PROTECT ME V4 EVA版 (Rootkit Demo)

没时间,没管setpatent和findwindow,你要setpatent BSOD了我不管

学习狙剑的自我保护,使用IL的保护器,除了虚拟内存外别的方法都能过.

防止注入

其余的自己研究



附上ETHREAD(KTHREAD)结构:

kd> dt _KTHREAD
nt!_KTHREAD
  +0x000 Header          : _DISPATCHER_HEADER
  +0x010 MutantListHead  : _LIST_ENTRY
  +0x018 InitialStack    : Ptr32 Void
  +0x01c StackLimit      : Ptr32 Void
  +0x020 Teb              : Ptr32 Void
  +0x024 TlsArray        : Ptr32 Void
  +0x028 KernelStack      : Ptr32 Void
  +0x02c DebugActive      : UChar
  +0x02d State            : UChar
  +0x02e Alerted          : [2] UChar
  +0x030 Iopl            : UChar
  +0x031 NpxState        : UChar
  +0x032 Saturation      : Char
  +0x033 Priority        : Char
  +0x034 ApcState        : _KAPC_STATE
  +0x04c ContextSwitches  : Uint4B
  +0x050 IdleSwapBlock    : UChar
  +0x051 Spare0          : [3] UChar
  +0x054 WaitStatus      : Int4B
  +0x058 WaitIrql        : UChar
  +0x059 WaitMode        : Char
  +0x05a WaitNext        : UChar
  +0x05b WaitReason      : UChar
  +0x05c WaitBlockList    : Ptr32 _KWAIT_BLOCK
  +0x060 WaitListEntry    : _LIST_ENTRY
  +0x060 SwapListEntry    : _SINGLE_LIST_ENTRY
  +0x068 WaitTime        : Uint4B
  +0x06c BasePriority    : Char
  +0x06d DecrementCount  : UChar
  +0x06e PriorityDecrement : Char
  +0x06f Quantum          : Char
  +0x070 WaitBlock        : [4] _KWAIT_BLOCK
  +0x0d0 LegoData        : Ptr32 Void
  +0x0d4 KernelApcDisable : Uint4B
  +0x0d8 UserAffinity    : Uint4B
  +0x0dc SystemAffinityActive : UChar
  +0x0dd PowerState      : UChar
  +0x0de NpxIrql          : UChar
  +0x0df InitialNode      : UChar
  +0x0e0 ServiceTable    : Ptr32 Void
  +0x0e4 Queue            : Ptr32 _KQUEUE
  +0x0e8 ApcQueueLock    : Uint4B
  +0x0f0 Timer            : _KTIMER
  +0x118 QueueListEntry  : _LIST_ENTRY
  +0x120 SoftAffinity    : Uint4B
  +0x124 Affinity        : Uint4B
  +0x128 Preempted        : UChar
  +0x129 ProcessReadyQueue : UChar
  +0x12a KernelStackResident : UChar
  +0x12b NextProcessor    : UChar
  +0x12c CallbackStack    : Ptr32 Void
  +0x130 Win32Thread      : Ptr32 Void
  +0x134 TrapFrame        : Ptr32 _KTRAP_FRAME
  +0x138 ApcStatePointer  : [2] Ptr32 _KAPC_STATE
  +0x140 PreviousMode    : Char
  +0x141 EnableStackSwap  : UChar
  +0x142 LargeStack      : UChar
  +0x143 ResourceIndex    : UChar
  +0x144 KernelTime      : Uint4B
  +0x148 UserTime        : Uint4B
  +0x14c SavedApcState    : _KAPC_STATE
  +0x164 Alertable        : UChar
  +0x165 ApcStateIndex    : UChar
  +0x166 ApcQueueable    : UChar
  +0x167 AutoAlignment    : UChar
  +0x168 StackBase        : Ptr32 Void
  +0x16c SuspendApc      : _KAPC
  +0x19c SuspendSemaphore : _KSEMAPHORE
  +0x1b0 ThreadListEntry  : _LIST_ENTRY
  +0x1b8 FreezeCount      : Char
  +0x1b9 SuspendCount    : Char
  +0x1ba IdealProcessor  : UChar
  +0x1bb DisableBoost    : UChar


用户系统信息:Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.8) Gecko/20050511

附件附件:

下载次数:112
文件类型:application/octet-stream
文件大小:
上传时间:2008-5-5 20:55:08
描述:rar