象 cih 病毒那样修改 idt ,再自己执行一个 int3 ,这样在 trw2000 下不会执行新的中断代码, 而是转入 vmm 的

    哪位大侠仔细研究过 trw2000 ver1.23 注册版? 知道它的内部工作原理吗? 我只是粗略地知道它的 trw2000.sys 文件是用的 nt 的 miniport 驱动格式.大概和它的插件编程相似,用的是 c 语言.

    它是动态装载. 替换了 windows 98 系统的 int1 , int3 ,等等好多中断. 它还替换了 vmm.vxd 中好多与调试相关的 vxd 服务函数. 比如 Test_Debug_Installed ,它新建的这个函数总是传回自己已经加载了,这也是一种监测它是否加载的方法.这点 softice 也是一样的.
它回写文件是用的系统服务 IFSMgr_Ring0_FileIO . 和 softice 一样,还调用系统服务 VKD_Define_Hot_Key , 定义了两个快捷键.

    还有象 cih 病毒那样修改 idt ,再自己执行一个 int3 ,这样在 trw2000 下不会执行新的中断代码, 而是转入 vmm 的 intD 入口(产生一般保护错误?).而 softice 下确可以执行新的中断代码.各位自己试试就知道了. 这是为什么呢?
  
    哪位大侠知道更多,可以指教一二.我是初学者,很菜.以上如果有错误,一定给我指出啊!

相关软件参考下载地址(在其附件中):

http://www.miecn.com/cgi-bin/topic.cgi?forum=2&topic=240&show=0

    没有人回答吗? 下载附件中的程序玩玩吧. 里面有 trw2000 ver1.23 注册版(与 softice 一样好的调试器), 还有切入 windows 98 零特权级的两个实例程序. 里面有该问题的详细说明.

老兄，还是用SoftIce吧，98，2000，XP下都能用，比那个好多了

就使用上, 总起来说, 它确实不如 softice .

不过我的目的不是使用. 而是研究这两个软件的核心代码. 所以要刨根问底.