Sysnap 反rootkit 生活的一切感受

文章列表

2008年08月05日星期二 20:42

今天无聊，突然想写点WS代码，好像我还没干掉过杀软，就想写点，当然不是结束进程，玩进程感觉没什么意思，干脆暴力把杀毒软件的所有文件都干掉，运行中或者没运行都干掉，然后强制重起，一切OK。。感觉还不错，够暴力。思路简单明了。。技术也都是一些比较老的技术，然后就想给驱动加点保护。驱动一般F5就能猜出个大概。怎么对付IDA呢，随便在代码中加几个字节 0xff 0x74 0x51 0xe8 0x00。。这样后，靠，IDA反得一踏糊涂，我看了半天都晕，F5也无效了，看来线性扫描真是有弱点阿。不知那几个字节对付递归扫描行不，必如OD，当然迷惑字

阅读全文>>

类别：默认分类 | 评论(0) | 浏览()

路过，俺是出来买酱油的。。

2008年08月03日星期日 09:12

发现自己好久没写DLL。。。应该是去年年底搞过那个什么“线程注入”吧。。。记得当时还以为是什么新技术。。兴奋不以。。晕。

昨天打算把那个防止溢出的DLL写完。。才发现原来有点难度。。花了我一天的时间。。最后算了。。只HOOK了四个函数。。都是WSOCK函数////组织SHELLLCODE执行也就只用在组织其通信方面。。。。其他的函数。。没怎么想HOOK/////重复性劳动不是很喜欢

返回地址：EBP+4

阅读全文>>

类别：默认分类 | 评论(7) | 浏览()

嘻嘻，手机也可以发博客，俺的驱动级防火墙完成了

2008年07月28日星期一 23:46

之前本来有想写TDI过虑驱动，不过听说VISTA不支持TDI，一下子就没劲。只是简单把tcpip.sys的相关例程钩住，效果不过，阻止进程访问网络没什么问题，不过tcpip.sys只是一个上层的标准协议驱动，hook他功能还是有限的。昨天和今天花点时间弄下NDIS，感觉难死了，不过并不想深入，达到目的就可以。所以还是IMD。。算是很底层了。。可以直接捕捉数据包，然后根据数据包格式进行解释，支持ARP.IP.RARP协议。对于IP，细分到TCP. UDP ICMP IGMP，对这些包通过解释可以获取原始ip和目的ip，当然还有端口和关联进程和包内容。。所以感觉比较强

阅读全文>>

类别：默认分类 | 评论(14) | 浏览()

有网上一下，顺便说下ANTI ROOTKIT

2008年07月28日星期一 09:40

其实回家后基本没怎么上网，也不是很想拉网线。。因为我也不知道上网有什么好处。。除了找资料还是找资料。。而娱乐是少之要少。。。当看着宿舍的人为游戏着迷的时候。。。我就感叹如果我会玩游戏。。。不会玩的原因很简单。。。就是不会。。我也懒得学了

暑假感觉一般般。。有点无聊。现在对我来说放假与不放假都一个样。。。一年除了区分四季外。。不是很习惯再分其他。。什么阶段也好。。什么大一大二也好。。都一个样。。。区分四季只是比较喜欢秋天罢。。

阅读全文>>

类别：默认分类 | 评论(7) | 浏览()

放假了..没得上网了...

2008年07月11日星期五 22:56

今天总算考完试了...明天就走...没网可以上...也好..反正上网也不知道做什么,,,,,,

类别：默认分类 | 评论(4) | 浏览()

关于在2003中绕过IS的ZwQueryVirtualMemory

2008年07月06日星期日 17:47

//http://hi.baidu.com/sysnap
枚举DLL的方法很多
CreateToolhelp32Snapshot.算是最原始的..

枚举PEB..(IS使用的方法之一)缺点是断链也就无能为力了

ZwQueryVirtualMemory.(IS使用的方法之一)..不过这个小伟在XP下已经成功绕过了,但是

由于2003和XP的内核数据结构不一样,造成在2003下不兼容,我看了2003下的数据结构后,

简单的实现了下,跟XP的差别不是很大.

一般的断链IS的ZwQueryVirtualMemory是可以枚举到的
因为IS只有在完全得不到模块才会使用PEB.否则用ZwQueryVirtualM

阅读全文>>

类别：默认分类 | 评论(2) | 浏览()

APC不能结束的进程完成

2008年07月04日星期五 12:52

今天早上花了点时间看下跟进程线程有关的数据结构.....发现修改KernelApcDisable可以让进程不被结束...这也是很正常.....因为结束进程最终都是通过投递APC来让他们自杀的.....但很多APC保护进程的都是通过HOOK一些相关的内核函数来实现....这样难免显得麻烦.........windows基本是以对象来管理的...内核函数..无论导出还是没有导出的....最终难免是对这些内核对象数据结构的读取或者修改.....By Sysnap

内核函数A----->内核函数B....----->内核对象数据结构<----

阅读全文>>

类别：默认分类 | 评论(4) | 浏览()

这学期快结束了

2008年07月02日星期三 11:51

花了俩天多在网络驱动上...发现不是一般的复杂..有点感叹操作系统...本来想做个防火墙..第一天看了TDI..很陌生的说,于是编写了个TDI驱动程序,竟然可以成功通信...但数据只能发送一次,郁闷,可能是我远程的服务端有问题吧..WINSOCK之前基本没写过...不过也算了,反正我的目的不是写TDI来进行通信...还有VISTA已经改用WSK....晕...感叹东西变化咋这么快...接着就想编写个TDI FILTER,实现简单的防火墙..可是看到VISTA好像不支持TDI....郁闷..不想写了...直接把TCPIP.SYS的Dispatch钩了....感觉也差不多....可以成

阅读全文>>

类别：默认分类 | 评论(9) | 浏览()

一删就蓝的不能删除文件的秘密

2008年06月26日星期四 19:12

就是hook IopDeleteFile
一些sys txt的文件是只能看不能删..一删就蓝.比如IS WsysCheck
SnipeSword可以直接将sys文件删除...只要在同一目录下再建个exe文件....这样就可以了...一看就蓝
if(_stricmp(ansiDirName.Buffer,"\\sysnap\\sysnap.sys")==0||_stricmp(ansiDirName.Buffer,"\\sysnap\\kk.exe")==0)
当然文件还是可以正常运行滴....只是不能再用一些列文

阅读全文>>

类别：默认分类 | 评论(4) | 浏览()

一张图,简单的启发式??

2008年06月24日星期二 16:11

俺还没玩过文件感染,昨天下午到现在花了时间弄了个简单的启发式扫描.......效果还真是不错...基本感染文件都能检测出来....当然我的程序比较简单,有时间再添加功能,,谁有感染文件的BIN...麻烦帮俺检测下

加节感染,利用空隙感染都可以检测出

阅读全文>>

类别：默认分类 | 评论(13) | 浏览()