强力的文件隐藏手段：绕过 Raw 模式文件系统 I/O Rootkit 检测程序

ldljlzw 驱动中牛注册日期2002-03-16 最后登录2014-01-02 粉丝1 关注0 积分1021分威望372点贡献值0点好评度187点原创分0分专家分0分加关注写私信	40楼^# 发布于：2007-04-10 22:44 说实话.这个东东原理上是不难的,只要知道了你要读写的文件系统是怎么读写的不就OK了.问题是什么东西都自己来那就是问题了,现在可是一个开源合法的时代.
	回复(0) 喜欢(0)

wowocock

VIP专家组

注册日期2002-04-08
最后登录2016-01-09
粉丝16
关注2
积分601分
威望1651点
贡献值1点
好评度1227点
原创分1分
专家分0分

加关注写私信

41楼^#

发布于：2007-04-10 23:04

首先说明下，这玩意不是我写的，不过我认为他写的还算不错，所以给放出来给大家研究，虽然前面有N多的牛人都在自我吹捧，可也希望你们拿点东西出来，不要老是以自己搞什么高深的学术研究为借口来搪塞。。。。。。

花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠

回复喜欢

slwqw

驱动大牛

注册日期2002-07-18
最后登录2016-01-09
粉丝0
关注0
积分7分
威望197点
贡献值0点
好评度147点
原创分0分
专家分0分

加关注写私信

42楼^#

发布于：2007-04-10 23:24

引用第41楼wowocock于2007-04-10 23:04发表的“”:
首先说明下，这玩意不是我写的，不过我认为他写的还算不错，所以给放出来给大家研究，虽然前面有N多的牛人都在自我吹捧，可也希望你们拿点东西出来，不要老是以自己搞什么高深的学术研究为借口来搪塞。。。。。。

你放的那个只有 FileLib.sys吧，哪里有DirectDisk的bin?

FileLib.sys刚开始看，吓了一跳，那么大，以为都是好货。结果一压缩，只有17K，又吓了一跳，直接使用UE打开，发现都是空白，晕，被忽悠了一把。

回复喜欢

wowocock

VIP专家组

注册日期2002-04-08
最后登录2016-01-09
粉丝16
关注2
积分601分
威望1651点
贡献值1点
好评度1227点
原创分1分
专家分0分

加关注写私信

43楼^#

发布于：2007-04-10 23:28

引用第42楼slwqw于2007-04-10 23:24发表的“”:

你放的那个只有 FileLib.sys吧，哪里有DirectDisk的bin?

FileLib.sys刚开始看，吓了一跳，那么大，以为都是好货。结果一压缩，只有17K，又吓了一跳，直接使用UE打开，发现都是空白，晕，被忽悠了一把。

如果你认为很简单的话，就象DOSKEY那样反出来给大家说说，至少我觉得里面的有点东西，我还不是很清楚。

花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠

回复喜欢

123456789012 驱动牛犊注册日期2006-04-07 最后登录2009-11-08 粉丝0 关注0 积分80分威望61点贡献值0点好评度60点原创分1分专家分0分加关注写私信	44楼^# 发布于：2007-04-11 00:38 很高兴能引起各位大牛的热烈讨论，不过千万不要让技术讨论演变成政治斗争啊……我还指望能偷学点东西呢……
	回复(0) 喜欢(0)

slwqw

驱动大牛

注册日期2002-07-18
最后登录2016-01-09
粉丝0
关注0
积分7分
威望197点
贡献值0点
好评度147点
原创分0分
专家分0分

加关注写私信

45楼^#

发布于：2007-04-11 01:08

引用第43楼wowocock于2007-04-10 23:28发表的“”:

如果你认为很简单的话，就象DOSKEY那样反出来给大家说说，至少我觉得里面的有点东西，我还不是很清楚。

反出来，我是没有这个能力了。只是这个FileLib.sys的威力没有像作者描述的那么利害而已（其实就是直接打开“卷设备对象”），故有此感叹。真正有威力的应该是DirectDisk了，可惜没有bin。

回复喜欢

sosojohn 论坛版主注册日期2006-01-29 最后登录2021-06-25 粉丝0 关注1 积分1047分威望535点贡献值1点好评度178点原创分0分专家分0分加关注写私信	46楼^# 发布于：2007-04-11 10:06 这年月，有个bin，就基本上等于代码Open了。太可怕了
	回复(0) 喜欢(0)

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

47楼^#

发布于：2007-04-11 12:11

为啥要反呢？
人家可爱的ntfs for linux 的驱动代码在那里呢～读取ntfs的玩意，网上也不少代码，如果不考虑那个directDisk现在看来FileLib很容易实现，只是我不知道实现它有啥意思～
从本质上说，我不相信一个几个人开发的东西，可以有一个几十人甚至上百人的开发的东西稳定和安全...

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

48楼^#

发布于：2007-04-11 12:14

我愿意花钱卖一个产品级的代码，但是绝对不会花钱卖一个poc代码～
虽然我也很希望看到代码，但是产品级和poc级之间的差距，就好比M$和我们
这些所谓的内核很熟的人之间的差距～

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

slwqw

驱动大牛

注册日期2002-07-18
最后登录2016-01-09
粉丝0
关注0
积分7分
威望197点
贡献值0点
好评度147点
原创分0分
专家分0分

加关注写私信

49楼^#

发布于：2007-04-11 13:49

引用第47楼killvxk于2007-04-11 12:11发表的“”:
为啥要反呢？
人家可爱的ntfs for linux 的驱动代码在那里呢～读取ntfs的玩意，网上也不少代码，如果不考虑那个directDisk现在看来FileLib很容易实现，只是我不知道实现它有啥意思～
从本质上说，我不相信一个几个人开发的东西，可以有一个几十人甚至上百人的开发的东西稳定和安全...

支持！！！

回复喜欢

wangjianfeng

驱动小牛

注册日期2004-05-28
最后登录2013-10-02
粉丝0
关注0
积分1002分
威望263点
贡献值0点
好评度260点
原创分0分
专家分0分

加关注写私信

50楼^#

发布于：2007-04-11 14:37

引用第48楼killvxk于2007-04-11 12:14发表的“”:
我愿意花钱卖一个产品级的代码，但是绝对不会花钱卖一个poc代码～
虽然我也很希望看到代码，但是产品级和poc级之间的差距，就好比M$和我们
这些所谓的内核很熟的人之间的差距～

V大真的很谦虚,这些话说的太对了,看微软才是真正的有海洋的深度啊,这一点值提我们小牛们努力学习. Wo大也很谦虚,常给小牛们解答个问题, Doskey很伟大,常反些东西给我们学,Xikug也很伟大,嘿嘿.

我能说啥,我就会说这个,我是谁,我是小牛,这年头,装B与卖淫同罪.

回复喜欢

rhettxie

驱动牛犊

注册日期2004-10-27
最后登录2010-02-04
粉丝0
关注0
积分3分
威望65点
贡献值0点
好评度59点
原创分0分
专家分0分

加关注写私信

51楼^#

发布于：2007-04-11 14:39

引用第50楼wangjianfeng于2007-04-11 14:37发表的“”:

装B与卖淫同罪.

顶

我想知道 hook IofCompleteRequest 这个函数还能做点什么？谁暴点东西出来？

静水流深

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

52楼^#

发布于：2007-04-11 16:15

引用第51楼rhettxie于2007-04-11 14:39发表的“”:

顶

.......

可以过滤不少东西～比如键盘鼠标的玩意～～嘿嘿～～
不过做得太多估计机器会很卡～

一切过滤请用正规filter

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

GoodOnline 驱动小牛注册日期2007-04-11 最后登录2009-02-28 粉丝0 关注0 积分4分威望204点贡献值0点好评度191点原创分0分专家分0分加关注写私信	53楼^# 发布于：2007-06-11 16:18 这个保密,那个保密,如果都保密,就别说出来. 估计以后大伙法贴吹牛吧.
	回复(0) 喜欢(0)

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

54楼^#

发布于：2007-06-12 11:11

引用第53楼GoodOnline于2007-06-11 16:18发表的 :
这个保密,那个保密,如果都保密,就别说出来.

估计以后大伙法贴吹牛吧.

最近看了一些东西觉得，他们真的没有啥品～

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

GoodOnline 驱动小牛注册日期2007-04-11 最后登录2009-02-28 粉丝0 关注0 积分4分威望204点贡献值0点好评度191点原创分0分专家分0分加关注写私信	55楼^# 发布于：2007-06-12 13:39 引用第54楼killvxk于2007-06-12 11:11发表的 : 最近看了一些东西觉得，他们真的没有啥品～看啥了?
	回复(0) 喜欢(0)

quren

驱动牛犊

注册日期2008-06-11
最后登录2011-04-24
粉丝0
关注0
积分3分
威望43点
贡献值0点
好评度0点
原创分0分
专家分0分

加关注写私信

56楼^#

发布于：2008-07-20 12:31

引用第31楼WQXNETQIQI于2007-04-10 21:22发表的 :

放个TESTER就挂了，无数XX人虎视耽耽，怎敢放BIN~~~我们的小得很。。呵呵
不过读写都稳定得很
以前打算用来删流氓的，后来发现那些小流氓们根本不够资格~

那你就在这里多多培养这些小流氓，以后你对付起来也有些意思点吧！
不像现在这么无聊呀。。。。。

最好开个流氓培训班出来。

呵呵！！！！

回复喜欢

haidejintou 驱动牛犊注册日期2009-04-24 最后登录2014-10-22 粉丝0 关注0 积分31分威望301点贡献值0点好评度0点原创分0分专家分0分加关注写私信	57楼^# 发布于：2013-08-24 20:04 看看先，谢谢了啊。
	回复(0) 喜欢(0)

您需要登录后才可以回帖，登录或者注册