冰刃下实现无驱动隐藏自身

• 作者: 胡文亮
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 驱动 隐藏 冰 杀毒软件 商用价值 HOOK 进程 编程
• 年，卷（期）: 2010,（6）
• 页码范围: 108-110
• 页数: 3页
• 分类号: TP316.7

摘要

刚开始学底层编程的时候，特别喜欢“打打杀杀”，比如弄个驱动“强制”结束杀毒软件．或者是模拟点击关闭冰刃。现在想起来，真是一点意义都没有。因为一个有商用价值的R00tkit，是不能乱杀进程的，而是要通过更加巧妙的办法隐藏自身。上次我在《钩子的另类用法》中提到了Hook MmlsAddressVaIid来逃过冰刃、狙剑、PSNuII的进程检测。不过用到了驱动，这次再提供一个方法，连驱动都不需要使用。