程序逆向

Ntdll Unhook 下集

一、介绍取消 ntdll.dll 钩子的另一种方法是通过从挂起的进程读取它。这是可行的,因为 EDR(终端检测与响应系统) 需要运行中的进程来安装它们的挂钩,而在挂起状态下创建的进程会包含干净的 nt...
阅读全文
程序逆向

Ntdll Unhook 上集

一、介绍NTDLL 解除挂钩是将加载进程中的钩子 DLL 替换为未更改的未钩子版本,用未挂钩的版本替换挂钩的 DLL 需要手动设置 IAT、修复重新分配和其他繁琐的任务。为了避免这种情况, .text...
阅读全文
安全文章

EDR回调学习

我们都知道在用户层(R3),每一个进程都有自己的执行环境,这意味着A进程崩溃了,但是是不会影响到B进程的。 用户空间和内核空间是彼此隔离的。所以用户空间的应用程序是无法访问到内核中的结构的,除非在内核...
阅读全文