能力值：
( LV2，RANK：10 )
|
-
-
2 楼
这个不是用什么函数的问题,R3是不可以直接读写R0内存,但是我们可以曲线救国,
简单点说,就是实现驱动的通讯
在R0里面 去读取R0的内容就可以了,
楼主多看看论坛里面的帖子 这方面的东西 以前有好多人研究过
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
mimotion
这个不是用什么函数的问题,R3是不可以直接读写R0内存,但是我们可以曲线救国,
简单点说,就是实现驱动的通讯
在R0里面 去读取R0的内容就可以了,
楼主多看看论坛里面的帖子 这方面的东西 以 ...
是这样的，我想判断某驱动是否存在，有没有别的方法呢？？ 麻烦了！
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
mimotion
这个不是用什么函数的问题,R3是不可以直接读写R0内存,但是我们可以曲线救国,
简单点说,就是实现驱动的通讯
在R0里面 去读取R0的内容就可以了,
楼主多看看论坛里面的帖子 这方面的东西 以 ...
我刚开始的想法是。拷贝驱动内存，完了做md5比对。好像这个方法行不通了。
|
能力值：
( LV3，RANK：35 )
|
-
-
5 楼
你需要知道。 PE在内存中已经对齐和没有对齐的区别。 为什么脱壳时机要找在OEP？ 况且你这个还已经运行了，全局变量区段很多东西都已经初始化了。
自己写个 驱动 ，挂个Loadimage回调，有驱动加载，就备份一遍呗。
|
能力值：
( LV9，RANK：280 )
|
-
-
6 楼
首先你得进R0。纯R3读内核内存不存在的，你以为meltdown呢 4K对齐之后对每个page进行MmIsAddressValid+MmGetPhysicalAddress+MmMapIoSpace+memcpy一套连招带走。 实际上pch用的直接就是MmIsAddressValid+memcpy，因为没有锁住虚拟地址和物理地址，碰到某些奇葩东西有极小概率蓝屏。
最后于 2018-7-4 17:24
被hzqst编辑
，原因：
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
明白了，谢谢！
|
|
|
mimotion
