再谈绕过IceSword 1.22文件检测

引用第0楼z.b.Azy于2007-07-27 19:21发表的 再谈绕过IceSword 1.22文件检测 :
看了下，驱动中对IofCom???做了处理，于是想到了先Hook住KeRaise???函数，在其中再去Hook IofC???函数，果然起作用了~~

如果还想再恶心一点，先分配一块非分页内存，然后把HOOK函数拷过去，做好重定位，这样IS就显示不出是谁Hook的了（RKU也是） =)

引用第1楼violin于2007-07-27 19:34发表的  :


一般不需要知道谁hook，恢复hook就行了。
这类hook感觉意义不大，它就像一个"我是流氓"的标签一样，有谁搞点有创意的~~~

引用第3楼WQXNETQIQI于2007-07-27 22:15发表的  :
int 0e大法试试

引用第6楼wowocock于2007-07-30 23:13发表的  :
HOOK是毒瘤。。。。。。

引用第7楼z.b.Azy于2007-07-31 13:09发表的  :

此言极是。。。如果继续下去路只会越来越窄。。。。

引用第8楼vardyh于2007-07-31 22:26发表的  :


那要看你是如何 hook 的，
像 icesword 之流的东西，上来就不管不顾的把钩子乱恢复一通，（起码早期的版本是这样，新版的我没兴趣分析了），这样的恢复是非常不安全的，
且不说有些安全软件的钩子是不是会被你恢复掉，如果一个钩子比较恶心，上来改个10来个字节，你就恢复5、6个字节的指令，我看你不蓝屏一个给我看看，

引用第10楼vardyh于2007-07-31 23:26发表的  :
变态的hook可以把整个函数抹掉，还是那句话，看你如何hook了，呵呵

引用第11楼WQXNETQIQI于2007-08-01 00:32发表的  :
drx大法依然有效

引用第0楼z.b.Azy于2007-07-27 19:21发表的 再谈绕过IceSword 1.22文件检测 :
看了下，驱动中对IofCom???做了处理，于是想到了先Hook住KeRaise???函数，在其中再去Hook IofC???函数，果然起作用了~~

如果还想再恶心一点，先分配一块非分页内存，然后把HOOK函数拷过去，做好重定位，这样IS就显示不出是谁Hook的了（RKU也是） =)

引用第12楼kernel_kernel于2007-08-01 07:54发表的  :


这个...可是别人也可以scan后整个恢复。做流氓软件一般没问题，想做点隐蔽性好的东西
这一套hook很难有作为了。还是老v的流氓固化听上去不错.

引用第9楼kernel_kernel于2007-07-31 23:21发表的  :


有点信口开河的意思，我试过了，恢复可不只几字节，我改了不少。

引用第18楼ljh1021于2007-09-02 13:59发表的  :


我改了不少？？？
听这句话，难道kernel_kernel是pjf的马甲？！