灰狐 [iCoodle]

【乱弹】关于编程学习，我也扯几句

Wed, 10 Jun 2009 09:22:19 +0800

最近在群里见到越来越多这样的情况，没办法说了。新手嘛，谁不是从新手起来的，就怎么就知道人家不理解你们新手？
学习，关键是要找对方向，要知道如何去学习!!!这一点做不到，别人哪怕手把手教你也是没多大进展的。

随机文章：

【驱动笔记11】使用DeviceIoControl通信 2009-01-17

【驱动笔记9】初探IRP 2009-01-17

【乱弹】鄙视短信和电话骗子 2009-01-14

【驱动笔记6】在内核中创建线程 2009-01-06

【乱弹】话说考试的烦恼 2009-01-04

博客大巴，你的个人传媒早班车

【原创】关于LSP的一点记录

Mon, 25 May 2009 17:38:21 +0800

      关于LSP是什么我就不多说了，假定大家都知道，不知道的可以去Google问问。
      LSP其实还是很有用的，不过最近看到许多人在学习过程中老遇到一些问题，下面就把我的一些经验说出来，纯属个人理解，有错勿怪。

1，安装LSP后系统逐渐卡死？
      额，我当时学习的时候曾经遇到过这个问...

随机文章：

【原创】Detours API HOOK快速入门 2009-02-16

【驱动笔记10】再谈IRP 2009-01-17

【原创】另类的水晶连连看外挂 2008-12-27

【原创】简述过滤文件传输的实现 2008-12-26

【原创】网络数据包捕获与发送的多重实现 2008-12-26

博客大巴，你的个人传媒早班车

【驱动笔记17】SSDT HOOK实现文件保护

Wed, 20 May 2009 09:37:06 +0800

很久没写点什么了，最近在忙着做一些零碎的程序，过一段儿时间一定放新东西。
现在手头上的其中一件事情就是帮同学做一个文件保护的毕业设计，考虑再三还是使用SSDT HOOK，因为这个最简单，而且比较稳定，也容易理解。

提到文件保护，无非就是文件隐藏、文件打开、读写、删除保护等。

一、文件隐藏
&nb...

随机文章：

【驱动笔记16】读取文件和注册表句柄信息 2009-03-30

【驱动笔记12】SSDT HOOK实现进程保护 2009-02-17

【驱动笔记10】再谈IRP 2009-01-17

【驱动笔记8】通过EPROCESS链表枚举进程 2009-01-09

【驱动笔记6】在内核中创建线程 2009-01-06

博客大巴，你的个人传媒早班车

【原创】SSDT HOOK拦截远线程的创建（下）

Mon, 13 Apr 2009 17:02:01 +0800

在第二部分我们使用了一个前提：可以通过进程句柄得到PID等信息。
事实上这是可行的，这一部分我们就进行介绍。我这里使用的是炉子大虾的《API HOOK实现ring3的进程保护》一文中提到的方法。

随机文章：

【驱动笔记17】SSDT HOOK实现文件保护 2009-05-20

【驱动笔记14】初步认识MDL 2009-03-17

【驱动笔记13】有关cr0的一点记录 2009-03-16

【驱动笔记8】通过EPROCESS链表枚举进程 2009-01-09

【驱动笔记2】在驱动中使用链表 2009-01-01

博客大巴，你的个人传媒早班车

【原创】SSDT HOOK拦截远线程的创建（上）

Sun, 12 Apr 2009 12:42:25 +0800

在ring3的API HOOK中，怎样迫使目标进程调用我们的傀儡DLL是我们非常重视的一个问题。在多数情况下，我们都喜欢使用CreateRemoteThread在目标进程中创建一个远程线程来迫使它加载我们的DLL。
因为CreateRemoteThread的使用方法并不复杂，而且与其他方式相比，它可以称得上是一种相当“优雅”的做法。各种因素的汇集就导致了这种方法的泛滥，致使很多具备主动防御或行为监控的安全软件都加强了对这个函数的照顾。

随机文章：

【驱动笔记17】SSDT HOOK实现文件保护 2009-05-20

【原创】SSDT HOOK拦截远线程的创建（下） 2009-04-13

【驱动笔记9】初探IRP 2009-01-17

【驱动笔记7】再谈ZwQuerySystemInformation 2009-01-07

【驱动笔记5】获取系统时间和启动毫秒数 2009-01-03

博客大巴，你的个人传媒早班车

【原创】内核模式简单实现进程监控

Tue, 07 Apr 2009 17:43:07 +0800

在使用冰刃的时候我们可以发现它有一个“监视进线程创建”的功能，这个功能挺有用的，在用户模式下我们可以注册一个shell钩子来监视，或者通过挂钩一些进程创建的Win32 API来实现。
在内核模式下我们同样可以使用API HOOK来实现，但是还有一些简单的做法，比如我们今天要介绍的PsSetCreateProcessNotifyRoutine函数。