Làm cách nào theo dõi và chống load driver trên win xp

[clone]

Trên win xp việc load driver dễ dàng hơn win 7 nên rootkit dễ dàng hoạt động.Có cách nào để chặn việc load driver được không ?

[gianghoplus]

Trên win xp việc load driver dễ dàng hơn win 7 nên rootkit dễ dàng hoạt động.Có cách nào để chặn việc load driver được không ?

Chạy dưới quyền User / Non-administrator

hoặc kiểm soát hàm: CreateService() [with parameter flag: SERVICE_KERNEL_DRIVER]

[clone]

Chạy dưới quyền User / Non-administrator

hoặc kiểm soát hàm: CreateService() [with parameter flag: SERVICE_KERNEL_DRIVER]

Mình cũng chạy dưới quyền user mà vẫn load driver được cơ mà(trên winxp)
Còn kiểm soát CreateService là sao bạn,có phải ta phải hook vào hàm CreateService và set dwServiceType là SERVICE_KERNEL_DRIVER không.Bạn có thể cho mình code mẫu được không?

[gianghoplus]

Mình cũng chạy dưới quyền user mà vẫn load driver được cơ mà(trên winxp)
Còn kiểm soát CreateService là sao bạn,có phải ta phải hook vào hàm CreateService và set dwServiceType là SERVICE_KERNEL_DRIVER không.Bạn có thể cho mình code mẫu được không?

Hook CreateService() thì đúng rồi. Trong hàm lọc / fake của hook bạn kiểm tra

// In CreateService_Hooked(...)if (dwServiceType & SERVICE_KERNEL_DRIVER)  // Nếu có cờ SERVICE_KERNEL_DRIVER{     dwServiceType ~= SERVICE_KERNEL_DRIVER;  // Loại bỏ nó ra}// Gọi lại hàm gốc với tham số đã được sửa đổi// Trả về giá trị

Ý tưởng của mình là như thế, nhưng chưa test bao giờ. Lâu rùi cũng ko đụng đến mấy cái này

[totden]

Cái nếu hook ở usermode CreateService thì đến lúc nó unhook thì hỏng. Thử chuyển xuống kernelmode đi. Hoặc filter driver đi.