kihiuyhjgh
禁止发言
积分 159
发帖 163
注册 2008-12-15
|
#1 微点主动防御软件_逆向_idb【转帖】
"微点主动防御软件" 算是一款比较强悍的主防程序,用到许多非常猥琐\先进又产品级的技术.它在2005年就已被研发出来,只是没多少人关注,但防范未知病毒木马的能力确实非常强悍.在2008年11月份,我大致看了下它包含的13个驱动, 逆了一部分,从中学到了部分知识,但只是冰山一角.后来由于种种原因,没再碰它了. 奉上以前逆向的部分成果,供参考!
从本资料中您可能获取到如下某些技巧:
1. 加密解密函数
2. IAT HOOK / EAT HOOK / 深度Call Hook / Inline Hook / (Shadow)SSDT Hook及其复杂的处理
3. 部分win32k.sys中的未公开结构及其微点对ShadowSSDT中为公开函数的引用/处理
(比如判断窗体的合法性,并进行可疑度打分)
4. 栈回溯的无所不用其极的极致发挥 / 栈劫持来回滚木马的危害行为
5. 自定义的结构体中的评分机制
6. 瞬间HOOK及其摘除Hook的技巧
7. 对远程线程注入的防范原理
8. 对驱动加载的拦截点及其原理
9. 一种巧妙的混淆IDA的花的运用
10. 驱动间的数据交互 / 内核DLL技术
11. 如何判断当前程序行为的可疑度
12. etc...
btw: 13个驱动中有些驱动的idb我删除了,毕竟不好亮全,自己看看就成. 请详细参见每个目录中的*.txt.c文件
某些xx的驱动 比微点更难搞...
都是操作内存数据+N级指针+自定义大结构 .喝N壶都不见得...
5586881
微点难道对自己的东西不加密么？就跟美军的技术领先全世界无人可以企及一样
这帮人能搞明白你的东西 这个世界上就有很多人能搞明白 他们搞明白了你的弱点 拿来对付网民该怎么办呢？
MJ0011
很快，但内容很少啊~
要关注的不是HOOK技巧和处理技巧，而是总体结构和处理。从dami你的分析来看，对比现在版本，微点的HOOK变化不多，SHADOW上的比较弱，SSDT上的也不是很全面。
微点算是很容易逆向的了，没有复杂的数据结构和算法，作者意图也很容易理解。
另外加密会影响产品稳定性，提高产品的问题追踪成本 做为商业产品，一般是不会加密的。
而且微点已经不加密放出来了，除非全部重新开发一套，否则要加密也晚了
微点.IDB-new.090101.V 1.10026_sudami.rar (1.1 MB) | DownLoad
下载地址：http://forum.eviloctal.com/attachment.php?aid=13524
Bypass 微点主动防御软件
http://hi.baidu.com/sudami/blog/ ... 3fdb3a27979167.html
微点对MmLoadSystemImage的处理
http://hi.baidu.com/sudami/blog/ ... 3df6084bfb51ab.html
微点在检测IFEO方面好脆弱
http://hi.baidu.com/sudami/blog/ ... e45da2d9335a9e.html
| |
※ ※ ※ 本文纯属【kihiuyhjgh】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
 |
|
2009-11-9 12:40 |
|
qqwangtao
中级用户
积分 456
发帖 454
注册 2009-6-17
来自 革命圣地——延安
|
#2
技术性太强！
| |
※ ※ ※ 本文纯属【qqwangtao】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
系统Xp+Win7，Xp防御武器：金山卫士+微点2.0+影子卫士Win7：金山套装+科莫多防火墙+Threat Fire+微点杀毒 |
|
|
|
2009-11-9 13:29 |
|
1328558
注册用户
积分 55
发帖 55
注册 2008-8-9
|
#3
技术性太强了，学习一下
| |
※ ※ ※ 本文纯属【1328558】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2009-11-9 14:57 |
|
理想未来
禁止发言
积分 386
发帖 382
注册 2008-12-10
|
#4
这个属于真正技术交流了，以后发现这样和那样的问题
才会推动微点的真正发展和完善。
| |
※ ※ ※ 本文纯属【理想未来】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2009-11-10 00:04 |
|
oisdd
禁止访问
积分 60
发帖 60
注册 2009-9-28
|
#5
这个帖子应该发到主动防御版块吧？
| |
※ ※ ※ 本文纯属【oisdd】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2009-11-10 02:25 |
|
坐照
银牌会员
正式版用户
积分 1426
发帖 1422
注册 2009-3-24
来自 湖北宜都
|
#6
传说中的达人？
| |
※ ※ ※ 本文纯属【坐照】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2009-11-10 10:38 |
|
getgod
新手上路
积分 48
发帖 48
注册 2009-7-8
|
#7
好强。。我只是想知道难道微点真的不加密自己吗？
| |
※ ※ ※ 本文纯属【getgod】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2009-11-10 11:09 |
|
LHQ0332
高级用户
积分 773
发帖 771
注册 2009-2-25
|
#8
技术性太强了，学习一下
| |
※ ※ ※ 本文纯属【LHQ0332】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2009-11-10 11:28 |
|
oisdd
禁止访问
积分 60
发帖 60
注册 2009-9-28
|
#9
希望引起官方的重视啊~
| |
※ ※ ※ 本文纯属【oisdd】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2009-11-10 18:16 |
|
我爱丹州
新手上路
积分 22
发帖 22
注册 2007-8-4
|
#10
占位置慢慢看
| |
※ ※ ※ 本文纯属【我爱丹州】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2009-11-10 19:18 |
|
