|
阅读：1510回复：6
关于FILEMON系统驱动加载，是这样滴~~~
FILEMON的系统驱动已经做到FILEMON.EXE文件中了，在运行时释放出来后动态滴加载，加载完毕后驱动文件就被从硬盘上删除了，有2个系统驱动文件：一个VXD滴，一个SYS滴，其实在FILEMON.EXE文件中很容易找到这2个文件，可以直接将他们读出来写到一个文件中去，然后你就可以得到以前FILEMON版本里有的2个系统驱动文件FileMon.vxd和FileMon.sys,这样就可以像加载普通驱动文件一样在机器启动或者其他你需要的时候加载他们了！
如何在FILEMON.EXE中找这2个文件呢？用16进制滴编辑器如ULTRAEDIT、HEXEDIT等软件在FILEMON.EXE中找4D 5A标志，你就能找到这2个文件的开始偏移，然后读出来写到另外一个文件即可！ 大体透露一下FILEMON的加载方式吧：FILEMON不在使用服务管理方式来加载，而是直接操作注册表和使用了一个NTDLL.DLL的API：NtLoadDriver来实现滴~~~具体嘛，就不再多说了，大家应该多去自己分析，才能学到和掌握更多的技术！ |
|
|
沙发#
发布于：2004-09-13 08:55
不错，不错。
|
|
|
|
板凳#
发布于：2004-09-13 09:17
不错，不错。 |
|
|
|
地板#
发布于：2004-09-13 18:51
我晕，还用得着使用ULTRAEDIT、HEXEDIT这些软件来提取吗？用不这着吧？直接使用VC6的IDE使用resource的方式打开，然后export就可以了啊！
|
|
|
|
地下室#
发布于：2004-09-15 12:03
Good, Very Good .
|
|
|
|
5楼#
发布于：2004-09-15 19:03
我晕，还用得着使用ULTRAEDIT、HEXEDIT这些软件来提取吗？用不这着吧？直接使用VC6的IDE使用resource的方式打开，然后export就可以了啊！ 是的，你说的8错，如果是我的话就肯定不会把他们弄到Resource里面去。所以，如果某个工具有限制，最好使用一些看是很笨但绝对能学习到东西的方法！！ |
|
|
6楼#
发布于：2004-09-16 08:53
FILEMon在安全模式不能加载，可有的驱动可以在安全模式加载，
是啥原因呢？ |
|