|
阅读：1516回复：3
关于恢复 ssdt shadow 的问题
读文件恢复SSDT，比较容易。因为ntos......exe 有导出表。
win32k.sys的很多函数却没有导出。如果按特征码来搜的话，那 2k xp 2003 visa ，每个函数不是要四份特征码吗？ Rootkit Unhooker 这个工具好像就是利用读文件来恢复的。不是用特征码来定位的。 不知道 RU 恢复 ssdt shadow 是怎么实现的。 |
|
|
沙发#
发布于：2007-09-18 14:36
逆向RU看不懂。太复杂
|
|
|
板凳#
发布于：2007-09-18 13:20
如果搜特征码的话，不只四份。因为每个补丁版本，特征码也很可能不一样
|
|
|
|
地板#
发布于：2007-09-18 12:13
let's reverse it!
 |
|
|
