微点交流论坛 - 微点杀毒软件 - 绕过KeInitializeApc，KeInsertQueueApc钩子，结束微点主防和杀毒

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 微点杀毒软件 » 绕过KeInitializeApc，KeInsertQueueApc钩子，结束微点主防和杀毒

点饭的百度空间
银牌会员

积分 2315
发帖 2236
注册 2007-11-30

#1 绕过KeInitializeApc，KeInsertQueueApc钩子，结束微点主防和杀毒

ithurricane/绕过KeInitializeApc，KeInsertQueueApc钩子，结束微点主防和杀毒~~~

2010-11-08 17:21

最近这段时间在加强进程相关的逻辑，

因为进程相关是最早实现的，很多逻辑还有不足之处，

感觉文件和注册表两块可以应付了，现在主要修改进程相关的逻辑，

在强制结束进程的时候，发觉360卫士和杀毒蛮容易杀掉的，

结束微点有点困难，并且测试了一些主流的ARK，

wsyscheck，冰刃，SysReveal都无法结束微点杀毒，

阻剑不知为何启动不了，无法测试，

xuetr一般结束时无法结束微点，强制结束的时候可以

微点主要是钩住了KeInitializeApc（inline hook）

KeInsertQueueApc（EAT hook）

所以难以结束它的进程，

于是我采取绕过的方式，个人比较喜欢绕过，而不是强行恢复钩子，这样比较和谐了~~~

取得KeInsertQueueApc的原始地址，

并且自己实现KeInitializeApc（其实就是简单的填充PRKAPC这个结构体了）

就绕过了钩子，可以结束微点主防和杀毒了，

顺便也绕过了PsTerminateSystemThread的钩子，

暂时应该够应付了吧。

PowerTool更新到V3.0，新增了ADS流的检测~~~
网盘下载地址:
[url]***********.0.zip[/url]

[ Last edited by Legend on 2010-11-9 at 11:56 ]

※ ※ ※ 本文纯属【点饭的百度空间】个人意见，与【微点交流论坛】立场无关※ ※ ※

你的微笑 is 微点的骄傲！
http://hi.baidu.com/new/micropoint

2010-11-9 10:32

Legend
超级版主

超级版主

积分 77171
发帖 70170
注册 2005-10-29

#2

感谢楼主的反馈，我们具体的进行分析。谢谢！

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息

2010-11-9 11:51

images
银牌会员

积分 1429
发帖 1376
注册 2007-11-17

#3

名称：
Rootkit.Win32.00193FAF
文件：
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\POWERTOOLV3[1].0\POWERTOOLV3.0\POWERTOOL.EXE是木马，是否要删除此文件？
杀毒直接报警

※ ※ ※ 本文纯属【images】个人意见，与【微点交流论坛】立场无关※ ※ ※

All accepted English
For a slim figure, share your food with the hungry. 给images发短消息

2010-11-9 14:11

反黑先锋
版主

RUNWAY

积分 2901
发帖 2857
注册 2006-6-17

※ ※ ※ 本文纯属【反黑先锋】个人意见，与【微点交流论坛】立场无关※ ※ ※

荣先祥藏头诗《赞东方微点》
东风欣传好消息
方策独步世所稀
微妙玄机嵌主动
点睛灭毒堪神笔

2010-11-14 10:57

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号