再谈DKOM及其另类应用

• 作者: Hovi．Delphic
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 编程 DKOM 进程保护
• 年，卷（期）: 2009,（10）
• 页码范围: 125-126
• 页数: 2页
• 分类号: TP311.13

摘要

DK0M，直译就是“直接内核对象操作”，即通过直接修改内核数据来达到我们的某些目的。一提起DKOM．大多人的第一印象就是它能用于“进程的隐藏和防杀”。隐藏进程最经典的方法就是断链，防杀就是修改诸如ApcQueueable之类的位置。当然，这些都是老黄历了．这里就不多说了。一般修改内核数据的驱动代码如下：