frankvista

驱动牛犊

注册日期2006-06-28
最后登录2007-02-17
粉丝0
关注0
积分230分
威望24点
贡献值0点
好评度23点
原创分0分
专家分0分

加关注写私信

阅读：3791回复：27

本人想开发一个软件，希望高手能提些意见，请进

楼主^#

更多发布于：2007-01-24 21:19

软件名：DChecker（类似IceSword和DarkSpy）
开发第一个版本：0.1 Checked Build with Symbol
第一个正式版：1.0 Release Build
软件预期功能：
一、进程管理
1.进程枚举
通过PspCidTable枚举，通过KPCR枚举线程然后获取进程（希望高手给我些KPCR的资料，我手头资料实在太少，0.2版本实现），通过csrss枚举(这个打算在1.0版本中实现)
2.进程删除
暂时使用NtTerminateProcess实现（希望再给些方法）
3.进程Suspend和Resume（0.2版本实现）
暂时使用NtSuspendThread（有没有SuspendProcess?），NtResumeThread
4.枚举模块（1.0版本实现）
暂时使用EPEB枚举
5.枚举线程
从EPEB枚举
二、线程管理
基本与进程管理相同，就是枚举通过KiDispatcherReadyListHead
三、文件管理（期望在0.2版本实现）
1.文件创建以及Hex和AscII改写（期望在1.0版本中开发）
2.文件删除
3.文件拷贝
四、注册表管理（期望在1.2版本及以后版本实现）
五、SSDT管理（期望在0.2版本实现）
1.SSDT枚举
2.SSDT修改（期望在1.0版本以后实现，而且提醒用户危险）
3.SSDT恢复（期望在1.2版本以后实现）
暂时这些

--------------------------------------------------------------------------------

喜欢1

最新喜欢：

HWFDVD

WQXNETQIQI

驱动大牛

注册日期2006-06-12
最后登录2010-10-26
粉丝0
关注0
积分13分
威望1076点
贡献值0点
好评度895点
原创分1分
专家分0分

加关注写私信

沙发^#

发布于：2007-01-24 21:36

没什么意思，就这点玩意要比上is和ds实在是。。。。

驱动开发者呵呵

回复喜欢

liuyan1

驱动老牛

注册日期2001-08-27
最后登录2023-04-18
粉丝0
关注0
积分1031分
威望477点
贡献值0点
好评度187点
原创分0分
专家分0分

加关注写私信

板凳^#

发布于：2007-01-24 21:57

支持楼主,挑战权贵!

楼上的客，楼下的客，听我老坎说明白，要苛屎有草纸，不要扯我的麦席子，要苛尿有夜壶，不要在床上划地图。

回复喜欢

firabc 驱动牛犊注册日期2004-10-10 最后登录2007-10-20 粉丝0 关注0 积分410分威望42点贡献值0点好评度42点原创分0分专家分0分加关注写私信	地板^# 发布于：2007-01-24 22:01 怎么现在都流行写ARK的？，希望MJ的可以早点放出来
	回复(0) 喜欢(0)

wowocock

VIP专家组

注册日期2002-04-08
最后登录2016-01-09
粉丝16
关注2
积分601分
威望1651点
贡献值1点
好评度1227点
原创分1分
专家分0分

加关注写私信

地下室^#

发布于：2007-01-24 22:06

DARKSPY也都已经落后了.

花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠

回复喜欢

WQXNETQIQI

驱动大牛

注册日期2006-06-12
最后登录2010-10-26
粉丝0
关注0
积分13分
威望1076点
贡献值0点
好评度895点
原创分1分
专家分0分

加关注写私信

5楼^#

发布于：2007-01-24 22:14

引用第4楼wowocock于2007-01-24 22:06发表的“”:
DARKSPY也都已经落后了.

那就快把你的Super Darkspy或者是Unname Darkspy都放来吧

驱动开发者呵呵

回复喜欢

wingsoft

驱动小牛

注册日期2006-05-16
最后登录2008-10-14
粉丝0
关注0
积分1001分
威望216点
贡献值0点
好评度214点
原创分0分
专家分0分

加关注写私信

6楼^#

发布于：2007-01-24 22:33

别的不知，SuspendProcess还是有的，ntdll.dll的ZwSuspendProcess，

[url] http://www.81915.com[/url]

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

7楼^#

发布于：2007-01-25 09:23

开源吧，这样大家才会有可能拉你一把——嘿嘿~

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

9545421 驱动牛犊注册日期2004-12-04 最后登录2011-06-27 粉丝0 关注0 积分4分威望36点贡献值0点好评度14点原创分0分专家分0分加关注写私信	8楼^# 发布于：2007-01-25 09:39 关注这个东东，我也还不会，现在好象越来越往底下走了，哎
	回复(0) 喜欢(0)

frankvista 驱动牛犊注册日期2006-06-28 最后登录2007-02-17 粉丝0 关注0 积分230分威望24点贡献值0点好评度23点原创分0分专家分0分加关注写私信	9楼^# 发布于：2007-01-26 23:10 我希望大家尽量开源自己的程序和思路！！！
	回复(0) 喜欢(0)

WQXNETQIQI

驱动大牛

注册日期2006-06-12
最后登录2010-10-26
粉丝0
关注0
积分13分
威望1076点
贡献值0点
好评度895点
原创分1分
专家分0分

加关注写私信

10楼^#

发布于：2007-01-26 23:16

开源自己的程序和思路，然后给你A进自己的作品？

驱动开发者呵呵

回复喜欢

wowocock

VIP专家组

注册日期2002-04-08
最后登录2016-01-09
粉丝16
关注2
积分601分
威望1651点
贡献值1点
好评度1227点
原创分1分
专家分0分

加关注写私信

11楼^#

发布于：2007-01-27 00:22

引用第10楼WQXNETQIQI于2007-01-26 23:16发表的“”:
开源自己的程序和思路，然后给你A进自己的作品？

大家都是那么做的,心照不宣而已,嘿嘿......

花开了，然后又会凋零，星星是璀璨的，可那光芒也会消失。在这样一瞬间，人降生了，笑者，哭着，战斗，伤害，喜悦，悲伤憎恶，爱。一切都只是刹那间的邂逅，而最后都要归入死亡的永眠

回复喜欢

slwqw 驱动大牛注册日期2002-07-18 最后登录2016-01-09 粉丝0 关注0 积分7分威望197点贡献值0点好评度147点原创分0分专家分0分加关注写私信	12楼^# 发布于：2007-01-27 07:17 *引用第11楼wowocock于2007-01-27 00:22发表的“”*: 大家都是那么做的,心照不宣而已,嘿嘿......
	回复(0) 喜欢(0)

slwqw

驱动大牛

注册日期2002-07-18
最后登录2016-01-09
粉丝0
关注0
积分7分
威望197点
贡献值0点
好评度147点
原创分0分
专家分0分

加关注写私信

13楼^#

发布于：2007-01-27 07:21

五、SSDT管理（期望在0.2版本实现）
1.SSDT枚举
2.SSDT修改（期望在1.0版本以后实现，而且提醒用户危险）
3.SSDT恢复（期望在1.2版本以后实现）
暂时这些
-------

我跟你说这个吧，恢复SSDT必须先得到原始数据，然后才能比较，然后才能恢复。请问你怎么得到原始数据？读取NTOSKRNL.EXE? 如果已经运行的Rootkit不让你读呢？

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

14楼^#

发布于：2007-01-27 09:09

楼主要表示下诚意阿~

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

15楼^#

发布于：2007-01-27 12:12

可以通过SessionProcessLinks来枚举~哈~

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

16楼^#

发布于：2007-01-27 12:36

我的驱动查进程：
1.native api获得进程表a
2.通过activelist获得进程表b
3.通过pspCidTable获得进程表c
4.通过handletablelisthead获得进程表d
5.通过csrss的handletable用2种方法枚举获得进程表e和f
6.通过扫描当前进程的handletable获得进程表g
7.遍历表c的每一个进程的SessionProcessLinks获得进程表h
8.遍历表c的每一个进程Vm.WorkingSetExpansionLinks获得进程表i
9.通过Typelist分别取process和thread的表j和表k
10.通过表k得到进程表l
11.搜索内存中的threadobject和processobject得到进程表m
12.通过Wait/Dispatch得到进程表n
13.如果系统是Win2003以上遍历表c的每一个进程的MmProcessLinks得到表o
14.综合上面的进程表得到表p
15.对表p每一个进程做HandleTable，Vm.WorkXX,MmProcessXX,SessionProcessList扫描得到表q
16.枚举HWNDHandle得到进程表r
17.枚举JobObject得到表s
18.综合得表t,此时枚举结束~~

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

17楼^#

发布于：2007-01-27 12:42

动态部分：
KiReadyThread
和KiSwapContext的钩子
还有KiService钩子
还有CreateProcessNotifyRoutine和CreateThreadNotifyRoutine
NtCreateThread钩子
动态维护一张表，静态枚举结束后综合两表~

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

slwqw 驱动大牛注册日期2002-07-18 最后登录2016-01-09 粉丝0 关注0 积分7分威望197点贡献值0点好评度147点原创分0分专家分0分加关注写私信	18楼^# 发布于：2007-01-27 13:00 老V太WS了，这么多BT的方法都能想出来
	回复(0) 喜欢(0)

killvxk

论坛版主

注册日期2005-10-03
最后登录2014-04-14
粉丝3
关注1
积分1082分
威望2003点
贡献值0点
好评度1693点
原创分2分
专家分0分

加关注写私信

19楼^#

发布于：2007-01-27 13:34

引用第18楼slwqw于2007-01-27 13:00发表的“”:
老V太WS了，这么多BT的方法都能想出来

这是被逼无奈~~~毕竟那些做rootkit的人都是BT~

没有战争就没有进步 X3工作组为您提供最好的军火

回复喜欢

您需要登录后才可以回帖，登录或者注册