强力的文件隐藏手段：绕过 Raw 模式文件系统 I/O Rootkit 检测程序

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

20楼^#

发布于：2007-04-10 20:02

下载下来瞬间被杀～～

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

21楼^#

发布于：2007-04-10 20:02

估计又是用了什么猥琐的东西

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

22楼^#

发布于：2007-04-10 20:03

还以为怎么牛比了～原来只支持读ntfs~

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

23楼^#

发布于：2007-04-10 20:04

还不如开源工程那个ntfs的Win驱动在linux运行有意思

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

cyliu

论坛版主

注册日期2003-06-13
最后登录2014-04-11
粉丝5
关注0
积分1238分
威望2531点
贡献值0点
好评度577点
原创分14分
专家分10分

加关注写私信

24楼^#

发布于：2007-04-10 20:08

引用第9楼wowocock于2007-04-10 13:35发表的“”:
推荐B梦的FILELIB+DIRECT DISK,确实不错
DirectDisk V1.0

DirectDisk提供了一组磁盘读写接口，通过调用这组接口，可以绕过WINDOWS内核的文件系统驱动和磁盘驱动，读写到
真实磁盘上的扇区内容。
.......

没有搞明白，做这个directdisk目的是什么，到底想做什么啊？

如果磁盘文件是加密的，密钥是保存在双因子认证的硬件中，那么这个directdisk对要达到的目的是否还有用途？请指点，谢谢！

个人认为既然龙芯我们都能做出来，就不能作出一个操作系统吗？各位大牛们为何不想想如何做出一个安全级别A级操作系统呢，呵呵！因为看到各位能力真的都高不可测的，那么何必总是跟在ms后面跑呢，老是给他“打补丁”太不合算了。ms总是领跑者，我们总是跟随者，这样在战略上讲太迟亏了，费力不讨好阿。

东西不怕破，就怕不做。记得法国航空界的发动机开始性能相当的差，但是法国政府坚持使用本国的，再差也用，到现在谁敢小视其航空能力啊！本人瞎说，各抒己见，呵呵！

走走看看开源好 Solaris vs Linux

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

25楼^#

发布于：2007-04-10 20:42

说的好～
我现在已经不用那些东西了，改成猥琐流派～
Hook IoCreateSymLink,看是谁的，检查含有detector的特征，直接0x45填写其内存使之蓝屏之～

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

zzq191

驱动中牛

注册日期2001-08-09
最后登录2018-05-29
粉丝17
关注0
积分1041分
威望716点
贡献值0点
好评度318点
原创分0分
专家分0分

加关注写私信

26楼^#

发布于：2007-04-10 20:45

这个直接操作磁盘的方法，读还好办，写文件那就得考虑是否会被系统覆盖掉

QQ:416331891，承接windows下应用和驱动的开发,雅虎通:zzq191, Email:zzq191@21cn.com

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

27楼^#

发布于：2007-04-10 20:47

强烈要求SRC~

另外说句有意思的，这玩意怎么这么大？在驱动里分析文件系统么？～

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

28楼^#

发布于：2007-04-10 20:58

引用第26楼zzq191于2007-04-10 20:45发表的“”:
这个直接操作磁盘的方法，读还好办，写文件那就得考虑是否会被系统覆盖掉

读，简单，写寸步难行～

当年那些伟大的前辈都应该把代码收藏着，别让人看见，估计这样更好了～

用句那些0day贩子常说的话：这个代码因为危害太大，我们决定只提供给出价高者。

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

29楼^#

发布于：2007-04-10 21:00

最近这段日子心情不好...
RMVB解码被人给用了，而且去掉了我的logo,十分生气～

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

mirr0r 驱动牛犊注册日期2003-07-16 最后登录2010-06-14 粉丝1 关注0 积分6分威望32点贡献值0点好评度19点原创分0分专家分0分加关注写私信	30楼^# 发布于：2007-04-10 21:13 ntfs的东西自己写会被系统覆盖掉，FAT32还可以
	回复(0) 喜欢(0)

WQXNETQIQI

驱动大牛

注册日期2006-06-12
最后登录2010-10-26
粉丝0
关注0
积分13分
威望1076点
贡献值0点
好评度895点
原创分1分
专家分0分

加关注写私信

31楼^#

发布于：2007-04-10 21:22

引用第17楼znsoft于2007-04-10 16:51发表的“”:

不是吹牛吧?放个 tester出来看看

放个TESTER就挂了，无数XX人虎视耽耽，怎敢放BIN~~~我们的小得很。。呵呵
不过读写都稳定得很
以前打算用来删流氓的，后来发现那些小流氓们根本不够资格~

驱动开发者呵呵

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

32楼^#

发布于：2007-04-10 21:24

哦？我的Hook IoFileObjectType->XXX那个也不够～～呜呜呜～～
MJ你不能这么伤害我的心灵～

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

33楼^#

发布于：2007-04-10 21:27

贴段小代码：
OB_PARSE_METHOD* pDestination = &(*IoFileObjectType)->TypeInfo.ParseProcedure;
  pFSParseFileOrig = *pDestination;
  if (pFSParseFileOrig != NULL)
   InterlockedExchange((LONG*)pDestination, (LONG)VxkFSParseFile);

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

cardmagic

驱动中牛

注册日期2005-03-15
最后登录2010-01-14
粉丝0
关注0
积分1000分
威望317点
贡献值0点
好评度312点
原创分0分
专家分0分

加关注写私信

34楼^#

发布于：2007-04-10 21:38

引用第7楼wowocock于2007-04-10 13:17发表的“”:
现在大家都自己实现FS了,你的HOOK得往下移,而且有家伙号称可以不用系统的FS,DISK DRIVER,来直接访问磁盘,不过好象还是没自己实现MINI PORT的DRIVER,不过目前即使在DISK.SYS这层的HOOK已经不够了,所以HOOK还得下移......

这个是普及文章~ 嘿嘿
现在我的xx已经是在bus级别的了.

牌术千术IT cardmagic.bokee.com

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

35楼^#

发布于：2007-04-10 21:49

引用第34楼cardmagic于2007-04-10 21:38发表的“”:

这个是普及文章~ 嘿嘿
现在我的xx已经是在bus级别的了.

怎么做bus级？dcp挂钩还是filter~filter貌似很难～

还是挂钩某些函数？

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

cardmagic

驱动中牛

注册日期2005-03-15
最后登录2010-01-14
粉丝0
关注0
积分1000分
威望317点
贡献值0点
好评度312点
原创分0分
专家分0分

加关注写私信

36楼^#

发布于：2007-04-10 21:50

引用第9楼wowocock于2007-04-10 13:35发表的“”:
推荐B梦的FILELIB+DIRECT DISK,确实不错
DirectDisk V1.0

DirectDisk提供了一组磁盘读写接口，通过调用这组接口，可以绕过WINDOWS内核的文件系统驱动和磁盘驱动，读写到
真实磁盘上的扇区内容。
.......

其实绕过disk.sys读很容易(写暂且不说),很多私人的和安全公司的现有产品都可以很简单的移植过去.至于想不想做,是公司和个人的策略问题而已.filereg加以修改也可以. effort不大.....因为毕竟不要象真正的file system那样去考虑很多事情,所以相对来说是简单多了....

牌术千术IT cardmagic.bokee.com

回复喜欢

cardmagic

驱动中牛

注册日期2005-03-15
最后登录2010-01-14
粉丝0
关注0
积分1000分
威望317点
贡献值0点
好评度312点
原创分0分
专家分0分

加关注写私信

37楼^#

发布于：2007-04-10 21:56

引用第35楼killvxk于2007-04-10 21:49发表的“”:

怎么做bus级？dcp挂钩还是filter~filter貌似很难～

还是挂钩某些函数？

挂钩,filter都可以.
不过我的版本是某种钩子.具体的情况,可能除我之外只有一个和我共同效力的人知道了(不过老v也认识他的说)~

牌术千术IT cardmagic.bokee.com

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

38楼^#

发布于：2007-04-10 21:57

.......

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

ldljlzw 驱动中牛注册日期2002-03-16 最后登录2014-01-02 粉丝1 关注0 积分1021分威望372点贡献值0点好评度187点原创分0分专家分0分加关注写私信	39楼^# 发布于：2007-04-10 22:37 *引用第23楼killvxk于2007-04-10 20:04发表的“”*: 还不如开源工程那个ntfs的Win驱动在linux运行有意思请问老V,这个个开源工程指的是那个?
	回复(0) 喜欢(0)

您需要登录后才可以回帖，登录或者注册