能力值：
( LV2，RANK：10 )
|
-
-
26 楼
你搞反了，腾讯是NTBOOTDD（这个方法也是抄了XCON2008上tophet的方法） ，360才是NTLDR（楼主已经分析了）。
KASLR在启动阶段，也不是光随机化BOOT驱动就够了，如你所说的就有IDT/GDT，还有PCR，SESSION DRIVER，等等等，这个在ISC2014的盾甲3.0内核防护的议题里有讲过
|
能力值：
( LV2，RANK：10 )
|
-
-
27 楼
Mark，楼主很厉害的说。
|
能力值：
( LV6，RANK：80 )
|
-
-
28 楼
我的意思是腾讯是patch的内存里面的osloader，另外补充一下，修改SharedUserData应该是为了随机化PEB,TEB。 
|
能力值：
( LV2，RANK：10 )
|
-
-
29 楼
peb在XP SP2上本身就已经随机化了，无需再做随机化的。
shared user data也不能控制peb /teb的分配随机情况， XP对于peb的随机化实现可以看看wrk上的MiCreatePebOrTeb
|
能力值：
( LV2，RANK：10 )
|
-
-
30 楼
见到某个隐藏模块的代码，就是用了这个技术，hook了这个函数
|
能力值：
( LV12，RANK：760 )
|
-
-
31 楼
终于还是有人懂我了~
|
能力值：
( LV12，RANK：760 )
|
-
-
32 楼
话说 fs:[xx]随机不了xx这个定值吧~
bootloader时刻IDT/GDT到好办~
PCR如果只是加载的地址也好办~
Session Driver用hook的话，也容易~~
|
能力值：
( LV2，RANK：10 )
|
-
-
33 楼
好文章，收藏
|
能力值：
( LV2，RANK：10 )
|
-
-
34 楼
感谢LZ分享！！！！！！！
|
能力值：
( LV2，RANK：10 )
|
-
-
35 楼
[QUOTE=cvcvxk;1342954]话说 fs:[xx]随机不了xx这个定值吧~
bootloader时刻IDT/GDT到好办~
PCR如果只是加载的地址也好办~
Session Driver用hook的话，也容易~~[/QUOTE]
只是想的容易而已，怎么样用最小的压力点改变最好的效果。
|
能力值：
( LV12，RANK：760 )
|
-
-
36 楼
所有问题都是钱的问题而已，现在感觉产品这玩意就是砸多少钱就有多好的产品。
PS：
我所在的组织现在做windows上的开发，我一般只要提供个思路和一个POC，剩下的手下人去搞定，不需要巧妙的解决方法什么的。
|
能力值：
( LV7，RANK：110 )
|
-
-
37 楼
全能人才。学习！
|
能力值：
( LV8，RANK：120 )
|
-
-
38 楼
我来学习学习
|
能力值：
( LV2，RANK：10 )
|
-
-
40 楼
谢谢楼主分享
|
能力值：
( LV13，RANK：320 )
|
-
-
41 楼
|
能力值：
( LV2，RANK：10 )
|
-
-
42 楼
 都把尾兽抓完了，漏点汤水出来呀 
|
能力值：
( LV2，RANK：10 )
|
-
-
43 楼
为啥弄得这么复杂。。。r3alsr emet中好像是用内存占坑法，让系统从新自己找块加载。。。。
|
能力值：
( LV2，RANK：10 )
|
-
-
44 楼
emet那个只适用于已经有ASLR内核机制的系统，给某些标记“不适用ASLR”的DLL强制做ASLR，聊胜于无的补充而已。
要在完全没有ASLR的系统上实施完全的ASLR，复杂程度比这个高至少100倍，这也是为什么EMET在XP上根本不支持ASLR这个选项。
|
能力值：
( LV3，RANK：30 )
|
-
-
45 楼
mark 学习了
|
能力值：
( LV12，RANK：1010 )
|
-
-
46 楼
MJ厉害，orz~
|
能力值：
( LV4，RANK：50 )
|
-
-
47 楼
一篇拙文，没想到受到大家这么多关注，受宠若惊，感谢大家支持。水平有限，很多细节没有分析出来，希望此文能起到抛砖引玉的作用。
谢谢kanxue老大给重排加精。
cvcvxk老大，你的帖子我参考过，给我不少启发，在此感谢。
感谢大神kman的指导，大神像是360内部人士哈，私信已发:)
|
能力值：
( LV3，RANK：20 )
|
-
-
48 楼
口可口可
|
能力值：
( LV2，RANK：10 )
|
-
-
49 楼
学习~~
|
能力值：
( LV2，RANK：10 )
|
-
-
50 楼
kman是MJ吗?
|
|
|
|
