首页>编程与逆向>内核编程>ssdt hook 卸载的时候导致蓝屏（是否与杀毒软件冲突）
回复
« 返回列表
1 2 下一页 »
yujiankk
yujiankk
驱动牛犊
驱动牛犊
  • 注册日期2006-03-29
  • 最后登录2014-12-05
  • 粉丝0
  • 关注0
  • 积分15分
  • 威望164点
  • 贡献值0点
  • 好评度33点
  • 原创分0分
  • 专家分0分
写私信
阅读：4201回复：22

ssdt hook 卸载的时候导致蓝屏（是否与杀毒软件冲突）

楼主#
更多 发布于：2007-11-19 22:41
我用ssdt hook了某些函数，然后装上防病毒软件，用扫描工具发现他也ssdt hook了函数，有几个和我的一样；我卸载我的驱动程序，蓝屏UNLOADED_WITHOUT_CANCELLING_PENDING_OPERATIONS；但是这个蓝屏很难重现，我重复了很多次，结果只出现2次

现在分析如下：不知道对不对

我hook了某函数x，地址由x替换为我的函数地址A，地址x被保存至变量
防病毒软件也hook函数x，将A地址替换了他的地址B；
现在系统调用关系：B－－》A－－－－》x
现在卸载A的时候，正好系统调用走只A，A地址无效导致蓝屏？

不知道此分析对不对

有没有什么解决方法啊

谢谢
喜欢0
回复
znsoft
znsoft
管理员
管理员
  • 注册日期2001-03-23
  • 最后登录2023-10-25
  • 粉丝300
  • 关注6
  • 积分910分
  • 威望14796点
  • 贡献值7点
  • 好评度2410点
  • 原创分5分
  • 专家分100分
写私信
  • 社区居民
  • 最爱沙发
  • 社区明星
沙发#
发布于：2007-11-19 23:55
增加调用引用计数,在卸载时等待调用完成即可
http://www.zndev.com 免费源码交换网 ----------------------------- 软件创造价值，驱动提供力量! 淡泊以明志，宁静以致远。 ---------------------------------- 勤用搜索，多查资料，先搜再问。
回复(0) 喜欢(0)
znsoft
znsoft
管理员
管理员
  • 注册日期2001-03-23
  • 最后登录2023-10-25
  • 粉丝300
  • 关注6
  • 积分910分
  • 威望14796点
  • 贡献值7点
  • 好评度2410点
  • 原创分5分
  • 专家分100分
写私信
  • 社区居民
  • 最爱沙发
  • 社区明星
板凳#
发布于：2007-11-19 23:55
随便说一下,版上讨论过几次了,而且还有源码
http://www.zndev.com 免费源码交换网 ----------------------------- 软件创造价值，驱动提供力量! 淡泊以明志，宁静以致远。 ---------------------------------- 勤用搜索，多查资料，先搜再问。
回复(0) 喜欢(0)
tooflat
tooflat
论坛版主
论坛版主
  • 注册日期2002-07-08
  • 最后登录2014-03-11
  • 粉丝2
  • 关注0
  • 积分1007分
  • 威望551点
  • 贡献值3点
  • 好评度476点
  • 原创分0分
  • 专家分0分
写私信
地板#
发布于：2007-11-20 09:31
另外楼主的分析也是非常有可能的。B -> A -> X，结果A被卸载了。
回复(0) 喜欢(0)
qq_10652
qq_10652
驱动牛犊
驱动牛犊
  • 注册日期2004-11-11
  • 最后登录2008-07-04
  • 粉丝0
  • 关注0
  • 积分560分
  • 威望57点
  • 贡献值0点
  • 好评度57点
  • 原创分0分
  • 专家分0分
写私信
地下室#
发布于：2007-11-20 10:10
卸载A的时候要保证B不是正好在执行，这样当A卸载后，X的地址还原成了A以前的，B就废掉了
回复(0) 喜欢(0)
wowocock
wowocock
VIP专家组
VIP专家组
  • 注册日期2002-04-08
  • 最后登录2016-01-09
  • 粉丝16
  • 关注2
  • 积分601分
  • 威望1651点
  • 贡献值1点
  • 好评度1227点
  • 原创分1分
  • 专家分0分
写私信
5楼#
发布于：2007-11-20 13:37
别SSDT了，已经END OF  THE ROAD了，换点新方法吧。
花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样 一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠
回复(0) 喜欢(0)
WQXNETQIQI
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
写私信
6楼#
发布于：2007-11-20 13:42
赶快换上NSI PROVIDER HOOK吧，适应全新VISTA网络体系哦！
驱动开发者 呵呵
回复(0) 喜欢(0)
packze
packze
驱动牛犊
驱动牛犊
  • 注册日期2005-09-19
  • 最后登录2008-01-19
  • 粉丝0
  • 关注0
  • 积分151分
  • 威望17点
  • 贡献值0点
  • 好评度15点
  • 原创分0分
  • 专家分0分
写私信
7楼#
发布于：2007-11-20 13:48
引用第1楼znsoft于2007-11-19 23:55发表的  :
增加调用引用计数,在卸载时等待调用完成即可

处理得太简单的话，还是有可能蓝屏的
回复(0) 喜欢(0)
qq_10652
qq_10652
驱动牛犊
驱动牛犊
  • 注册日期2004-11-11
  • 最后登录2008-07-04
  • 粉丝0
  • 关注0
  • 积分560分
  • 威望57点
  • 贡献值0点
  • 好评度57点
  • 原创分0分
  • 专家分0分
写私信
8楼#
发布于：2007-11-20 14:23
如果要使用MS建议的方法，请参考：http://blogs.msdn.com/windowsvistasecurity/archive/2006/08/11/695993.aspx
如果需要技术支持请联系：msra@microsoft.com
回复(0) 喜欢(0)
zhangleierli
zhangleierli
驱动小牛
驱动小牛
  • 注册日期2007-01-31
  • 最后登录2017-05-24
  • 粉丝1
  • 关注0
  • 积分3分
  • 威望158点
  • 贡献值0点
  • 好评度146点
  • 原创分0分
  • 专家分0分
写私信
  • 社区居民
9楼#
发布于：2007-11-20 18:42
我也遇到过类似的问题，也加入了引用计数，基本上不会蓝屏了，但是偶尔，几率非常小，还是会出现蓝屏
回复(0) 喜欢(0)
zhangleierli
zhangleierli
驱动小牛
驱动小牛
  • 注册日期2007-01-31
  • 最后登录2017-05-24
  • 粉丝1
  • 关注0
  • 积分3分
  • 威望158点
  • 贡献值0点
  • 好评度146点
  • 原创分0分
  • 专家分0分
写私信
  • 社区居民
10楼#
发布于：2007-11-20 18:44
搂主如果想让你的蓝屏出现的更多的话，把CPU到100%，在卸载驱动，基本都会蓝的.
回复(0) 喜欢(0)
killvxk
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
写私信
11楼#
发布于：2007-11-20 19:35
引用第6楼WQXNETQIQI于2007-11-20 13:42发表的  :
赶快换上NSI PROVIDER HOOK吧，适应全新VISTA网络体系哦！


此路可通～哎～～
没有战争就没有进步 X3工作组 为您提供最好的军火
回复(0) 喜欢(0)
yujiankk
yujiankk
驱动牛犊
驱动牛犊
  • 注册日期2006-03-29
  • 最后登录2014-12-05
  • 粉丝0
  • 关注0
  • 积分15分
  • 威望164点
  • 贡献值0点
  • 好评度33点
  • 原创分0分
  • 专家分0分
写私信
12楼#
发布于：2007-11-20 22:55
怎么加入计数啊？能否给点代码提示
回复(0) 喜欢(0)
guaiguaiguan
guaiguaiguan
驱动中牛
驱动中牛
  • 注册日期2003-10-11
  • 最后登录2011-01-12
  • 粉丝0
  • 关注0
  • 积分14分
  • 威望556点
  • 贡献值0点
  • 好评度490点
  • 原创分0分
  • 专家分0分
写私信
13楼#
发布于：2007-11-21 10:36
楼上各位，把你们过时的技术都送给我吧，我跟不上时代，也不嫌其旧。
回复(0) 喜欢(0)
wdnfa
wdnfa
驱动牛犊
驱动牛犊
  • 注册日期2007-10-16
  • 最后登录2008-12-09
  • 粉丝0
  • 关注0
  • 积分250分
  • 威望29点
  • 贡献值0点
  • 好评度28点
  • 原创分0分
  • 专家分0分
写私信
14楼#
发布于：2007-11-25 23:26
引用第5楼wowocock于2007-11-20 13:37发表的  :
别SSDT了，已经END OF  THE ROAD了，换点新方法吧。


对于我们这些才学习的人还是很有用的嘛，总得有个入口点嘛，呵呵
驱网无线，快乐无限
回复(0) 喜欢(0)
paladinii
paladinii
驱动中牛
驱动中牛
  • 注册日期2003-10-28
  • 最后登录2012-03-09
  • 粉丝0
  • 关注0
  • 积分282分
  • 威望74点
  • 贡献值0点
  • 好评度23点
  • 原创分0分
  • 专家分0分
写私信
15楼#
发布于：2007-12-07 16:11
:-)
Ideas for life!
回复(0) 喜欢(0)
killvxk
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
写私信
16楼#
发布于：2007-12-07 20:01
驱动从不卸载~~而且直接下发走真实SSDT,很少读取xxx~~hook淫荡的xxxx函数们（无导出啊无导出）      
没有战争就没有进步 X3工作组 为您提供最好的军火
回复(0) 喜欢(0)
WQXNETQIQI
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
写私信
17楼#
发布于：2007-12-08 11:36
事实告诉我们，不走寻常路，才能不蓝屏
驱动开发者 呵呵
回复(0) 喜欢(0)
killvxk
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
写私信
18楼#
发布于：2007-12-09 02:24
不走寻常路，才能不蓝屏
不走寻常路，才能不蓝屏

很好的评论~~
、
没有战争就没有进步 X3工作组 为您提供最好的军火
回复(0) 喜欢(0)
qiweixue
qiweixue
驱动小牛
驱动小牛
  • 注册日期2004-07-21
  • 最后登录2011-12-19
  • 粉丝0
  • 关注0
  • 积分1006分
  • 威望274点
  • 贡献值0点
  • 好评度268点
  • 原创分1分
  • 专家分0分
写私信
19楼#
发布于：2007-12-17 14:20
开头InterlockedIncrement增加记数..

末尾InterlockedDecrement减少引用记数,,,
最后比较是否为0,在确认卸载
回复(0) 喜欢(0)
上一页
游客

关于phpwind联系我们问题反馈程序建议

Powered by phpwind v9.0.2 ©2003-2015 phpwind.com 京ICP备05006834号

返回顶部