记得一年前cardmagic曾经写过一篇文章,其中提到了bus level的文件隐藏技术,不过没有涉及细节,现在旧话重提,希望大牛们暴暴料?
回复(22) 2008-04-11 18:53 来自版块 - 反流氓、反木马和rootkit
表情
qiweixue引用第20楼WQXNETQIQI于2008-04-16 13:36发表的 : 不要怀疑,就是可以这么取的 这个跟过滤驱动有啥关系?再说,如果自己解析磁盘,这儿就没这个信息了 嘿嘿,学习。。。。 不通过设备栈,通过atapi解析磁盘到是不错,,, 。。。没实现过,不知道杂样。路...(2008-04-24 17:07)
GoodOnline就是他atapi. 不过目前支持boot的设备不光是 ide了,还有usb sd.(2008-04-22 14:47)
WQXNETQIQI不要怀疑,就是可以这么取的 这个跟过滤驱动有啥关系?再说,如果自己解析磁盘,这儿就没这个信息了(2008-04-16 13:36)
powerboot我觉得也是,看了mj的那段代码,如果能如此简单的通过fileobject来获取文件路径及名称的话过滤驱动岂不是很好写???(2008-04-16 13:05)
zjjmj2002可能是在缓存里。(2008-04-16 08:32)
wowocock简单测试了下,在ATAPI层获得的那些FILE 基本都是写注册表的LOG文件,很难找到需要的信息.(2008-04-16 08:31)
killvxk可以从nt4或者DDK的fastfat的代码往下去解读~(2008-04-16 01:39)
killvxk很神奇的哦~(2008-04-16 01:16)
powerboot引用第13楼WQXNETQIQI于2008-04-14 04:01发表的 : 文件枚举也是磁盘读取 你下的dispatch不对,当然不弹 我把port的每一个dispatch都轮流替换了一遍发现都不行。。。 也许是我人品有问题。。。(2008-04-14 09:37)
WQXNETQIQI文件枚举也是磁盘读取 你下的dispatch不对,当然不弹(2008-04-14 04:01)

返回顶部