对数字的对抗驱动360boost.sys的简单逆向

主要内容: 一．360Box沙箱DriverEntry函数安装驱动过滤框架分析二. 360Box沙箱注册表监控分析三. 360沙箱文件系统监控分析一．360Box沙箱DriverEntry函数安装驱动过滤框架分析360Box沙箱的驱动入口代码如下所示，下面单步跟踪分析入口代码安装360对注册表、进程、文件系统等过滤函数的安装过程。从下代码可以看出，360Box安装过滤的顺序为文件系统minifi...

那么这里结合windg和ida的现象，初步认为该蓝屏是360驱动在调用SeQueryInformationToken的时候，抛出了一个错误为访问了非法内存。不确定，继续往下排查。github上有个开源项目reactos，是一个开源的windows内核系统，有很多值得借鉴的地方。虽然最后没查出来根因，但是蓝屏的时候我们的驱动已经卸载掉了，而且也没有我们申请的内存（没有我们的tag）。于是我打开了ida，逆向了一下360这个驱动，定位到伪代码如下，对比windbg的参数，发现第一个参数也就是Token为0。

本文详细解析Windows驱动逆向技术，从.sys文件分析到Inline Hook实战，适合新手入门。通过CTF赛题案例，介绍驱动文件结构、核心函数逆向及Python脚本实现，帮助读者掌握驱动逆向基础与高级技巧。

参考资料： 1、腾讯管家攻防驱动分析-TsFltMgr 2、发一个可编译，可替换的hookport代码 3、为什么win32k.sys在System进程空间无法访问 4、明明白白自旋锁 5、那些年搞驱动的那些坑_欢迎补充 6、用DeviceIoControl实现应用程序与驱动程序通信 推荐使用的环境 备注 操作系统 Windows 7 SP3 简体中文版 .

<br /> <br />刚开始练习逆向才粗学浅，大牛见之，请提点提点... ...<br /> <br />::000119A6::  55                       PUSH    EBP                             <br />::000119A7::  8BEC                     MOV     EBP, ESP                        <br />::000119A9::  8B45 08          

360安全卫士hookport.sys简单逆向——MyHookMgr数据结构 2009年10月23日 星期五 17:12 MyHookMgr数据结构 MyHookMgr是一个大小为0x5DDC的巨大结构，是360挂钩中的一个重要数据，它记录了挂钩函数的原地址、代理函数地址及相应函数是否挂钩的标志位。 它的数据结构是这样的： struct MyHookMgr{ ...

360安全卫士hookport.sys简单逆向——基础 2009年10月23日 星期五 17:09 hookport.sys模块作用 Hookport.sys是360安全卫士对系统进行挂钩操作的核心模块。其中主要方式对SSDT和shadowSSDT安装钩子函数。但其使用了一种较为特殊的实现方法，使众多常规ARK软件很难检测出360安全卫士所的钩子。由于此方法对系统表操作很少，比较稳定。 H...

信息来源：邪恶八进制信息安全团队（www.eviloctal.com）文章作者：sudami前言：一直很向往进入Debugman论坛的RCT这个核心团队,但自己水平有限,最后没有过关. 呵呵,不过俺从中学到了很多东西,于是发此帖分享一下学习成果;也顺便请教各位大牛,希望您有时间的话,逆一份更加好的code.偶逆的这份code虽然大致实现了原来驱动的功能,但写的毕竟很粗糙,希望有逆向经验的同学能

<br />:00011528 55                      push ebp<br />* Referenced by a (U)nconditional or (C)onditional Jump at Address:<br />|:000114C6(C)<br />|<br />:00011529 8BEC                    mov ebp, esp<br />:0001152B 53                      push ebx<br />:00

转在于 逆向工厂（一）：从hello world开始前沿从本篇起，逆向工厂带大家从程序起源讲起，领略计算机程序逆向技术，了解程序的运行机制，逆向通用技术手段和软件保护技术，更加深入地去探索逆向的魅力。一、程序如何诞生？1951年4月开始在英国牛津郡哈维尔原子能研究基地正式投入使用的英国数字计算机“哈维尔·德卡特伦”，是当时世界上仅有的十几台电脑之一。图中两人手持的“纸带”即是早期的程序，纸带通过是否

驱动对抗现状： 问题： 由于3环权限低，越来越多的病毒不屑于在3环搞事。在处理用户的一些病毒问题时，除了流氓软件，最多的还是rootkit这一类病毒（关于rootkit病毒的介绍，常见操作和危害不在此处讨论，以后笔者可以单独开一篇博文聊聊）。有些用户遇到3环问题还能自己想办法解决一下，通过修改劫持首页的注册表、快捷方式或者卸载恶意流氓软件等等就可以解决问题。但是，面对rootkit类病毒问题时，绝大多数的用户还是不知道或者不敢轻易去自己解决，一方面由于相关处理经验不足，另一个是怕出什么问题导致蓝屏或者系

转载请标明是引用于 http://blog.csdn.net/chenyujing1234  欢迎大家拍砖!   本系列内容是我根据“知其所以然论坛”博主录制的学习视频，做的笔记。 使用的IDA软件版本： IDA.pro.5.5 （参考下载地址： http://www.pc6.com/softview/SoftView_55231.html） 下载后得到IDA.pro.5.5dapr

安装BOOST库遇到问题

ubuntu boost运行./bootstrap.sh后可能会出现如下提示 Building B2 engine… A C++11 capable compiler is required for building the B2 engine. Toolset ‘cxx’ does not appear to support C++11. Note, the C++11 capable compiler is only required for building the B2 engine. The B2

很早的时候，在研究怎么给驱动加壳的时候，忘了从哪有了这个exeshell小工具（这个小工具好像是V大写的，我也不是很确定，希望V大不要生气呵呵）可以给sys加密，从而在一定程度上拖延了sys被人用F5虐待的时间 ，于是当时就花了几天把他给逆了，其实简单的说就是把sys文件的.text段与与0x44异或，进行简单加密。具体可以看idb的sub_4014A0函数。 关键代码： BOOL CEncrpt

//------------------------------[IDA] => TesSafe.sys --------------------------------------//// File MD5: E780032179272AFD93BCF4A9A67C7706// Version: 0.0.6.5//-----------------------------------------

一、操作步骤 1、将sysmagic文件拖动到ida图标上，然后“确定” 2、在函数窗口中找到main函数，点击打开 3、然后按F5键反编译 二、逆向过程 1、首先看main函数，在main函数中可以看到一个get_flag函数，所以猜测可能这个函数和flag有关，然后在函数窗口找到这个函数并点击打开get_flag函数 2、然后观察get_flag函数可以在最后发现这样一个循环：输入一个v2，...

IRP_MJ_CREATE和IRP_MJ_CLOSE，DriverUnload例程很简单可以看写出的C代码或者是dhook.sys的驱动.关键IRP_MJ_DEVICE_CONTROL例程有点复杂和用户层通信.如下：.text:000103DB ; int __stdcall sub_103DB(PDRIVER_OBJECT DeviceObject,PIRP Irp).text:000103DB