首页>编程与逆向>PC安全编程>反流氓、反木马和rootkit>更彻底的文件隐藏，放出一个RK -- AK922.SYS
回复
« 返回列表
1 2 下一页 »
z.b.Azy
z.b.Azy
驱动牛犊
驱动牛犊
  • 注册日期2006-03-11
  • 最后登录2013-04-29
  • 粉丝0
  • 关注0
  • 积分263分
  • 威望95点
  • 贡献值0点
  • 好评度91点
  • 原创分2分
  • 专家分0分
写私信
阅读：7265回复：27

更彻底的文件隐藏，放出一个RK -- AK922.SYS

楼主#
更多 发布于：2007-05-19 13:30
该rk样本我只把文件隐藏的部分拿出来了，仅做为技术交流使用，驱动中绝对不含有恶意代码，该驱动只是隐藏它自己的文件而已。由于水平有限，可能有bug。
附件名称/大小 下载次数 最后更新
AK922.rar (4KB)  462 2007-05-19 13:30
喜欢0
回复
killvxk
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
写私信
沙发#
发布于：2007-05-19 15:28
啥样子的隐藏？
没有战争就没有进步 X3工作组 为您提供最好的军火
回复(0) 喜欢(0)
yykingking
yykingking
驱动牛犊
驱动牛犊
  • 注册日期2006-08-22
  • 最后登录2010-07-02
  • 粉丝0
  • 关注0
  • 积分-20分
  • 威望44点
  • 贡献值0点
  • 好评度53点
  • 原创分1分
  • 专家分0分
写私信
板凳#
发布于：2007-05-19 22:33
hook 了 IofComXXXX.....

FSD上隐藏点,,,DISK层又隐藏了...

IS, DS, RKU全过了~~~~~~~
回复(0) 喜欢(0)
z.b.Azy
z.b.Azy
驱动牛犊
驱动牛犊
  • 注册日期2006-03-11
  • 最后登录2013-04-29
  • 粉丝0
  • 关注0
  • 积分263分
  • 威望95点
  • 贡献值0点
  • 好评度91点
  • 原创分2分
  • 专家分0分
写私信
地板#
发布于：2007-05-19 22:49
winhex, rkrevealer等也行。当然这个方案没有某些xx底层。
回复(0) 喜欢(0)
WQXNETQIQI
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
写私信
地下室#
发布于：2007-05-20 18:40
又是被大家讨论XX了的。。。
对比看来还是老毛子有创意精神啊
驱动开发者 呵呵
回复(0) 喜欢(0)
chenxuri
chenxuri
驱动牛犊
驱动牛犊
  • 注册日期2005-07-20
  • 最后登录2010-08-04
  • 粉丝0
  • 关注0
  • 积分120分
  • 威望13点
  • 贡献值0点
  • 好评度12点
  • 原创分0分
  • 专家分0分
写私信
5楼#
发布于：2007-05-21 15:53
没有代码，那哪行啊
ghost
回复(0) 喜欢(0)
znsoft
znsoft
管理员
管理员
  • 注册日期2001-03-23
  • 最后登录2023-10-25
  • 粉丝300
  • 关注6
  • 积分910分
  • 威望14796点
  • 贡献值7点
  • 好评度2410点
  • 原创分5分
  • 专家分100分
写私信
  • 社区居民
  • 最爱沙发
  • 社区明星
6楼#
发布于：2007-05-22 07:13
楼主是在考大家反汇编功力,多学习哈:)
http://www.zndev.com 免费源码交换网 ----------------------------- 软件创造价值，驱动提供力量! 淡泊以明志，宁静以致远。 ---------------------------------- 勤用搜索，多查资料，先搜再问。
回复(0) 喜欢(0)
z.b.Azy
z.b.Azy
驱动牛犊
驱动牛犊
  • 注册日期2006-03-11
  • 最后登录2013-04-29
  • 粉丝0
  • 关注0
  • 积分263分
  • 威望95点
  • 贡献值0点
  • 好评度91点
  • 原创分2分
  • 专家分0分
写私信
7楼#
发布于：2007-05-22 19:24
没做任何保护的东西估计也激不起高手们的兴趣~
回复(0) 喜欢(0)
uuuty
uuuty
驱动牛犊
驱动牛犊
  • 注册日期2005-02-04
  • 最后登录2010-09-15
  • 粉丝0
  • 关注0
  • 积分5分
  • 威望25点
  • 贡献值0点
  • 好评度11点
  • 原创分0分
  • 专家分0分
写私信
8楼#
发布于：2007-05-23 10:22
试试这个 : )
http://www.rootkit.com/vault/uty/FileExposure.rar

这个只能用在NTFS上
回复(0) 喜欢(0)
binjo
binjo
论坛版主
论坛版主
  • 注册日期2003-04-23
  • 最后登录2012-06-25
  • 粉丝0
  • 关注0
  • 积分1002分
  • 威望142点
  • 贡献值0点
  • 好评度140点
  • 原创分0分
  • 专家分0分
写私信
9楼#
发布于：2007-05-24 19:34
LZ也没有看短消息的习惯么
回复(0) 喜欢(0)
z.b.Azy
z.b.Azy
驱动牛犊
驱动牛犊
  • 注册日期2006-03-11
  • 最后登录2013-04-29
  • 粉丝0
  • 关注0
  • 积分263分
  • 威望95点
  • 贡献值0点
  • 好评度91点
  • 原创分2分
  • 专家分0分
写私信
10楼#
发布于：2007-05-24 22:37
uty, 现在我已经绕过了你的FileExposure了....
回复(0) 喜欢(0)
uuuty
uuuty
驱动牛犊
驱动牛犊
  • 注册日期2005-02-04
  • 最后登录2010-09-15
  • 粉丝0
  • 关注0
  • 积分5分
  • 威望25点
  • 贡献值0点
  • 好评度11点
  • 原创分0分
  • 专家分0分
写私信
11楼#
发布于：2007-05-24 23:07
嘿嘿  我还有个读io 端口的，不过目前只能用在ide硬盘上，就不拿出来了，希望能讨论下怎样过读io 端口的
回复(0) 喜欢(0)
kernel_kernel
kernel_kernel
驱动小牛
驱动小牛
  • 注册日期2002-12-08
  • 最后登录2009-02-06
  • 粉丝0
  • 关注0
  • 积分435分
  • 威望51点
  • 贡献值0点
  • 好评度41点
  • 原创分0分
  • 专家分0分
写私信
12楼#
发布于：2007-05-25 10:31
引用第11楼uuuty于2007-05-24 23:07发表的  :
嘿嘿  我还有个读io 端口的，不过目前只能用在ide硬盘上，就不拿出来了，希望能讨论下怎样过读io 端口的


就算IDE支持SATA不?
 不会只是读读1f*/17*端口吧，我这都没这样的老机器了。
回复(0) 喜欢(0)
ProPlayboy
ProPlayboy
驱动大牛
驱动大牛
  • 注册日期2005-07-07
  • 最后登录2022-02-15
  • 粉丝0
  • 关注0
  • 积分1016分
  • 威望811点
  • 贡献值0点
  • 好评度719点
  • 原创分0分
  • 专家分0分
写私信
  • 社区居民
13楼#
发布于：2007-05-28 17:03
路过。。。
人不靓仔心灵美，版头不正红花仔！
回复(0) 喜欢(0)
qiweixue
qiweixue
驱动小牛
驱动小牛
  • 注册日期2004-07-21
  • 最后登录2011-12-19
  • 粉丝0
  • 关注0
  • 积分1006分
  • 威望274点
  • 贡献值0点
  • 好评度268点
  • 原创分1分
  • 专家分0分
写私信
14楼#
发布于：2007-05-28 18:00
呵呵，anti有意思,,,
学习
回复(0) 喜欢(0)
carwin
carwin
驱动牛犊
驱动牛犊
  • 注册日期2007-05-27
  • 最后登录2010-03-15
  • 粉丝0
  • 关注0
  • 积分304分
  • 威望71点
  • 贡献值0点
  • 好评度30点
  • 原创分0分
  • 专家分0分
写私信
15楼#
发布于：2007-05-30 10:36
好歹还是该给点核心代码噻。
这样做太不厚道了嘛。。。。
回复(0) 喜欢(0)
killvxk
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
写私信
16楼#
发布于：2007-05-30 11:34
我也是这么想，他这玩意基本上是照着card搞得～
没有战争就没有进步 X3工作组 为您提供最好的军火
回复(0) 喜欢(0)
WQXNETQIQI
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
写私信
17楼#
发布于：2007-05-30 17:56
前段时间看到一个IofCompleteRequest的实现代码~Card的方法无效了
驱动开发者 呵呵
回复(0) 喜欢(0)
z.b.Azy
z.b.Azy
驱动牛犊
驱动牛犊
  • 注册日期2006-03-11
  • 最后登录2013-04-29
  • 粉丝0
  • 关注0
  • 积分263分
  • 威望95点
  • 贡献值0点
  • 好评度91点
  • 原创分2分
  • 专家分0分
写私信
18楼#
发布于：2007-06-01 13:33
采用这种方法是由于刚开始要过is, is不许你用FSFD, FSD HOOK, IofCallDriver HOOK...想来想去就自然想到这个方法了(其实也不难想到), 所以我根本没有抄袭card的想法, 后来才看到他那个帖子的.关于code ,有必要放么?
回复(0) 喜欢(0)
killvxk
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
写私信
19楼#
发布于：2007-06-01 13:49
引用第17楼WQXNETQIQI于2007-05-30 17:56发表的  :
前段时间看到一个IofCompleteRequest的实现代码~Card的方法无效了


FSD自己调用iofCXXX的说，不是AntiRootkit的检查工具调用的，所以基本上还是有效的，目前
对付card的方法就是检查iofCXXX的hook,然后恢复之～

我没用ida看，只是根据效果猜测对付磁盘的部分是对READ的irp做处理的吧～

没测试scsi pass的irp来读磁盘列文件的Checker～～
没有战争就没有进步 X3工作组 为您提供最好的军火
回复(0) 喜欢(0)
上一页
游客

关于phpwind联系我们问题反馈程序建议

Powered by phpwind v9.0.2 ©2003-2015 phpwind.com 京ICP备05006834号

返回顶部