再谈注册表CallBack的检测和卸载

• 作者: ljh（cqupt） ly（cqupt）
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 编程 CALLBACK 检测
• 年，卷（期）: hkfx_2009,（7）
• 页码范围: 86-91
• 页数: 6页
• 分类号: TP311.52

摘要

在上一篇文章里，我给大家简单讲述了使用CmRegistryCallback函数来加载注册表callback进行注册表的监视和过滤。之后使用各种公开的ARK工具测试了一下，IceSword、Rku、XueTr、Gmer、CodeWalker、PsNull、狙剑都没有检测这种方式的注册表过滤的功能。好奇之余，我自己反汇编看了看，略有所得．在这里跟大家分享一下。