Sysnap 反rootkit 生活的一切感受

文章列表

2008年07月11日星期五 22:56

今天总算考完试了...明天就走...没网可以上...也好..反正上网也不知道做什么,,,,,,

关于在2003中绕过IS的ZwQueryVirtualMemory

2008年07月06日星期日 17:47

//http://hi.baidu.com/sysnap
枚举DLL的方法很多
CreateToolhelp32Snapshot.算是最原始的..

枚举PEB..(IS使用的方法之一)缺点是断链也就无能为力了

ZwQueryVirtualMemory.(IS使用的方法之一)..不过这个小伟在XP下已经成功绕过了,但是

由于2003和XP的内核数据结构不一样,造成在2003下不兼容,我看了2003下的数据结构后,

简单的实现了下,跟XP的差别不是很大.

一般的断链IS的ZwQueryVirtualMemory是可以枚举到的
因为IS只有在完全得不到模块才会使用PEB.否则用ZwQueryVirtualM

阅读全文>>

类别：默认分类 | 评论(1) | 浏览()

APC不能结束的进程完成

2008年07月04日星期五 12:52

今天早上花了点时间看下跟进程线程有关的数据结构.....发现修改KernelApcDisable可以让进程不被结束...这也是很正常.....因为结束进程最终都是通过投递APC来让他们自杀的.....但很多APC保护进程的都是通过HOOK一些相关的内核函数来实现....这样难免显得麻烦.........windows基本是以对象来管理的...内核函数..无论导出还是没有导出的....最终难免是对这些内核对象数据结构的读取或者修改.....By Sysnap

内核函数A----->内核函数B....----->内核对象数据结构<----

阅读全文>>

类别：默认分类 | 评论(4) | 浏览()

这学期快结束了

2008年07月02日星期三 11:51

花了俩天多在网络驱动上...发现不是一般的复杂..有点感叹操作系统...本来想做个防火墙..第一天看了TDI..很陌生的说,于是编写了个TDI驱动程序,竟然可以成功通信...但数据只能发送一次,郁闷,可能是我远程的服务端有问题吧..WINSOCK之前基本没写过...不过也算了,反正我的目的不是写TDI来进行通信...还有VISTA已经改用WSK....晕...感叹东西变化咋这么快...接着就想编写个TDI FILTER,实现简单的防火墙..可是看到VISTA好像不支持TDI....郁闷..不想写了...直接把TCPIP.SYS的Dispatch钩了....感觉也差不多....可以成

阅读全文>>

类别：默认分类 | 评论(9) | 浏览()

一删就蓝的不能删除文件的秘密

2008年06月26日星期四 19:12

就是hook IopDeleteFile
一些sys txt的文件是只能看不能删..一删就蓝.比如IS WsysCheck
SnipeSword可以直接将sys文件删除...只要在同一目录下再建个exe文件....这样就可以了...一看就蓝
if(_stricmp(ansiDirName.Buffer,"\\sysnap\\sysnap.sys")==0||_stricmp(ansiDirName.Buffer,"\\sysnap\\kk.exe")==0)
当然文件还是可以正常运行滴....只是不能再用一些列文

阅读全文>>

类别：默认分类 | 评论(4) | 浏览()

一张图,简单的启发式??

2008年06月24日星期二 16:11

俺还没玩过文件感染,昨天下午到现在花了时间弄了个简单的启发式扫描.......效果还真是不错...基本感染文件都能检测出来....当然我的程序比较简单,有时间再添加功能,,谁有感染文件的BIN...麻烦帮俺检测下

加节感染,利用空隙感染都可以检测出

阅读全文>>

类别：默认分类 | 评论(13) | 浏览()

机器狗变种??

2008年06月22日星期日 09:50

有人拿个机器狗给俺..在虚拟机运行了下...做下简单的分析

释放驱动C:\Documents and Settings\Administrator\Local