首页
论坛
课程
招聘

[原创]驱动加载监控工具

2011-1-9 12:53 15680

[原创]驱动加载监控工具

2011-1-9 12:53
15680
【文章标题】: 驱动加载监控
【文章作者】: Root
【作者邮箱】: cppcoffee@gmail.com
【下载地址】: 附件
【作者声明】: 只是感兴趣,没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  属于菜鸟作品,大牛请无视。
  由于某些恶意软件将驱动加载后为了避免留下痕迹,就将驱动文件删除.这个工具是用来复制将被删除的驱动文件以备用分析源码所用.
  流程如下:
  SYS模块


  应用程序


缺陷:只能监控正规驱动加载,如果用其他渠道就拦截不到了。
--------------------------------------------------------------------------------

                                                       2011年01月09日 12:47:01

[推荐]看雪企服平台,提供项目众包、渗透测试、安全分析、定制项目开发、APP等级保护等安全服务!

上传的附件:
最新回复 (25)
YangCoCol 3 2011-1-9 13:20
2
0
很好~~~顶!
nomaster 2011-1-9 13:51
3
0
不错,蛮好用的
Cryin 4 2011-1-9 15:19
4
0
楼主很专业啊,图片胜过言语,支持下
achillis 15 2011-1-9 19:50
5
0
这种情况我一般用HIPS搞定~~
zhanglb 2011-1-9 20:33
6
0
8错8错
exile 1 2011-1-9 20:40
7
0
挂MmMapViewOfSection吧 没人跑的了。。
gezz 2011-1-10 00:17
8
0
思路很清晰啊~
yjd 2011-1-10 21:22
9
0
下载收藏。感谢提供。
hack一生 1 2011-1-10 22:39
10
0
呵呵~~顶顶..好东西
Aker 4 2011-1-11 19:14
11
0
图一目了然,表达就该这样,学习。
十年寒窗 2011-1-12 09:01
12
0
顶,好好学习一下
mszjk 2011-1-12 10:53
13
0
HIPS搞定.
microdebug 6 2011-1-12 13:03
14
0
代码规范一点就好了。
1,头文件中包含头文件,尤其是标准头文件,这点可以避免;
2,字符串操作上,使用一些deprecated函数,存在安全隐患。可以用RtlStringCcxxx或RtlStringCbcxxx系列的函数来代替;

3,给出源码,一定要简单说下编译环境。比如:HookLD,需要WDK7600才可以编译通过,其他版本的编译器6001,3790编译时会出现一堆问题;用户态程序,需要WTL库的支持...

呵呵,刚才又看了下代码,总体来说,已经不错了
dahaione 2011-1-13 09:58
15
0
收藏
icezy 2011-1-13 11:00
16
0
RPC  要拦截下
cppcoffee 6 2011-1-13 21:16
17
0
谢谢microdebug大牛指出的缺点.嘿嘿,下次坚决改正过来,太谢谢你了.只有这样才能共同进步
licyong 2011-1-15 18:50
18
0
xx了~呵呵
kagayaki 2011-1-15 21:26
19
0
谢谢.................
xjhma 2011-1-17 10:24
20
0
学习下啦,哈哈,多谢
cedarlotus 2011-1-18 23:21
21
0
收藏,学习了!
逍遥忘我 2011-1-19 18:11
22
0
收藏了,蛮有用的。

PS:

有个函数叫 PsSetLoadImageNotifyRoutine。

WRK里可以看到是在 MmLoadSystemImage 里触发的回调。所以应该也是可以拦截到驱动加载的,至于拦截的到DLL加载不就不知道了。
蘇仨 2011-1-19 20:04
23
0
为什么编译通过了
点开始会 显示 初始化失败呢
cppcoffee 6 2011-1-27 09:12
24
0
确保驱动文件跟EXE在同一个目录,并且驱动文件的名字是HookLD.sys
为个润 2011-1-27 09:15
25
0
图一目了然,表达就该这样,学习。
wxhanshan 2011-1-27 12:53
26
0
专业啊,图片胜过言语,支持下
游客
登录 | 注册 方可回帖
返回