首页
论坛
课程
招聘
雪    币: 192
活跃值: 活跃值 (15)
能力值: ( LV12,RANK:300 )
在线值:
发帖
回帖
粉丝

[旧帖] [原创]菜鸟的第一次驱动逆向[邀请码已发] 0.00元

2010-11-27 14:36 1755

[旧帖] [原创]菜鸟的第一次驱动逆向[邀请码已发] 0.00元

2010-11-27 14:36
1755
【文章标题】: 菜鸟的第一次驱动逆向(申请邀请码)
【文章作者】: Root
【作者邮箱】: cppcoffee@gmail.com
【作者QQ号】: 850128000
【下载地址】: 自己搜索下载
【编写语言】: VC9
【使用工具】: IDA
【操作平台】: Windows
【软件介绍】: 国内某防火墙的附带驱动
【作者声明】: 只是感兴趣,没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  首先废话下,感谢KOMA大哥的一直鼓励,感谢megadeath前辈的教导,他让我明白了许多东西,无论是技术还是别的方面的。谢谢你们的陪伴
  
  嘿嘿,IDA初学,由于鄙人菜鸟无知,可能会有很多错误,还望各位高手多多指教
  最近由于兴趣原因在写个人防火墙,对国内某防火墙很向往,就找了个时间将它的附加驱动反汇编下,顺便学习下IDA的操作。
  注释并反成C,终于明白这个附加驱动的作用啦:
  在DriverEntry中查找未文档化的EPROCESS结构体保存的进程名称的偏移位置,并记录这个名字位置的偏移量。
  然后利用Hook ZwOpenProcess检测R3程序是否被调试,将偏移量的父进程的进程名称保存到缓冲区中,等待下次R3程序读取使用。
  
  不过发现这个驱动有两处毛病:
  1、对IRP_MJ_DEVICE_CONTROL的参数没进行检测,很可能被传递恶意的缓冲区或者NULL指针,将导致系统蓝屏。
  2、MyZwOpenProcess中的RtlUnicodeStringToAnsiString,第三个参数为TRUE,在此处分配了缓冲区,并没有被释放。
  
  嘿嘿,谢谢你们花时间看到这行文字。
  
--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!

                                                       2010年11月27日 14:31:29

[公告]看雪论坛2020激励机制上线了!多多参与讨论可以获得积分快速升级?

上传的附件:
最新回复 (14)
雪    币: 532
活跃值: 活跃值 (12)
能力值: ( LV12,RANK:390 )
在线值:
发帖
回帖
粉丝
AntBean 活跃值 9 2010-11-27 14:42
2
0
貌似很给力。。。
雪    币: 211
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
komawang 活跃值 2010-11-27 14:48
3
0
顶..
雪    币: 201
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
王旭峰 活跃值 2010-11-27 14:51
4
0
终于年到你的文章了
雪    币: 292
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lummar 活跃值 2010-11-27 15:36
5
0
nice....
雪    币: 1627
活跃值: 活跃值 (27)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
EvilKnight 活跃值 4 2010-11-27 15:40
6
0
呵呵,天网的防火墙呀...
雪    币: 5686
活跃值: 活跃值 (56)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
傷遺忘 活跃值 2010-11-27 15:49
7
0
学习了..的确很好..

谢谢分享,
雪    币: 7
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
SER霸气 活跃值 2010-11-27 16:07
8
0
好强大  来学习了
雪    币: 669
活跃值: 活跃值 (10)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
patapon 活跃值 4 2010-11-27 16:16
9
0
不错,支持下
雪    币: 1776
活跃值: 活跃值 (69)
能力值: ( LV12,RANK:480 )
在线值:
发帖
回帖
粉丝
熊猫正正 活跃值 9 2010-11-27 16:49
10
0
谢谢分享
雪    币: 27
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
kxguibiao 活跃值 2010-11-27 19:10
11
0
不错了,分享一下。
雪    币: 1159
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Droot 活跃值 2010-11-27 19:19
12
0
好东西要顶!
雪    币: 192
活跃值: 活跃值 (15)
能力值: ( LV12,RANK:300 )
在线值:
发帖
回帖
粉丝
cppcoffee 活跃值 6 2010-11-29 09:43
13
0
自己顶一下.嘿嘿,斑竹,能给我个邀请码不?
雪    币: 0
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
LY汇编 活跃值 2010-11-29 12:58
14
0
顶 一下  祝楼主能如愿
雪    币: 8
活跃值: 活跃值 (17)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
zpsemo 活跃值 2010-12-13 13:11
15
0
我也在研究驱动  楼主的文章应该会有用
游客
登录 | 注册 方可回帖
返回