Windows PatchGuard学习

打开 Win64AST工具，看一下 Rootkit Functions 里面，有些什么功能；rootkit，肯定是些很底层的功能，和安全相关；

看下有一项禁止PatchGuard；

PatchGuard是什么，禁止了会如何？下面来学习；

1 PatchGuard
PatchGuard是Windows Vista的内核保护系统，防止任何非授权软件试图“修改”Windows内核，也就是说，Vista内核的新型金钟罩。

作用是：有效防止内核模式驱动改动

PatchGuard为Windows Vista加入一个新安全操作层；ASLR（Address Space Layout Randomization）亦在这个安全层之下。

PatchGuard能够有效防止内核模式驱动改动或替换Windows内核的任何内容，第三方软件将无法再给Windows Vista内核添加任何“补丁”。

2 禁止PatchGuard
这是一个内核实验。
按提示，首先要输入winload.exe和ntoskrnl.exe原来的路径；
original，原来的；
第三步是，拷贝文件，创建bcd项，禁止PEAUTH服务；然后即可禁止；

还涉及到BCD和PEAUTH两个概念，下面学习；

3 BCD 和 PEAUTH
BCD
BCD(Boot Configuration Date)即系统引导配置数据，这是从Windows Vista开始才引入的。在Windows Vista/Server 2008中BootManager组件负责系统的初始化和引导工作，而与之相匹配系统的引导数据就存储在BCD中。

BCD数据管理工具
　　最常用也最熟悉的系统引导管理就是系统高级引导菜单了，在Windows 7下也不例外。

PEAUTH服务

网上查不到资料；只有下面链接有个英文介绍；

http://batcmd.com/windows/7/services/peauth/

PEAUTH - Windows 7 Service
Protected Environment Authentication and Authorization Export Driver by Microsoft Corporation.

This service also exists in Windows 10, 8 and Vista.

Default Properties
Display name:   PEAUTH
Service name:   PEAUTH
Type:   kernel
Path:   %WinDir%\system32\drivers\peauth.sys
Error control:   normal

Default Behavior
The PEAUTH service is a kernel driver. If the PEAUTH fails to load or initialize, the error is recorded into the Event Log. Windows 7 startup should proceed, but a message box is displayed informing you that the PEAUTH service has failed to start.
从描述来看，此服务是一个内核驱动程序；一个内核驱动程序，配置为Windows服务，显示名称是 PEAUTH；

4 恢复
禁止之后如何恢复？在运行框，输入msconfig；在引导 tab里面操作，重启；

下回再做此实验；我正在写代码；上次玩这工具已经蓝屏挂了一次；

Windows PatchGuard学习相关推荐

超详细配置教程，搭建 Windows 深度学习环境
点击上方"视学算法",选择加"星标"或"置顶" 重磅干货,第一时间送达选自 | towardsdatascience 作者 | Ahina ...
Windows异常学习笔记（五）—— 未处理异常
Windows异常学习笔记(五)-- 未处理异常要点回顾最后一道防线实验一:理解最后一道防线实验二:新线程的最后一道防线总结 UnhandledExceptionFilter 实验三:理解U ...
Windows异常学习笔记（四）—— 编译器扩展SEH
Windows异常学习笔记(四)-- 编译器扩展SEH 要点回顾编译器支持的SEH 过滤表达式实验一:理解_try_except 实验二:_try_except 嵌套拓展SEH结构体 scope ...
Windows异常学习笔记（二）—— 内核异常处理流程用户异常的分发
Windows异常学习笔记(二)-- 内核异常处理流程&用户异常分发用户层与内核层异常内核异常分析 KiDispatchException 分析 RtlDispatchException ...
Windows异常学习笔记（一）—— CPU异常记录模拟异常记录
Windows异常学习笔记(一)-- CPU异常记录基础知识异常的分类 CPU异常分析中断处理函数 _KiTrap00 分析 CommonDispatchException 总结软件模拟异常 ...
Windows APC学习笔记（二）—— 挂入过程执行过程
Windows APC学习笔记(二)-- 挂入过程&执行过程基础知识挂入过程 KeInitializeApc ApcStateIndex KiInsertQueueApc Alertabl ...
Windows APC学习笔记（一）—— APC的本质备用APC队列
Windows APC学习笔记(一)-- APC的本质&备用APC队列基础知识 APC的本质 APC队列 APC结构分析 KiServiceExit 总结备用APC队列挂靠环境下Apc ...
Windows系统调用学习笔记（四）—— 系统服务表SSDT
Windows系统调用学习笔记(四)-- 系统服务表&SSDT 要点回顾系统服务表实验:分析 KiSystemService 与 KiFastCallEntry 共同代码 SSDT 实验: ...
Windows系统调用学习笔记（三）—— 保存现场
Windows系统调用学习笔记(三)-- 保存现场要点回顾基本概念 Trap Frame 结构线程相关的结构体 ETHREAD KTHREAD CPU相关的结构体 KPCR _NT_TIB KP ...

Windows PatchGuard学习

Windows PatchGuard学习相关推荐

最新文章

热门文章