Вопрос Как задетектить кернел софт из ring0?

[Vorrik]

Как драйверу спалить драйверный софт? Что делать с читом, который решил смануалмаппиться в кернел?

 

[lss]

Как драйверу спалить драйверный софт? Что делать с читом, который решил смануалмаппиться в кернел?

начни детектить подпись дрв,вдруг паблик подпись от хонды юзают

 

[Vorrik]

начни детектить подпись дрв,вдруг паблик подпись от хонды юзают

Поподробнее, гугл о эцп хонды ничего не выдает

 

[wristcry]

Как драйверу спалить драйверный софт?

подпись драйвера

который решил смануалмаппиться в кернел?

MmUnloadedDrivers, MmLastUnloadedDriver, PiDDBCacheTable

ну и вот еще

Пожалуйста, авторизуйтесь для просмотра ссылки.

 

[Vorrik]

подпись драйвера


MmUnloadedDrivers, MmLastUnloadedDriver, PiDDBCacheTable

ну и вот еще

Пожалуйста, авторизуйтесь для просмотра ссылки.

А как достать ммапед драйвер, запущенный до моего

 

[wristcry]

А как достать ммапед драйвер, запущенный до моего

в каком смысле "достать"?

 

[Vorrik]

в каком смысле "достать"?

Узнать о его существовании. Исходя из логов этого сурса, я только понял, что он детектит ммап, но ммапинг или ммапед? Или уже загруженный ммапом драйвер спалить нельзя? Литературы по MmUnloadedDrivers, MmLastUnloadedDriver, PiDDBCacheTable найти не смог

 

[wristcry]

Насколько я знаю...

Узнать о его существовании. Исходя из логов этого сурса, я только понял, что он детектит ммап, но ммапинг или ммапед?

О существовании ммапед драйвера можно узнать только исходя из активновсти этого драйвера(спуфнутый HWID, например)

Или уже загруженный ммапом драйвер спалить нельзя?

Вроде как, нельзя. Так же как и выгрузить ммапед драйвер

Литературы по MmUnloadedDrivers, MmLastUnloadedDriver, PiDDBCacheTable найти не смог

А литературы/документации/еще чего-то по этому делу к сожалению и не существует, максимум пара тем на юц

 

[Крайслер]

Вроде как, нельзя. Так же как и выгрузить ммапед драйвер

смотреть выделенную память(при условии что таблицы загрузки и выгрузки, а так же рабочая таблица, очищены от драйвера с помощью которого была произведена проекция). левые потоки, левые соединения и куча других способов(при условии достаточных ресурсов для анализа в реальном времени)

 

[Vorrik]

смотреть выделенную память(при условии что таблицы загрузки и выгрузки, а так же рабочая таблица, очищены от драйвера с помощью которого была произведена проекция). левые потоки, левые соединения и куча других способов(при условии достаточных ресурсов для анализа в реальном времени)

Пожалуйста, авторизуйтесь для просмотра ссылки.

реализует что то из вышеперечисленного, я правильно понимаю?