摘要：
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）文章作者：asm(http://www.sbasm.cn)写了个对抗扫描的东西，跟大家分享！技术含量不高，大牛飘过。一直以来写的都是ring3代码，现在很认真的拼凑了一份山寨版的驱动代码，很久没这么认真过了。希望哪位大牛能指点一下，指出代码中可能存在BOSD的隐患。其他人就跟我一起学习吧~~很久以来，做木马免杀一般都是文件表面免杀，内存免杀。文件免杀一般的思路是通过修改代码重，或者文件自身来做到。另外还有一种免杀方式就是隐藏你的木马，让杀软认为你的木马是不存在的，自然就达到免杀的效果了。内存免杀其实不需要用OD来修改，有两种 阅读全文
摘要：
Author:PolymorphoursEmail:Polymorphours@whitecell.orgHomepage:http://www.whitecell.orgDate:2005-11-17/*++ Author: Polymorphours Date: 2005/1/10 通过对 NtReadVirtualMemory 挂钩，防止其他进程对保护的模块进行扫描， 如果发现其他进程读被保护模块的内存，则返回0--*/typedef struct _LDR_DATA_TABLE_ENTRY { LIST_ENTRY InLoadOrderLinks; LIST_ENT... 阅读全文
摘要：
文章作者：grayfox作者主页：http://nokyo.blogbus.com原始出处：http://www.blogbus.com/nokyo-logs/34018521.html 在我昨日发布的《驱动学习笔记系列文章汇总(PDF)》第11.2节中，我没有给出使用DeviceIoControl通信的演示源码，附录中附带的程序是我尚未调试好的，因此没有达到通信的目的。 今天又认真阅读了下张帆的《Windows驱动开发技术详解》第7章的内容，并对它给出的示例程序多次调试，总算把这个通信过程给理解了，下面我们先来看看应用层程序的代码：#include#include#include#inclu 阅读全文
摘要：
文章作者：grayfox作者主页：http://nokyo.blogbus.com原始出处：http://www.blogbus.com/nokyo-logs/34005738.html此前我们可能曾经多次听说过IRP这个名词，那么它究竟是什么呢？IRP的全名是I/O Request Package，即输入输出请求包，它是Windows内核中的一种非常重要的数据结构。上层应用程序与底层驱动程序通信时，应用程序会发出I/O请求，操作系统将相应的I/O请求转换成相应的IRP，不同的IRP会根据类型被分派到不同的派遣例程中进行处理。IRP有两个基本的属性，即MajorFunction和MinorFu 阅读全文