还有谁这样使用驱动的

偶在自己的DriverEntry里用MmAllocateXXXXXXX开了块内存,然后把驱动拷贝到里面,Unload驱动.
这样偶滴rootkit就只存活在内存中了
不过目前只是实现了很简单的功能,纯粹是试验目的
不知道有没有人这样做过

引用第2楼WQXNETQIQI于2007-09-15 11:24发表的  :
多了，，不过XX要自己定位，，而且这样也会被rootkit unhooker之类的玩意发现的 呵呵

嗯,reloc累死
rku蛮不错的

引用第4楼killvxk于2007-09-15 12:37发表的  :



我实现了套专门干这个库～重定位可以交给库来～～

.......

哈哈,不知道老外会不会和谐