瑞星的内核Hook分析

今天我下载的瑞星的新版本23.00.24.98，分析一下瑞星在免费之后内核当中的Hook有没有什么变化!

1. SSDT 和 Shadow SSDT Hook

瑞星Hook了一大堆的SSDT，我就直接在内核里面把它们都恢复了！

2. inline Hook

瑞星Hook了ObReferenceObjectByHandle前面的5个字节

Hook前：

kd> u nt!ObReferenceObjectByHandle
nt!ObReferenceObjectByHandle:
805b1ab6 8bff            mov     edi,edi
805b1ab8 55              push    ebp
805b1ab9 8bec            mov     ebp,esp
805b1abb 51              push    ecx
805b1abc 51              push    ecx
805b1abd 53              push    ebx
805b1abe 56              push    esi
805b1abf 57              push    edi

Hook后:

kd> u 805b1ab6
nt!ObReferenceObjectByHandle:
*** ERROR: Symbol file could not be found. Defaulted to export symbols for HOOKHELP.sys -
805b1ab6 e93d654378      jmp     HOOKHELP!RisingInlineUnHook+0x4d98 (f89e7ff8)
805b1abb 51              push    ecx
805b1abc 51              push    ecx
805b1abd 53              push    ebx
805b1abe 56              push    esi
805b1abf 57              push    edi

这个地方的Hook与以前一样还是没有保护，直接恢复就完了，这点比360要差一些！

内核的Hook全部被恢复之后发现瑞星居然没有发现自已的内核钩子已经被卸载了，而360却可以发现自已的内核钩子被卸载，从这儿可以看出360还是强于瑞星的。

让我们看看内核钩子被卸载掉之后瑞星在UI上的表现：

瑞星感觉自身工作的很正常，呵呵!

说句实话瑞星做为杀毒软件功能与其它杀软相比还是要差一些的！

转载于:https://www.cnblogs.com/russinovich/archive/2011/04/19/2020901.html

瑞星的内核Hook分析相关推荐

重载内核全程分析笔记
标题: [原创]重载内核全程分析笔记作者: Speeday 时间: 2013-08-20,20:19:46 链接: http://bbs.pediy.com/showthread.php?t ...
windows 内核情景分析
原文很长:先转部分过来,有时间看一下: 一 windows 内核情景分析---说明说明本文结合<Windows内核情景分析>(毛德操著).<软件调试>(张银奎著).< ...
《LINUX3.0内核源代码分析》第一章：内存寻址
https://blog.csdn.net/ekenlinbing/article/details/7613334 摘要:本章主要介绍了LINUX3.0内存寻址方面的内容,重点对follow_page ...
从源码和内核角度分析redis和nginx以及java NIO可以支持多大的并发
有人询问我网上一篇关于"redis为什么单线程这么快"的文章,我建议他不要看了,因为redis是单进程不是单线程,后面的意见不用看了,文章质量肯定不会很好,他也说了自己看了很久源码 ...
linux内核自解压,Linux的初始内核自解压分析
Linux的初始内核自解压分析 (2009-03-27 19:46:46) 标签: it Linux的初始内核解压 2007-09-19 15:02 来源:论坛整理作者:lucian_yao [网友 ...
Linux2.6 内核进程调度分析
Linux2.6 内核进程调度分析进程的调度时机与引起进程调度的原因和进程调度的方式有关.在 2.6 中,除核心应用主动调用调度器之外, 核心还在应用不完全感知的情况下在以下三种时机 ...
Windows内核系统调用分析
系统调用进程 --> 调用OS API:OS进程管理 --> 调配进程. 仅从用户进程角度,OS就像是一个被动响应的运行时库.Windows提供了一个系统调用界面作为外层,即Win32A ...
Gloomy对Windows内核的分析
/Files/ddlzq/Gloomy对Windows内核的分析.pdf 转载于:https://www.cnblogs.com/ddlzq/archive/2010/09/03/1817244.ht ...
《LINUX3.0内核源代码分析》第二章：中断和异常【转】
转自:http://blog.chinaunix.net/uid-25845340-id-2982887.html 摘要:第二章主要讲述linux如何处理ARM cortex A9多核处理器的中断.异 ...

瑞星的内核Hook分析

瑞星的内核Hook分析相关推荐

最新文章

热门文章