首页>编程与逆向>PC安全编程>反流氓、反木马和rootkit>进程保护挑战 - 无HOOK无KDOM，微软标准函数
回复
« 返回列表
1 2 3 下一页 »
WQXNETQIQI
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
写私信
阅读：11866回复：46

进程保护挑战 - 无HOOK无KDOM，微软标准函数

楼主#
更多 发布于：2008-04-03 19:03
看到有人诟病360的自我保护，又见江民、微点等一堆国内挫人使用一大堆HOOK对自己的进程做保护
导致系统不稳定还保护不住

于是放点东西出来给大家玩玩，欢迎挑战

测试程序没有使用任何HOOK，没有使用任何KDOM，没有修改任何未公开的数据结构或调用，完全是微软的标准接口和函数，却让无数进程结束，ARK工具望之兴叹，哈哈！

以下是无法结束本测试程序的程序列表，欢迎各位测试自己的工具，逐步更新此表

Icesword 1.22 ---  failed
RKU 3.7 ---  failed
gmer 1.14 ---  failed
SnipeSword 20080225 -- failed
Wsyscheck 20080223  --failed
墨者安全专家进程管理3.05 --- failed
DarkSpy 1.0.5 --- failed
SysProt 1.0.0.5 --- failed

挑战规则：

让进程退出

禁止：
不允许攻击窗口

不允许恢复驱动使用标准函数建立的接口等

不允许破坏驱动内部数据或代码流程（例如保护PID值）
不允许类似上面的技巧

测试程序见压缩包:


测试方法:使用Driver Monitor或DrvLoad等工具加载ppxx.sys
运行ppxx.exe

尝试将其结束
附件名称/大小 下载次数 最后更新
ppxx.rar (16KB)  411 2008-04-03 19:03
喜欢0
驱动开发者 呵呵
回复
dandandeshui
dandandeshui
驱动牛犊
驱动牛犊
  • 注册日期2009-10-07
  • 最后登录2009-10-07
  • 粉丝0
  • 关注0
  • 积分8分
  • 威望81点
  • 贡献值0点
  • 好评度0点
  • 原创分0分
  • 专家分0分
写私信
沙发#
发布于：2009-10-07 18:24
哎！只能顶一下的分啦！
回复(0) 喜欢(0)
HON3389
HON3389
驱动牛犊
驱动牛犊
  • 注册日期2008-03-13
  • 最后登录2009-09-22
  • 粉丝0
  • 关注0
  • 积分4分
  • 威望13点
  • 贡献值0点
  • 好评度0点
  • 原创分0分
  • 专家分0分
写私信
板凳#
发布于：2008-09-24 10:27
Driver Monitor或DrvLoad等工具加载ppxx.sys?????
:
在哪里可以下载！
回复(0) 喜欢(0)
super_kevin
super_kevin
驱动牛犊
驱动牛犊
  • 注册日期2008-08-03
  • 最后登录2009-05-20
  • 粉丝0
  • 关注0
  • 积分2分
  • 威望22点
  • 贡献值0点
  • 好评度0点
  • 原创分0分
  • 专家分0分
写私信
地板#
发布于：2008-08-04 02:21
学习了！
一切皆有可能！
回复(0) 喜欢(0)
zhou_gz8888
zhou_gz8888
驱动牛犊
驱动牛犊
  • 注册日期2003-01-22
  • 最后登录2014-08-05
  • 粉丝0
  • 关注0
  • 积分1分
  • 威望247点
  • 贡献值1点
  • 好评度28点
  • 原创分0分
  • 专家分0分
写私信
地下室#
发布于：2008-06-16 17:51
WQXNETQIQI  这个SB。
回复(0) 喜欢(0)
WQXNETQIQI
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
写私信
5楼#
发布于：2008-05-22 16:36
谁告诉你有意义了，楼上这种傻B太多了 真是受不了
驱动开发者 呵呵
回复(0) 喜欢(0)
zhou_gz8888
zhou_gz8888
驱动牛犊
驱动牛犊
  • 注册日期2003-01-22
  • 最后登录2014-08-05
  • 粉丝0
  • 关注0
  • 积分1分
  • 威望247点
  • 贡献值1点
  • 好评度28点
  • 原创分0分
  • 专家分0分
写私信
6楼#
发布于：2008-05-22 14:33
这个保护没有意义，并且有些愚弄人。冰刃杀之，整个受保护的进程均被挂起了。
回复(0) 喜欢(0)
WQXNETQIQI
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
写私信
7楼#
发布于：2008-05-11 01:13
有在这里发贴胡说八道的时间， 你倒不如亲手去试试
现在的人啊，发贴不经脑子的太多了
驱动开发者 呵呵
回复(0) 喜欢(0)
wang_sir
wang_sir
驱动牛犊
驱动牛犊
  • 注册日期2003-10-19
  • 最后登录2010-08-10
  • 粉丝0
  • 关注0
  • 积分3分
  • 威望37点
  • 贡献值0点
  • 好评度7点
  • 原创分0分
  • 专家分0分
写私信
8楼#
发布于：2008-05-10 18:22
該進程能否 Inject?
如果可以注入一段代碼，這段代碼執行時，把EIP指到零。

行不行得通？
回复(0) 喜欢(0)
poize
poize
驱动牛犊
驱动牛犊
  • 注册日期2005-08-17
  • 最后登录2013-09-13
  • 粉丝0
  • 关注0
  • 积分2分
  • 威望32点
  • 贡献值0点
  • 好评度29点
  • 原创分0分
  • 专家分0分
写私信
9楼#
发布于：2008-04-10 16:46
强烈建议MJ出来公布答案
回复(0) 喜欢(0)
codez
codez
驱动牛犊
驱动牛犊
  • 注册日期2005-06-20
  • 最后登录2016-01-09
  • 粉丝0
  • 关注0
  • 积分7分
  • 威望73点
  • 贡献值0点
  • 好评度49点
  • 原创分0分
  • 专家分0分
写私信
10楼#
发布于：2008-04-09 11:42
说了一圈，最后又回到我提出的两个办法而已。
1. 清链;
2. 改 pid;

人家都说这是作弊了好不好？你们换个方法吧。偶也学习一下
回复(0) 喜欢(0)
killvxk
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
写私信
11楼#
发布于：2008-04-08 15:32
给窗口发关机消息呢？
没有战争就没有进步 X3工作组 为您提供最好的军火
回复(0) 喜欢(0)
wowocock
wowocock
VIP专家组
VIP专家组
  • 注册日期2002-04-08
  • 最后登录2016-01-09
  • 粉丝16
  • 关注2
  • 积分601分
  • 威望1651点
  • 贡献值1点
  • 好评度1227点
  • 原创分1分
  • 专家分0分
写私信
12楼#
发布于：2008-04-08 08:09
因为你的操作干扰了系统的正常行为,所以可能出现很多莫名其妙的问题.整个WINDOWS浩如烟海,即使我们都K,WRK里的东西也不能保证和其保持一致,所以只能是局部处理,把影响的部分最小化.
花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样 一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠
回复(0) 喜欢(0)
jACKNI
jACKNI
驱动牛犊
驱动牛犊
  • 注册日期2005-07-18
  • 最后登录2008-07-29
  • 粉丝0
  • 关注0
  • 积分8分
  • 威望19点
  • 贡献值0点
  • 好评度5点
  • 原创分0分
  • 专家分0分
写私信
13楼#
发布于：2008-04-07 23:04
wowo老大所言极是，做hook的确是最好的办法。也是最稳定的办法。PID变更在稳定上和hook 没法比。
问题是ppxx有个线程太顽固，我也是没办法。大部分时间是花在了怎么干掉那个顽固线程上，还有的就是线程干掉了，它窗口居然还在。还有一些时间是花在了怎么干它窗口上？
回复(0) 喜欢(0)
wowocock
wowocock
VIP专家组
VIP专家组
  • 注册日期2002-04-08
  • 最后登录2016-01-09
  • 粉丝16
  • 关注2
  • 积分601分
  • 威望1651点
  • 贡献值1点
  • 好评度1227点
  • 原创分1分
  • 专家分0分
写私信
14楼#
发布于：2008-04-07 23:01
且不说这种方法有时候可以有时候不可以．如果把ＭＪ的程序稍做改动，在ＤＥＶＩＣＥＩＯＣＯＮＴＲＯＬ保存的是当前的ＥＰＲＯＣＥＳＳ，然后在回调里比较传入的ＰＩＤ和自己的ＥＰＲＯＣＥＳＳ里的ＰＩＤ进行比较的话，马上就失效了．
花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样 一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠
回复(0) 喜欢(0)
wowocock
wowocock
VIP专家组
VIP专家组
  • 注册日期2002-04-08
  • 最后登录2016-01-09
  • 粉丝16
  • 关注2
  • 积分601分
  • 威望1651点
  • 贡献值1点
  • 好评度1227点
  • 原创分1分
  • 专家分0分
写私信
15楼#
发布于：2008-04-07 22:28
F5估计就是ＧＯ的意思．替换的时机应该在调用ＣＡＬＬＢＡＣＫ之前和调用好以后，因为在ＣＡＬＬＢＡＣＫ是没有影响的，所以我认为不做ＨＯＯＫ是不好处理的．
花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样 一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠
回复(0) 喜欢(0)
jACKNI
jACKNI
驱动牛犊
驱动牛犊
  • 注册日期2005-07-18
  • 最后登录2008-07-29
  • 粉丝0
  • 关注0
  • 积分8分
  • 威望19点
  • 贡献值0点
  • 好评度5点
  • 原创分0分
  • 专家分0分
写私信
16楼#
发布于：2008-04-07 22:25
F5 就是键盘最上面一排地6个键-_-.
启动了ppxx后，
kptest.rar中，先用驱动加载工具加载kpsys.sys，然后启动kp.exe.就能把ppxx的进程给关了。
原理就是除了上面说的PID更改＋unmapXXXX.
忘了，在xpsp2下测试通过
附件名称/大小 下载次数 最后更新
kptest.rar (22KB)  42 2008-04-07 22:25
回复(0) 喜欢(0)
WQXNETQIQI
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
写私信
17楼#
发布于：2008-04-07 19:14
f5是什么？

WOW巨牛，貌似替换PID的方法被证实不好用。会出问题
驱动开发者 呵呵
回复(0) 喜欢(0)
powerboot
powerboot
驱动牛犊
驱动牛犊
  • 注册日期2007-12-15
  • 最后登录2009-12-26
  • 粉丝0
  • 关注0
  • 积分92分
  • 威望46点
  • 贡献值0点
  • 好评度34点
  • 原创分0分
  • 专家分0分
写私信
18楼#
发布于：2008-04-07 18:49
引用第28楼lazydog于2008-04-07 16:46发表的  :
看看多无聊的家伙们啊～

请LS的把这个保护破掉再来说我们无聊好不好?
回复(0) 喜欢(0)
lazydog
lazydog
驱动牛犊
驱动牛犊
  • 注册日期2004-07-08
  • 最后登录2009-10-30
  • 粉丝0
  • 关注0
  • 积分4分
  • 威望85点
  • 贡献值0点
  • 好评度72点
  • 原创分0分
  • 专家分0分
写私信
19楼#
发布于：2008-04-07 16:46
看看多无聊的家伙们啊～
回复(0) 喜欢(0)
上一页
游客

关于phpwind联系我们问题反馈程序建议

Powered by phpwind v9.0.2 ©2003-2015 phpwind.com 京ICP备05006834号

返回顶部