鱼C论坛

 找回密码
 立即注册
查看: 5730|回复: 2

【第4篇】PatchGuard

[复制链接]
发表于 2016-8-11 15:16:11 | 显示全部楼层 |阅读模式

马上注册,结交更多好友,享用更多功能^_^

您需要 登录 才可以下载或查看,没有账号?立即注册

x
本帖最后由 lx_Zz 于 2016-8-11 15:18 编辑

        我直接把百度百科的摸下来、
        PatchGuard就是Windows Vista的内核保护系统,防止任何非授权软件试图“修改”Windows内核,也就是说,Vista内核的新型金钟罩。
        PatchGuard能够有效防止内核模式驱动改动或替换Windows内核的任何内容,第三方软件将无法再给Windows Vista内核添加任何“补丁”。

简而言之、就是在win64下、你写的驱动程序是不能随便修改内核API函数了、除非是把PatchGuard干掉、网上方法很多、

先声明、接下来要写的文章基本都是NT式驱动相关的、围绕驱动保护和过驱动保护来讲、算是边学边总结吧、

上面说了、在win64下、由于PG(PatchGuard)的存在、所以不能随意修改内核的内容、虽然网上有各种姿势过PG、但是对于企业来说、商业软件过PG是违反规定的、而且过PG之后系统不稳定、所以这样是行不通的、但是又不能不对程序进行驱动级的保护吧、于是使用微软官方提供的方法、用ObRegisterCallbacks注册一个回调、监控系统中所有的进线程句柄的动态、一旦发现对自己有害的句柄、马上就把句柄关闭并返回一个错误值、

好了、这一篇讲的少、就是简单介绍有这个东西、
接下来总结点理论性的内容、都是书上的原理、正好检查一下自己的理解是否有问题、希望大家指出错误好改正、
想知道小甲鱼最近在做啥?请访问 -> ilovefishc.com
回复

使用道具 举报

发表于 2016-8-16 15:40:01 | 显示全部楼层
企业级的都是靠购买微软签名来顺利加载驱动对底层做修改的,现在也能百度好多黑科技出来。
谢谢lz
想知道小甲鱼最近在做啥?请访问 -> ilovefishc.com
回复 支持 反对

使用道具 举报

发表于 2017-7-10 21:06:32 | 显示全部楼层
求 过PG 和 obRegisterCallbacks 注册回调的方法代码
想知道小甲鱼最近在做啥?请访问 -> ilovefishc.com
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|手机版|Archiver|鱼C工作室 ( 粤ICP备18085999号-1 | 粤公网安备 44051102000585号)

GMT+8, 2024-3-29 17:25

Powered by Discuz! X3.4

© 2001-2023 Discuz! Team.

快速回复 返回顶部 返回列表