Ring3下阻止ARK启动

• 作者: 胡文亮
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: ROOTKIT RINGO 进程枚举 Virus 注册表键值 功能失效 HOOK RUN
• 年，卷（期）: 2010,（1）
• 页码范围: 132-134
• 页数: 3页
• 分类号: TP393.08

摘要

在Rootkit眼里．Anti—Rootkit工具的威胁远比Anti—Virus软件大。因为市售的Anti-Virus软件为了稳定．都用的是成熟的、基本保证不蓝屏的技术。比如360，其进程枚举和启动项枚举都是在Ring3下完成的．所以在RingO下的一个简易Hook就能使这两项功能失效（2009年12期文章《RingO下注册表键值的枚举和隐藏》就是用最普通的SSDTHOOK使360无法看到Run项）。