Új hozzászólás Aktív témák

• #215 sghc_toma senior tag moonman #201

  Új Válasz 2008-11-13 00:27:10 #215

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  sghc_toma

  senior tag

  válasz moonman #201 üzenetére

  jó régen olvastam már azt a papert, de nekem úgy rémlik, hogy a dispatch függvények voltak az adott driver PAGE section-jében, és ezeket írták át a lemezen.. aztán nyitottak a drivernek egy handle-t CreateFile-lal, így az kapott egy IRP_MJ_CREATE-t, és nekiállt azt lekezelni a megfelelő dispatcher-rel, ami akkor már ki volt cserélve a támadók shellcode-jára.. tehát ott code section-ök lettek átírva (illetve csak egy section), nem adatok..

  legalábbis így emlékszem.. holnap előkotrom a papert, meg talán tudok időt szakítani a kipróbálásra is..

Új hozzászólás Aktív témák