搜索

[8537] 2014-12-29_测一测才知道，百度安全软件是不是真流氓？

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-12-29_测一测才知道，百度安全软件是不是真流氓？ 测 一 测 才 知 道 ， 百 度 安 全 软 件 是 不 是 真 流 氓 ？ F r e e B u f   2 0 1 4 - 1 2 - 2 9 前 言 前 言 最 近 不 知 为 何 掀 起 “ 黑 百 度 ” 风 ， 3 6 0 老 总 不 顾 颜 面 微 博 喊 话 李 彦 宏 ， 广 大 用 户 纷 纷 吐 槽 百 度 杀 毒 的 静 默 安 装 、 卸 载 不 了 以 及 软 件 捆 绑 安 装 。 这 些 所 谓 安 全 软 件 的 问 题 也 不 是 一 天 两 天 了 ， 之 前 就 有 人 说 某 安 全 软 件 上 传 工 程 源 码 以 完 成 所 谓 “ 云 查 杀 ” ， 又 时 不 时 涉 嫌 各 种 隐 私 问 题 ， 不 一 而 足 。 之 前 在 百 度 杀 毒 那 边 实 习 过 一 阵 ， 感 觉 软 件 不 至 于 无 耻 到 网 上 所 流 传 那 种 地 步 。 这 里 我 选 择 不 同 平 台 安 装 不 同 的 百 之 前 在 百 度 杀 毒 那 边 实 习 过 一 阵 ， 感 觉 软 件 不 至 于 无 耻 到 网 上 所 流 传 那 种 地 步 。 这 里 我 选 择 不 同 平 台 安 装 不 同 的 百 度 产 品 ， 从 安 装 到 运 行 ， 以 及 卸 载 ， 看 看 它 们 到 底 多 流 氓 。 度 产 品 ， 从 安 装 到 运 行 ， 以 及 卸 载 ， 看 看 它 们 到 底 多 流 氓 。 工 具 工 具 V M 虚 拟 机 、 w i n 7   x 8 6 、 w i n 7   x 6 4 、 P r o c e s s M o n i t o r 、 P r o c e s s E x p l o r e r 、 P C H u n t e r 、 W i n d b g 、 V K D 百 度 高 速 下 载 百 度 高 速 下 载 百 度 搜 索 某 软 件 ， 会 有 “ 高 速 下 载 ” 选 项 ， 我 们 使 用 高 速 下 载 来 作 为 测 试 ： 高 速 下 载 得 到 一 个 e x e ： n p p . 6 . 6 . 9 . I n s t a l l e r _ 1 3 4 7 8 _ B D d l . e x e ， 图 标 是 度 熊 手 ； 普 通 下 载 得 到 的 是 ： n p p _ V 6 . 7 _ I n s t a l l e r . 1 4 1 8 6 3 0 5 1 3 . e x e 。
从 文 件 名 可 以 目 测 出 两 个 问 题 ： 1 、 高 速 下 载 得 到 的 是 捆 绑 了 百 度 产 品 的 2 、 高 速 下 载 得 到 的 是 低 版 本 的 。 可 能 捆 绑 是 需 要 时 间 的 吧 。 那 我 们 运 行 这 个 高 速 版 看 看 会 发 生 什 么 ： 首 先 映 入 眼 帘 的 是 百 度 下 载 助 手 的 安 装 程 序 ， 百 度 的 签 名 ： 然 后 下 载 助 手 安 装 成 功 ， 并 启 动 n o t e p a d + + 的 下 载 和 安 装 。 所 以 说 之 前 那 个 n p p . 6 . 6 . 9 . I n s t a l l e r _ 1 3 4 7 8 _ B D d l . e x e 纯 粹 是 混 淆 视 听 ， 就 是 b a i d u x i a z a i z h u s h o u . e x e ， 怪 不 得 连 图 标 都 没 变 。 再 试 几 个 其 他 的 高 速 下 载 ， 都 是 会 安 装 “ 百 度 下 载 助 手 ” ， 然 后 再 “ 高 速 ” 下 载 该 软 件 。 何 来 点 了 高 速 下 载 就 会 静 默 安 装 百 度 杀 毒 和 百 度 卫 士 ？ 这 里 黑 得 不 漂 亮 啊 ！ 不 过 这 个 确 实 也 属 于 欺 骗 用 户 的 。 倒 是 有 时 候 下 载 的 时 候 有 个 选 项 “ 安 装 百 度 杀 毒 ” ， 默 认 是 勾 选 的 ， 如 果 不 取 消 选 择 ， 那 铁 定 是 要 中 招 了 。 我 之 前 确 实 见 过 这 种 情 况 ， 不 过 写 这 篇 文 章 测 试 的 时 候 一 直 没 搜 出 来 ， 只 好 作 罢 。 另 外 有 一 点 我 觉 得 是 无 脑 黑 ， 说 什 么 百 度 搜 索 3 6 0 会 被 屏 蔽 云 云 ， 可 能 纯 粹 是 网 络 问 题 吧 。 百 度 说 点 竞 争 对 手 坏 话 倒 有 可 能 ， 大 家 都 这 样 ， 不 至 于 屏 蔽 竞 争 对 手 。 我 倒 是 觉 得 软 件 中 心 挺 好 ， 起 码 点 下 载 就 是 下 载 ， 不 至 于 点 下 载 给 你 安 装 个 美 图 秀 秀 ； 而 且 也 过 滤 了 一 些 不 良 软 件 。 这 些 进 步 是 应 该 看 到 的 ， 大 家 互 相 黑 的 同 时 也 在 一 定 程 度 上 互 相 促 进 了 ， 对 用 户 来 说 是 好 事 。 这 个 小 问 题 解 决 之 后 我 们 看 看 百 度 杀 毒 和 百 度 卫 士 有 多 少 干 货 。 百 度 杀 毒 百 度 杀 毒 下 载 百 度 杀 毒 最 新 版 ， 安 装 并 监 控 。 我 记 得 上 次 我 装 的 时 候 确 实 什 么 都 没 提 醒 就 装 上 了 ， 这 次 测 试 的 时 候 倒 是 提 醒 了 。 安 装 之 后 运 行 了 这 两 个 程 序 ， 可 以 看 出 一 个 是 主 防 一 个 是 杀 毒 服 务 ： P C H u n t e r 可 以 看 到 百 度 杀 毒 装 的 驱 动 ： 有 b d 0 0 0 1 ~ b d 0 0 0 4 、 文 件 系 统 过 滤 、 沙 箱 、 反 病 毒 等 ， 驱 动 还 是 不 少 ， 感 觉 有 点 乱 。 毕 竟 是 内 核 层 的 ， 搞 这 么 多 东 西 难 免 会 出 问 题 。 注 册 了 一 些 系 统 回 调 ， 用 于 监 控 进 程 创 建 、 线 程 创 建 、 模 块 加 载 、 注 册 表 更 改 、 关 机 等 ， 也 是 一 些 常 规 的 回 调 ， 具 体 效 果 得 看 实 现 如 何 。 也 往 往 是 干 掉 防 护 的 突 破 口 ： B d 0 0 0 3 还 有 一 个 D P C 定 时 器 ： 0 x 8 7 7 7 D F B 0 0 0 x 9 8 7 5 D E 6 0 C : W i n d o w s s y s t e m 3 2 D R I V E R S b d 0 0 0 3 . s y s 文 件 系 统 过 滤 驱 动 B D F i l e D e f e n d e r 和 B D 0 0 0 3 也 是 实 现 了 一 些 常 规 的 I R P 过 滤 ：
这 个 时 候 出 了 个 意 外 ， 蓝 屏 了 ， w i n d b g 及 时 捕 捉 ：         C H K I M G _ E X T E N S I O N :   ! c h k i m g   - l o   5 0   - d   ! n t                 8 3 e 8 b 3 e 9 - 8 3 e 8 b 3 f 0     8   b y t e s   -   n t ! K i F a s t C a l l E n t r y + e 9                 [   8 b   f c   3 b   3 5   1 c   0 7   f b   8 3 : e 9   f 0   0 2   0 1   0 b   9 0   9 0   9 0   ]                 8 3 e a f b 5 f   -   n t ! S w a p C o n t e x t _ P a t c h X S a v e + 2   ( + 0 x 2 4 7 7 6 )                 [   0 1 : 2 1   ]                 8 3 e a f d a d   -   n t ! E n l i g h t e n e d S w a p C o n t e x t _ P a t c h X S a v e + 2   ( + 0 x 2 4 e )                 [   0 1 : 2 1   ]                 8 3 e b 7 c e 0 - 8 3 e b 7 c e 3     4   b y t e s   -   n t ! K i S e r v i c e T a b l e + 5 f 0   ( + 0 x 7 f 3 3 )                 [   e 1   4 2   0 d   8 4 : 7 2   9 7   2 1   9 2   ]                 8 4 0 8 6 c 9 3 - 8 4 0 8 6 c 9 6     4   b y t e s   -   n t ! P s O p e n T h r e a d + 2 0 f                 [   8 8   c 3   0 3   0 0 : 5 9   a e   2 1   2 3   ]                 8 4 0 a 9 b 8 0 - 8 4 0 a 9 b 8 3     4   b y t e s   -   n t ! N t T e r m i n a t e P r o c e s s + 4 3   ( + 0 x 2 2 e e d )                 [   8 1   2 5   f c   f f : c c   8 7   1 f   2 3   ]                 8 4 0 b c 9 3 5 - 8 4 0 b c 9 3 8     4   b y t e s   -   n t ! N t T e r m i n a t e T h r e a d + 5 1   ( + 0 x 1 2 d b 5 )                 [   c c   f 7   f a   f f : 1 7   5 a   1 e   2 3   ]                 8 4 0 c 0 d f e - 8 4 0 c 0 e 0 1     4   b y t e s   -   n t ! P s O p e n P r o c e s s + 2 2 d   ( + 0 x 4 4 c 9 )                 [   1 d   2 2   0 0   0 0 : e e   0 c   1 e   2 3   ]                 8 4 0 c 4 1 1 f - 8 4 0 c 4 1 2 2     4   b y t e s   -   n t ! N t D u p l i c a t e O b j e c t + 5 d   ( + 0 x 3 3 2 1 )                 [   e 2   7 f   f a   f f : 0 d   d c   1 d   2 3   ]         3 4   e r r o r s   :   ! n t   ( 8 3 e 8 b 3 e 9 - 8 4 0 c 4 1 2 2 )         F O L L O W U P _ N A M E :     M a c h i n e O w n e r         M E M O R Y _ C O R R U P T O R :     P A T C H _ b d 0 0 0 1         F A I L U R E _ B U C K E T _ I D :     M E M O R Y _ C O R R U P T I O N _ P A T C H _ b d 0 0 0 1         B U C K E T _ I D :     M E M O R Y _ C O R R U P T I O N _ P A T C H _ b d 0 0 0 1         F o l l o w u p :   M a c h i n e O w n e r         - - - - - - - - - 可 以 看 到 b d 0 0 0 1 对 n t o s k r n l 进 行 了 p a t c h ， 具 体 看 看 ： k d >   ! c h k i m g   ! n t 3 4   e r r o r s   :   ! n t   ( 8 3 e 8 b 3 e 9 - 8 4 0 c 4 1 2 2 ) k d >   l n   8 3 e 8 b 3 e 9 ( 8 3 e 8 b 3 0 0 )       n t ! K i F a s t C a l l E n t r y + 0 x e 9       |     ( 8 3 e 8 b 4 8 0 )       n t ! K i S e r v i c e E x i k d >   u   8 3 e 8 b 3 e 9 n t ! K i F a s t C a l l E n t r y + 0 x e 9 : * * *   E R R O R :   M o d u l e   l o a d   c o m p l e t e d   b u t   s y m b o l s   c o u l d   n o t   b e   l o a d e d   f o r   b d 0 0 0 1 . s y s 8 3 e 8 b 3 e 9   e 9 f 0 0 2 0 1 0 b             j m p           b d 0 0 0 1 + 0 x 8 6 d e   ( 8 e e 9 b 6 d e )
8 3 e 8 b 3 e e   9 0                             n o p 8 3 e 8 b 3 e f   9 0                             n o p 8 3 e 8 b 3 f 0   9 0                             n o p 8 3 e 8 b 3 f 1   0 f 8 3 2 e 0 2 0 0 0 0         j a e           n t ! K i S y s t e m C a l l E x i t 2 + 0 x a 5   ( 8 3 e 8 b 6 2 5 ) 8 3 e 8 b 3 f 7   f 3 a 5                         r e p   m o v s   d w o r d   p t r   e s : [ e d i ] , d w o r d   p t r   [ e s i ] 8 3 e 8 b 3 f 9   f 6 4 5 6 c 0 1                 t e s t         b y t e   p t r   [ e b p + 6 C h ] , 1 8 3 e 8 b 3 f d   7 4 1 6                         j e             n t ! K i F a s t C a l l E n t r y + 0 x 1 1 5   ( 8 3 e 8 b 4 1 5 ) 百 度 杀 毒 的 驱 动 对 K i F a s t C a l l E n t r y 进 行 H O O K ， 这 是 系 统 入 口 点 ， 所 有 系 统 调 用 都 会 经 过 这 个 函 数 。 我 们 需 要 了 解 一 下 系 统 调 用 的 基 本 知 识 ， 应 用 层 的 A P I 做 一 些 参 数 检 查 工 作 之 后 会 调 用 n t d l l . d l l 的 同 名 n t 函 数 ， 比 如 C r e a t e F i l e 会 调 用 n t d l l . d l l 中 的 N t C r e a t e F i l e 函 数 （ 和 n t d l l . d l l 的 Z w C r e a t e F i l e 完 全 一 样 ） ， 然 后 N t C r e a t e F i l e 填 写 参 数 之 后 执 行 s y s e n t e r 或 i n t   0 x 2 E ， 这 个 时 候 由 应 用 层 进 入 内 核 层 ， 内 核 分 发 函 数 就 是 K i F a s t C a l l E n t r y ， 它 会 根 据 应 用 层 调 用 去 执 行 S S D T 的 相 应 函 数 。 所 以 K i F a s t C a l l E n t r y 是 防 护 软 件 绝 佳 的 H O O K 地 点 。 最 早 应 该 是 3 6 0 发 现 的 ， 所 以 3 6 0 使 用 的 H O O K 点 是 最 佳 的 ， 百 度 这 里 看 到 有 n o p 填 充 ， 估 计 也 是 无 奈 之 举 。 同 时 也 能 知 道 百 度 采 用 的 是 比 较 流 行 的 驱 动 框 架 模 型 ， b d 0 0 0 1 是 个 驱 动 框 架 ， 其 它 驱 动 通 过 b d 0 0 0 1 的 接 口 注 册 回 调 ， b d 0 0 0 1 调 用 实 现 监 控 。 再 回 头 看 这 个 蓝 屏 ： k d >   k b C h i l d E B P   R e t A d d r     A r g s   t o   C h i l d                             a 3 9 a 2 5 0 c   8 3 f 2 4 e 7 1   0 0 0 0 0 0 0 3   2 f a 5 9 0 e 4   0 0 0 0 0 0 6 5   n t ! R t l p B r e a k W i t h S t a t u s I n s t r u c t i o n a 3 9 a 2 5 5 c   8 3 f 2 5 9 6 d   0 0 0 0 0 0 0 3   0 0 0 0 3 f f 8   a 5 d 3 a d b c   n t ! K i B u g C h e c k D e b u g B r e a k + 0 x 1 c a 3 9 a 2 9 2 0   8 3 e c d 8 e 3   0 0 0 0 0 0 5 0   a 5 d 3 a d b c   0 0 0 0 0 0 0 0   n t ! K e B u g C h e c k 2 + 0 x 6 8 b a 3 9 a 2 9 a c   8 3 e 8 e 5 f 8   0 0 0 0 0 0 0 0   a 5 d 3 a d b c   0 0 0 0 0 0 0 0   n t ! M m A c c e s s F a u l t + 0 x 1 0 6 a 3 9 a 2 9 a c   a 7 2 8 0 e 2 f   0 0 0 0 0 0 0 0   a 5 d 3 a d b c   0 0 0 0 0 0 0 0   n t ! K i T r a p 0 E + 0 x d c W A R N I N G :   S t a c k   u n w i n d   i n f o r m a t i o n   n o t   a v a i l a b l e .   F o l l o w i n g   f r a m e s   m a y   b e   w r o n g . a 3 9 a 2 a 4 c   a 7 2 8 2 5 c d   a 5 d 3 a d 9 0   0 0 2 0 0 0 0 0   0 5 2 a 0 0 2 0   P C H u n t e r 3 2 a g + 0 x 5 2 e 2 f a 3 9 a 2 a f 8   a 7 2 8 2 8 f 7   0 5 2 a 0 0 2 0   0 0 2 0 0 0 0 0   0 0 0 0 1 0 0 0   P C H u n t e r 3 2 a g + 0 x 5 4 5 c d a 3 9 a 2 b 0 c   a 7 2 8 2 9 6 e   0 0 0 0 0 0 0 0   0 0 0 0 0 8 f 1   8 7 4 4 a 7 4 0   P C H u n t e r 3 2 a g + 0 x 5 4 8 f 7 a 3 9 a 2 b f c   8 3 e 8 4 4 b c   9 1 7 4 a e 9 8   8 8 9 b 3 9 3 0   8 8 9 b 3 9 3 0   P C H u n t e r 3 2 a g + 0 x 5 4 9 6 e a 3 9 a 2 c 1 4   8 4 0 8 5 e e e   8 8 9 3 2 0 3 8   8 8 9 b 3 9 3 0   8 8 9 b 3 9 a 0   n t ! I o f C a l l D r i v e r + 0 x 6 3 a 3 9 a 2 c 3 4   8 4 0 a 2 c d 1   9 1 7 4 a e 9 8   8 8 9 3 2 0 3 8   0 0 0 0 0 0 0 0   n t ! I o p S y n c h r o n o u s S e r v i c e T a i l + 0 x 1 f 8 a 3 9 a 2 c d 0   8 4 0 a 5 4 a c   9 1 7 4 a e 9 8   8 8 9 b 3 9 3 0   0 0 0 0 0 0 0 0   n t ! I o p X x x C o n t r o l F i l e + 0 x 6 a a a 3 9 a 2 d 0 4   8 3 e 8 b 4 2 a   0 0 0 0 0 5 0 8   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   n t ! N t D e v i c e I o C o n t r o l F i l e + 0 x 2 a a 3 9 a 2 d 0 4   7 6 f c 6 4 f 4   0 0 0 0 0 5 0 8   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   n t ! K i F a s t C a l l E n t r y + 0 x 1 2 a 0 0 1 2 6 6 d 8   7 6 f c 4 c a c   7 5 1 6 a 0 8 f   0 0 0 0 0 5 0 8   0 0 0 0 0 0 0 0   n t d l l ! K i F a s t S y s t e m C a l l R e t 0 0 1 2 6 6 d c   7 5 1 6 a 0 8 f   0 0 0 0 0 5 0 8   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   n t d l l ! N t D e v i c e I o C o n t r o l F i l e + 0 x c I o f C a l l D r i v e r 用 于 发 送 I r p ， 之 后 的 栈 就 出 问 题 了 , r e a c t o s 中 看 实 现 ： N T S T A T U S F A S T C A L L I o f C a l l D r i v e r ( I N   P D E V I C E _ O B J E C T   D e v i c e O b j e c t ,                             I N   P I R P   I r p ) {         r e t u r n   D r i v e r O b j e c t - > M a j o r F u n c t i o n [ S t a c k P t r - > M a j o r F u n c t i o n ] ( D e v i c e O b j e c t ,                                                                                                                                 I r p ) ; } 看 来 是 b d 0 0 0 1 的 分 发 函 数 调 用 出 了 问 题 。 这 个 蓝 屏 纯 属 意 外 ， 恰 好 可 以 讲 解 一 下 百 度 杀 毒 的 驱 动 模 型 和 H O O K 技 术 。 现 在 回 归 主 线 。 重 启 电 脑 。 看 一 下 大 家 比 较 关 心 的 隐 私 问 题 ， 看 看 网 络 链 接 情 况 ： B a i d u s d s v c . e x e 是 和 2 2 0 . 1 8 1 . 1 1 2 . 2 5 4 的 8 0 端 口 保 持 通 信 的 ， 该 I P 是 北 京 电 信 的 。 W i r e s h a r k 看 一 下 通 信 内 容 ， 没 发 现 往 上 传 文 件 的 情 况 。 再 看 看 启 动 项 ：  
这 只 是 可 执 行 文 件 和 服 务 ， 看 看 驱 动 ： 挺 多 ， 大 部 分 启 动 类 型 都 是 1 ， 连 b d 0 0 0 1 都 是 1 ， 也 就 是 普 通 驱 动 ， 而 不 是 B O O T 型 。 B O O T 型 驱 动 启 动 类 型 为 0 ， 由 w i n l o a d . e x e 加 载 ， 和 n t o s k r n l . e x e 以 及 h a l . d l l 同 级 ， 加 载 时 间 非 常 早 ； 之 后 才 加 载 系 统 级 驱 动 。 所 以 说 如 果 中 病 毒 了 ， 而 该 病 毒 有 个 b o o t 型 驱 动 ， 用 百 度 杀 毒 显 然 是 无 能 为 力 的 。 百 度 杀 毒 卸 载 问 题 百 度 杀 毒 卸 载 问 题 好 多 朋 友 都 问 我 如 何 卸 载 百 度 杀 毒 ， 真 有 那 么 难 以 卸 载 吗 ？ 这 里 测 试 一 下 。 卸 载 过 程 真 是 … …   把 “ 不 卸 载 ” 大 写 并 且 突 出 ， “ 继 续 卸 载 ” 扁 平 化 恨 不 得 凹 进 去 。 不 过 识 字 的 应 该 都 能 顺 利 卸 载 完 成 。 接 着 重 启 。 没 了 。 目 测 是 卸 载 干 净 了 。 看 了 看 注 册 表 ， b d 0 0 0 1 等 驱 动 都 没 了 。 看 一 下 K i F a s t C a l l E n t r y 等 H O O K 点 ： k d >   ! c h k i m g   n t 1 4   e r r o r s   :   n t   ( 8 3 e 8 7 3 e 9 - 8 3 e b 3 c e 3 ) k d >   l n   8 3 e 8 7 3 e 9 ( 8 3 e 8 7 3 0 0 )       n t ! K i F a s t C a l l E n t r y + 0 x e 9       |     ( 8 3 e 8 7 4 8 0 )       n t ! K i S e r v i c e E x i t k d >   u   n t ! K i F a s t C a l l E n t r y + 0 x e 9 n t ! K i F a s t C a l l E n t r y + 0 x e 9 : * * *   E R R O R :   M o d u l e   l o a d   c o m p l e t e d   b u t   s y m b o l s   c o u l d   n o t   b e   l o a d e d   f o r   b d 0 0 0 1 . s y s 8 3 e 8 7 3 e 9   e 9 f 0 e 2 9 2 1 5             j m p           b d 0 0 0 1 + 0 x 8 6 d e   ( 9 9 7 b 5 6 d e ) 8 3 e 8 7 3 e e   9 0                             n o p 8 3 e 8 7 3 e f   9 0                             n o p 8 3 e 8 7 3 f 0   9 0                             n o p 8 3 e 8 7 3 f 1   0 f 8 3 2 e 0 2 0 0 0 0         j a e           n t ! K i S y s t e m C a l l E x i t 2 + 0 x a 5   ( 8 3 e 8 7 6 2 5 ) 8 3 e 8 7 3 f 7   f 3 a 5                         r e p   m o v s   d w o r d   p t r   e s : [ e d i ] , d w o r d   p t r   [ e s i ] 8 3 e 8 7 3 f 9   f 6 4 5 6 c 0 1                 t e s t         b y t e   p t r   [ e b p + 6 C h ] , 1 8 3 e 8 7 3 f d   7 4 1 6                         j e             n t ! K i F a s t C a l l E n t r y + 0 x 1 1 5   ( 8 3 e 8 7 4 1 5 卧 槽 ， 居 然 还 被 H O O K 呢 。 看 一 下 K i F a s t C a l l E n t r y 等 H O O K 点 ： k d >   ! c h k i m g   n t 1 4   e r r o r s   :   n t   ( 8 3 e 8 7 3 e 9 - 8 3 e b 3 c e 3 ) k d >   l n   8 3 e 8 7 3 e 9 ( 8 3 e 8 7 3 0 0 )       n t ! K i F a s t C a l l E n t r y + 0 x e 9       |     ( 8 3 e 8 7 4 8 0 )       n t ! K i S e r v i c e E x i t k d >   u   n t ! K i F a s t C a l l E n t r y + 0 x e 9 n t ! K i F a s t C a l l E n t r y + 0 x e 9 : * * *   E R R O R :   M o d u l e   l o a d   c o m p l e t e d   b u t   s y m b o l s   c o u l d   n o t   b e   l o a d e d   f o r   b d 0 0 0 1 . s y s 8 3 e 8 7 3 e 9   e 9 f 0 e 2 9 2 1 5             j m p           b d 0 0 0 1 + 0 x 8 6 d e   ( 9 9 7 b 5 6 d e ) 8 3 e 8 7 3 e e   9 0                             n o p 8 3 e 8 7 3 e f   9 0                             n o p
8 3 e 8 7 3 f 0   9 0                             n o p 8 3 e 8 7 3 f 1   0 f 8 3 2 e 0 2 0 0 0 0         j a e           n t ! K i S y s t e m C a l l E x i t 2 + 0 x a 5   ( 8 3 e 8 7 6 2 5 ) 8 3 e 8 7 3 f 7   f 3 a 5                         r e p   m o v s   d w o r d   p t r   e s : [ e d i ] , d w o r d   p t r   [ e s i ] 8 3 e 8 7 3 f 9   f 6 4 5 6 c 0 1                 t e s t         b y t e   p t r   [ e b p + 6 C h ] , 1 8 3 e 8 7 3 f d   7 4 1 6                         j e             n t ! K i F a s t C a l l E n t r y + 0 x 1 1 5   ( 8 3 e 8 7 4 1 5 卧 槽 ， 居 然 还 被 H O O K 呢 。 试 着 删 除 b d 0 0 0 4 ， 禁 止 删 除 ， 应 该 是 下 载 助 手 。 卸 载 百 度 下 载 助 手 之 后 试 试 。 删 除 成 功 ，   重 启 看 看 ：   k d >   ! c h k i m g   n t                                                                                             2   e r r o r s   :   n t   ( 8 3 e b b b 5 f - 8 3 e b b d a d ) 这 次 没 问 题 了 。 为 什 么 卸 载 之 后 为 什 么 卸 载 之 后 b d 0 0 0 1 还 会 加 载 到 内 存 呢 ？ 可 能 是 我 操 作 有 误 ， 重 新 试 了 一 次 发 现 安 装 还 会 加 载 到 内 存 呢 ？ 可 能 是 我 操 作 有 误 ， 重 新 试 了 一 次 发 现 安 装 — — 重 启 重 启 — — 卸 载 卸 载 — — 重 启 重 启 之 后 ， 系 统 是 干 净 的 ， 没 有 出 现 卸 载 问 题 。 之 后 ， 系 统 是 干 净 的 ， 没 有 出 现 卸 载 问 题 。 卸 载 问 题 是 怎 么 来 的 呢 ？ 卸 载 问 题 是 怎 么 来 的 呢 ？ 考 虑 到 推 广 ， 可 能 是 被 绑 定 软 件 搞 的 鬼 。 我 们 下 载 一 个 合 作 软 件 ， 通 过 绑 定 方 式 安 装 杀 毒 ， 看 看 卸 载 情 况 。 不 得 不 说 ， 百 度 的 情 况 肯 定 是 被 水 军 和 职 业 黑 夸 大 了 ， 我 找 了 好 久 都 没 找 到 绑 定 的 情 况 ， 即 使 安 装 百 度 输 入 法 并 且 一 路 下 一 步 ， 都 没 能 被 绑 定 装 上 杀 毒 。 X 6 4 情 况 情 况 W i n d o w s   6 4 位 对 内 核 采 取 了 一 系 列 保 护 措 施 ， 最 经 典 的 就 是 K P P 和 D S E ， K e r n e l   K e r n e l   P a t c h   P r o t e c t i o n 主 要 使 用 P a t c h G u a r d ， 禁 止 修 改 内 核 ， 所 以 传 统 的 S S D T   H o o k 和 修 改 内 核 对 象 等 手 段 都 走 不 通 了 ； D S E 强 制 驱 动 签 名 。 所 以 6 4 位 驱 动 大 多 是 使 用 w i n d o w s 官 方 定 义 的 回 调 ， 结 合 应 用 层 H O O K 来 搞 。 6 4 位 w i n 7 上 装 好 杀 毒 ， 看 了 看 s e r v i c e s ， 跟 3 2 位 的 差 不 多 ， 也 是 b d 0 0 0 0 1 等 系 统 级 驱 动 。 运 行 卸 载 程 序 之 后 重 启 ， 并 没 有 发 现 不 能 卸 载 的 情 况 。 感 觉 非 常 不 好 ， 测 试 了 半 天 连 个 流 氓 行 为 都 没 有 捕 获 。 难 道 运 行 卸 载 程 序 之 后 重 启 ， 并 没 有 发 现 不 能 卸 载 的 情 况 。 感 觉 非 常 不 好 ， 测 试 了 半 天 连 个 流 氓 行 为 都 没 有 捕 获 。 难 道 那 些 流 言 都 是 空 穴 来 风 ？ 那 些 流 言 都 是 空 穴 来 风 ？ 问 题 复 现 问 题 复 现 测 试 了 半 天 ， 没 发 现 百 度 杀 毒 有 问 题 。 问 了 一 些 出 问 题 的 朋 友 ， 有 的 说 是 捆 绑 情 况 ， 杀 毒 、 卫 士 、 浏 览 器 同 时 被 装 测 试 了 半 天 ， 没 发 现 百 度 杀 毒 有 问 题 。 问 了 一 些 出 问 题 的 朋 友 ， 有 的 说 是 捆 绑 情 况 ， 杀 毒 、 卫 士 、 浏 览 器 同 时 被 装 上 ， 然 后 卸 载 重 启 之 后 右 下 角 弹 框 ， 点 修 复 就 会 重 新 装 上 。 之 前 的 测 试 只 是 针 对 百 度 杀 毒 一 个 ， 这 次 把 杀 毒 、 卫 士 上 ， 然 后 卸 载 重 启 之 后 右 下 角 弹 框 ， 点 修 复 就 会 重 新 装 上 。 之 前 的 测 试 只 是 针 对 百 度 杀 毒 一 个 ， 这 次 把 杀 毒 、 卫 士 都 装 上 试 试 。 都 装 上 试 试 。 官 网 直 接 下 载 某 个 非 常 小 的 下 载 器 。 会 把 最 新 版 杀 毒 卫 士 都 下 载 下 来 然 后 安 装 好 。 这 个 过 程 中 确 实 没 有 任 何 提 醒 ， 没 有 下 一 步 ， 直 接 就 装 好 了 ， 连 安 装 地 址 都 不 能 选 择 。 P C H u n t e r 看 了 一 眼 吓 一 跳 ， 能 装 的 都 装 上 了 ： 驱 动 也 多 了 几 个 ： 多 了 一 些 网 络 过 滤 驱 动 和 浏 览 器 防 护 的 ， 这 也 是 卫 士 的 基 本 功 能 。 其 他 的 H O O K 就 不 看 了 ， 都 差 不 多 。 还 是 关 注 一 下 卸 载 问 题 。 卸 载 百 度 杀 毒 ， 同 时 删 除 配 置 信 息 ， 重 启 。 百 度 卫 士 修 复 了 半 天 漏 洞 ， 优 化 这 个 那 个 的 ， 反 正 界 面 很 华 丽 得 搞 了 半 天 。 百 度 杀 毒 确 实 是 卸 载 掉 了 。 那 么 怎 么 样 才 能 重 现 卸 载 不 了 的 问 题 呢 ？ 我 查 了 一 下 百 度 流 氓 行 为 的 一 些 信 息 ， 按 照 他 们 说 的 某 个 软 件 ， 都 测 试 过 一 次 ，
均 没 有 出 现 不 能 卸 载 这 种 奇 葩 现 象 。 有 一 种 情 况 是 可 能 的 ， 装 百 度 杀 毒 和 百 度 卫 士 ， 但 是 只 卸 载 其 中 一 个 ， 另 一 个 使 用 猥 琐 的 方 法 （ 比 如 在 修 补 漏 洞 界 面 非 常 隐 蔽 的 隐 藏 一 句 同 时 安 装 杀 毒 / 卫 士 ） 骗 取 用 户 同 意 然 后 重 新 安 装 另 一 个 。 驱 动 公 用 ， 想 装 另 一 个 太 容 易 了 。 另 外 我 绝 对 不 是 托 儿 ， 首 先 我 还 不 够 资 格 ； 其 次 也 没 必 要 ， 我 只 是 想 亲 自 看 看 传 说 中 的 流 氓 行 为 ， 只 不 过 搞 了 半 天 没 有 复 现 ， 仅 此 而 已 。 杀 软 这 种 东 西 很 大 程 度 上 是 给 小 白 用 户 个 心 理 安 慰 ， 真 正 能 有 多 大 用 呢 ？ 当 然 升 级 软 件 方 便 一 些 ， 清 理 垃 圾 也 方 便 一 些 ， 沙 箱 针 对 一 般 恶 意 应 用 也 提 供 了 足 够 防 护 。 各 家 厂 商 技 术 差 距 肯 定 存 在 ， 但 是 那 些 技 术 的 差 距 落 实 到 每 个 用 户 电 脑 上 ， 又 能 有 多 大 的 体 现 ？ 大 佬 们 口 水 仗 打 得 爽 ， 跟 用 户 其 实 没 半 毛 钱 关 系 ， 难 不 成 你 还 真 以 为 公 司 没 事 儿 干 为 了 情 怀 做 个 杀 软 让 你 用 ？ 装 软 件 的 时 候 也 非 常 注 意 是 不 是 捆 绑 了 其 他 程 序 ， 多 长 个 心 眼 儿 ， 那 些 传 说 中 的 流 氓 行 为 都 可 以 避 免 。 现 在 最 大 的 装 软 件 的 时 候 也 非 常 注 意 是 不 是 捆 绑 了 其 他 程 序 ， 多 长 个 心 眼 儿 ， 那 些 传 说 中 的 流 氓 行 为 都 可 以 避 免 。 现 在 最 大 的 问 题 是 法 律 法 规 对 互 联 网 行 为 没 有 做 好 规 范 ， 这 个 黑 那 个 ， 那 个 黑 这 个 ， 真 正 为 用 户 考 虑 的 没 几 个 ， 号 称 为 用 户 考 问 题 是 法 律 法 规 对 互 联 网 行 为 没 有 做 好 规 范 ， 这 个 黑 那 个 ， 那 个 黑 这 个 ， 真 正 为 用 户 考 虑 的 没 几 个 ， 号 称 为 用 户 考 虑 也 不 过 是 宣 传 口 号 而 已 。 真 希 望 能 早 日 做 到 有 法 可 依 。 虑 也 不 过 是 宣 传 口 号 而 已 。 真 希 望 能 早 日 做 到 有 法 可 依 。 [ 作 者 作 者 / d e d o g g e r ， 作 者 独 立 观 点 ， ， 作 者 独 立 观 点 ， F r e e B u f 不 做 任 何 形 式 背 书 。 本 文 属 不 做 任 何 形 式 背 书 。 本 文 属 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） 原 创 文 章 ） 原 创 文 章 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理