。
虽然整个过程中并没有新的技术,但毕竟是面向市场的产品,从兼容性、安全性出发,工作过程中需要把问题考虑全面一些、处理问题时尽量细致,这些都是值得学习的地方。

我们从这个函数开始:

BOOLEAN StartWork()

{

    ULONG ulOsVersion;

阅读全文>>

评论(1) 浏览(14497)

QQ电脑管家中的TsFltMgr Hook框架分析

2012-2-6 Nie.Meining Debug

新版的QQ电脑管家中多了一个名字叫TsFltMgr.sys的驱动(应该是Sysnap大牛开发的,膜拜),对该驱动进行了一些简单的分析,看见了一套漂亮的Hook框架,发出来与大家分享。分析不对的地方请多多包涵。
 
首先TsFltMgr挂钩了KiFastCallEntry函数,Hook点在这里:

kd> u KiFastCallEntry+e3

nt!KiFastCallEntry+0xe3:

8053dbb3 c1e902        shr     ecx,2

-------------------------------------------------------------------------

阅读全文>>

评论(0) 浏览(3743)

Powered by emlog