ANTICHAT — форум по информационной безопасности, OSINT и технологиям
ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию.
Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club,
и теперь снова доступен на новом адресе —
forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.
09.04.2010, 18:35
|
|
Участник форума
Регистрация: 26.08.2009
Сообщений: 133
Провел на форуме:
193434
Репутация:
79
|
|
2crypt0n
пользовательские фаеры в данный момент не отделимы от своих HIPS. Бессмыслено обходить фаер, без обхода его HIPS, а обойдя его HIPS уже не имеет значения как ты будешь обходить фаер и драйвер для этого не нужен.
И анхук ssdt не поможет в обходе фаера, тк этим ты не снимешь хуки с TDI и следовательно необходим инжект в любом случае.
Думай, перед тем как писать.
|
|
|
10.04.2010, 20:18
|
|
Новичок
Регистрация: 20.02.2010
Сообщений: 11
Провел на форуме:
92082
Репутация:
2
|
|
для открытия физ памяти и перехода в ring0 драйвер не нужен (или это уже не так ?)
|
|
|
|
10.04.2010, 20:37
|
|
Участник форума
Регистрация: 18.07.2009
Сообщений: 272
Провел на форуме:
2083691
Репутация:
330
|
|
для открытия физ памяти и перехода в ring0 драйвер не нужен (или это уже не так ?)
Нужен. Есть возможность взаимодействовать с ядром без драйвера ( Ms-Rem расказывал как ), но этот способ довольно таки не удобен, так как нам нужно получить адреса необходимых нам функций ядра и еще много чего.
|
|
|
|
10.04.2010, 20:46
|
|
Новичок
Регистрация: 20.02.2010
Сообщений: 11
Провел на форуме:
92082
Репутация:
2
|
|
да, ms-rem писал, через \Device\PhysicalMemory (это и есть то что я понимаю под термином физической памятю). кстати так работает тулза SDTrestore
|
|
|
|
10.04.2010, 23:05
|
|
Постоянный
Регистрация: 04.12.2007
Сообщений: 424
Провел на форуме:
2364957
Репутация:
479
|
|
Сообщение от crypt0n
да, ms-rem писал, через \Device\PhysicalMemory (это и есть то что я понимаю под термином физической памятю). кстати так работает тулза SDTrestore
\device\physicalmemory катит только на ХР (говорят, даже не на каждой)
|
|
|
|
11.04.2010, 00:18
|
|
Reservists Of Antichat - Level 6
Регистрация: 05.03.2007
Сообщений: 1,985
Провел на форуме:
3288241
Репутация:
3349
|
|
1) \device\physicalmemory - катит тока под админом. Палится всеми антивирями. геморно юзать.
2) Эксплоиты смысла во внимание брать нету, потому что пропатчат быстро, а антивири в сигнатуры внесут.
3) дрова - норм, но попасть беспаливно в ядро сложно. (если не знаеш как это делается)
4) обойти фаер из ядра сняв хуки - не так уж и легко. В частности последний аутпост
5) единственный норм способ - заинжектится в доверенный процес.
А тут все средства хороши, но опять же палят антивири. Но если из ядра инжектится то они будут нервно курить в сторонке. Или временно снять их хуки
6) еще не придумал.
|
|
|
|
|
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|
Похожие темы
Комбинированный вид