xuetr使用注意笔记

1.查看进程模块，观察dll可以看谁注入了他。

2.查看进程的线程，列出线程，如果是红色线程，说明不在任何模块内。

3.驱动模块会把所有当前驱动列出，比较重要的是加载顺序，如果木马驱动也会在这显示。

4.内核部分比较重要的是系统回调

其中LoadImage很多木马会放止安全软件，会在LoadImage检测，在这里进行patch。cmpCallback注册表回调。如果注册表禁止操作，很可能就是在这里。还有shutdown，很多木马在这做操作。

还有过滤驱动，DPC定时器（安云就在这有个红色），还有文件系统可以看到MiniFilter

还有FSD，有些沙箱会在这操作，Disk磁盘钩子。Patmgr（有些木马会用到，用来挂磁盘的），Atapi和Acpi磁盘微端口，有些木马会用到，MBRboot会挂钩IRP_MJ_INTERNAL_DEVICE_CONTROL

Object钩子注意，进程钩子可以检测3环。

启动信息是启动参数。

系统杂项里面有个检测MBR

配置强制启动，系统强制启动是R3得不到关机消息，可以防止一些木马关机回写，更为暴力就是对付R0级的通过IO端口，shutdown也看不到。

xuetr使用注意笔记相关推荐

重载内核全程分析笔记
标题: [原创]重载内核全程分析笔记作者: Speeday 时间: 2013-08-20,20:19:46 链接: http://bbs.pediy.com/showthread.php?t ...
应急响应“小迪安全课堂笔记”web，系统，数据库三方应用
应急响应应急响应初识 WEB 攻击应急响应朔源-后门,日志 WIN 系统攻击应急响应朔源-后门,日志,流量应急响应-WEB 分析 php&javaweb&自动化工具应急响应流程 ...
最实用的应急响应笔记思路小结
0x00 事件应急响应的流程分析事件整个类型大致归类于: 事件表现-信息收集-确认攻击类型-事件追查-修复 1)事件的表现: 网站类型:被篡改,信息丢失,乱码等文件类型:被篡改,丢失,泄露等系统 ...
【读书笔记】知易行难，多实践
前言: 其实,我不喜欢看书,只是喜欢找答案,想通过专业的解答来解决我生活的困惑.所以,我听了很多书,也看了很多书,但看完书,没有很多的实践,导致我并不很深入在很多时候. 分享读书笔记: <高效1 ...
【运维学习笔记】生命不息，搞事开始。。。
001生命不息,搞事不止!!! 这段时间和hexesdesu搞了很多事情! 之前是机械硬盘和固态硬盘的测速,我就在那默默的看着他一个硬盘一个机械测来测去. 坐在他后面,每天都能看到这位萌萌的小男孩,各 ...
SSAN 关系抽取论文笔记
20210621 https://zhuanlan.zhihu.com/p/353183322 [KG笔记]八.文档级(Document Level)关系抽取任务共指id嵌入一样但是实体嵌入的时候 ...
pandas以前笔记
# -*- coding: utf-8 -*- """ Created on Sat Jul 21 20:06:20 2018@author: heimi "& ...
PyTorch 学习笔记（六）：PyTorch hook 和关于 PyTorch backward 过程的理解 call
您的位置首页 PyTorch 学习笔记系列 PyTorch 学习笔记(六):PyTorch hook 和关于 PyTorch backward 过程的理解发布: 2017年8月4日 7,195阅读 ...
容器云原生DevOps学习笔记——第三期：从零搭建CI/CD系统标准化交付流程
暑期实习期间,所在的技术中台-效能研发团队规划设计并结合公司开源协同实现符合DevOps理念的研发工具平台,实现研发过程自动化.标准化: 实习期间对DevOps的理解一直懵懵懂懂,最近观看了阿里专家带 ...

xuetr使用注意笔记

xuetr使用注意笔记相关推荐

最新文章

热门文章