526互联

IRP

IRP_MJ_CREATE IRP_MJ_CREATE

要查询创建的设备，你可以使用以下方法之一： 使用 IRP_MJ_CREATE 处理程序：在驱动程序中，如果你已经为设备对象设置了 IRP_MJ_CREATE 处理程序，那么当应用程序打开设备时，该处理程序将被调用。你可以在这个处理程序中执行操作，并检查打开设备的相关信息。 使用 Device Man ......
IRP_MJ_CREATE CREATE IRP MJ

IRP_MJ_CREATE、IRP_MJ_CLOSE

DriverObject->DriverUnload = DokanUnload; DriverObject->MajorFunction[IRP_MJ_CREATE] = DokanDispatchCreate; DriverObject->MajorFunction[IRP_MJ_CLOSE] ......
IRP_MJ_CREATE IRP_MJ_CLOSE IRP CREATE CLOSE

rootkit检测之检测hook——iat hook、inline hook、eat hook、idt hook、irp hook、ssdt

可以看到识别inline hook的关键。 好了，我自己机器上实验下：先看下手册里介绍用法 https://downloads.volatilityfoundation.org/releases/2.4/CheatSheet_v2.4.pdf 实际使用发现确实加上-R 和 -Q会快很多！输出的结果如 ......
hook rootkit inline ssdt eat
共3篇  :1/1页 首页上一页1下一页尾页