cppdev
驱动牛犊
驱动牛犊
  • 注册日期2006-11-26
  • 最后登录2009-01-11
  • 粉丝0
  • 关注0
  • 积分300分
  • 威望43点
  • 贡献值0点
  • 好评度42点
  • 原创分0分
  • 专家分0分
阅读:2203回复:11

求绕过【咔吧】的rootkit进程隐藏 【方法】!!!

楼主#
更多 发布于:2007-06-09 22:52
唉。 用了一些隐藏进程的方法, 如摘除进程活动链,hook NtQuerySystemInformation
结果都会被咔吧 找到。。

网上找不到如何绕过咔吧的进程隐藏检测


求 各位大哥 帮忙小弟 提供几个绕过的方法,,谢谢!
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
沙发#
发布于:2007-06-09 23:33
卡巴同学 hook的SwapContext,,,要饶过,基本上很难

不过可以把它的HOOK摘了先。。。
驱动开发者 呵呵
cppdev
驱动牛犊
驱动牛犊
  • 注册日期2006-11-26
  • 最后登录2009-01-11
  • 粉丝0
  • 关注0
  • 积分300分
  • 威望43点
  • 贡献值0点
  • 好评度42点
  • 原创分0分
  • 专家分0分
板凳#
发布于:2007-06-09 23:48
WQXNETQIQI , 经常看到您的身影,谢谢您提供的方法。
小弟谢过。
我这就去google去。。。
cppdev
驱动牛犊
驱动牛犊
  • 注册日期2006-11-26
  • 最后登录2009-01-11
  • 粉丝0
  • 关注0
  • 积分300分
  • 威望43点
  • 贡献值0点
  • 好评度42点
  • 原创分0分
  • 专家分0分
地板#
发布于:2007-06-10 00:23
WQXNETQIQI ,, 不知道还有没有其他方法。。
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
地下室#
发布于:2007-06-10 15:24
抹掉eprocess里几个东西,让所有的anti rootkit认为进程已经死亡是很简单的~不过有个问题就是这样也会对进程的网络,GUI等活动造成影响,rootkit干嘛要存在进程呢?
没有战争就没有进步 X3工作组 为您提供最好的军火
cppdev
驱动牛犊
驱动牛犊
  • 注册日期2006-11-26
  • 最后登录2009-01-11
  • 粉丝0
  • 关注0
  • 积分300分
  • 威望43点
  • 贡献值0点
  • 好评度42点
  • 原创分0分
  • 专家分0分
5楼#
发布于:2007-06-10 15:40
killvxk 大哥,你好, 感谢回复..

rootkit干嘛要存在进程呢? 本来想用远程线程插入dll的方法, 咔吧还是会提示.

不知道有何高招可以 不用存在进程..

 
wowocock
VIP专家组
VIP专家组
  • 注册日期2002-04-08
  • 最后登录2016-01-09
  • 粉丝16
  • 关注2
  • 积分601分
  • 威望1651点
  • 贡献值1点
  • 好评度1227点
  • 原创分1分
  • 专家分0分
6楼#
发布于:2007-06-11 09:11
有很多方法,使别人无法检测,可,怕拿出来祸害世人,所以还是自己研究吧,发挥自己的想象力,哈哈.
花开了,然后又会凋零,星星是璀璨的,可那光芒也会消失。在这样 一瞬间,人降生了,笑者,哭着,战斗,伤害,喜悦,悲伤憎恶,爱。一切都只是刹那间的邂逅,而最后都要归入死亡的永眠
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
7楼#
发布于:2007-06-11 11:16
引用第6楼wowocock于2007-06-11 09:11发表的  :
有很多方法,使别人无法检测,可,怕拿出来祸害世人,所以还是自己研究吧,发挥自己的想象力,哈哈.

确实如此~
不过有些招还是可以说出来的~~

如果连插入都搞不定~~还是回家洗洗睡了吧~
没有战争就没有进步 X3工作组 为您提供最好的军火
GoodOnline
驱动小牛
驱动小牛
  • 注册日期2007-04-11
  • 最后登录2009-02-28
  • 粉丝0
  • 关注0
  • 积分4分
  • 威望204点
  • 贡献值0点
  • 好评度191点
  • 原创分0分
  • 专家分0分
8楼#
发布于:2007-06-12 10:21
看看 iceword的做法

hook任意一个内核函数,只要这个函数运行在线程上下文. 那你就可以推出线程.之后就到进程
cppdev
驱动牛犊
驱动牛犊
  • 注册日期2006-11-26
  • 最后登录2009-01-11
  • 粉丝0
  • 关注0
  • 积分300分
  • 威望43点
  • 贡献值0点
  • 好评度42点
  • 原创分0分
  • 专家分0分
9楼#
发布于:2007-06-13 09:48
killvxk 教训得是啊。。。
wingsoft
驱动小牛
驱动小牛
  • 注册日期2006-05-16
  • 最后登录2008-10-14
  • 粉丝0
  • 关注0
  • 积分1001分
  • 威望216点
  • 贡献值0点
  • 好评度214点
  • 原创分0分
  • 专家分0分
10楼#
发布于:2007-06-13 12:49
把功能都写进sys好了,
参考Greg Hoglund 的exploiting software,有些代码。
[url] http://www.81915.com[/url]
cppdev
驱动牛犊
驱动牛犊
  • 注册日期2006-11-26
  • 最后登录2009-01-11
  • 粉丝0
  • 关注0
  • 积分300分
  • 威望43点
  • 贡献值0点
  • 好评度42点
  • 原创分0分
  • 专家分0分
11楼#
发布于:2007-06-15 15:33
谢谢 楼上
游客

返回顶部