Kryson's Freedom

1 - PREFACE

2 - OVERVIEW OF EXISTING KERNEL-MODE BACKDOORS FOR windows NT
2.1 - NTROOTKIT
2.2 - HE4HOOK
2.3 - SLANRET (IERK, BACKDOOR-ALI)

3 - OBSCURITY ON DISK, IN REGISTRY AND IN MEMORY

4 - MY VARIANT: THORNY PATH
4.1 - SHELL
4.2 - ACTIVATION AND COMMUNICATION WITH REMOTE CLIENT
4.3 - OBSCURITY ON DISK

5 - CONCLUSION
6 - EPILOGUE
7 - LIST OF USED SOURCES
8 - FILES

» 阅读全文

内核, windows

rootkit与antirootkit技术总结起来就是"hook的故事",今天故事的题材有些变化了,下面要讲的故事是关于内存清零的,不勇敢的孩子就不要试了.         

#include <Windows.h>
#include <Ntsecapi.h>
#include <Aclapi.h>
#include <tlhelp32.h>
#pragma comment (lib,"Kernel32.lib")
#pragma comment (lib,"Advapi32.lib")

#pragma comment(linker, "/ENTRY:main")
//------------------ 数据类型声明开始 --------------------//

» 阅读全文

rootkit, hook

　　Windows的广泛应用，使得用户对系统的安全性越来越关注，Rootkit技术也渐渐走进了平常人的视线，本文将介绍无何实现绕过主流anti-rootkit方法……

　　本文描述了一些方法，可以绕过目前主流的现代Anti-rootkit工具，包括但不限于:Icesword 最新版、Gmer最新版、Rootkit unhooker 最新版、DarkSpy 最新版以及AVG Anti-rootkit最新版等等

» 阅读全文

rootkit, 内核

1. 端口
   IS调用IoBuildDeviceIoControlRequest分别向Tcpip.sys所创建的TCP设备对象和UDP设备对象发送IRP，在输出缓冲区中将返回端口/IP/状态/PID的结构数组(DS也是这么搞的,只不过没关联到进程)。

2. 驱动
   IS在驱动部分中通过调用NtQuerySystemInformation (SYSTEMMODULEINFORMATION) 来枚举内核模块，这里顺便插一句，在应用部分中，IS调用EnumServiceStatusExA函数把所有已运行模块枚举出来。每当枚举出一个模块时，到注册表中查找其ImagePath值，并与在内核部分列举出来的相应模块对比路径，若路径相同则认为已存在，若不同或没找到则说明是隐藏模块。
 

» 阅读全文

icesword, 驱动

    Rootkit是一种奇特的程序，它具有隐身功能：无论静止时（作为文件存在），还是活动时，（作为进程存在），都不会被察觉。换句话说，这种程序可能一直存在于我们的计算机中，但我们却浑然不知，这一功能正是许多人梦寐以求的——不论是计算机黑客，还是计算机取证人员。黑客可以在入侵后置入Rootkit，秘密地窥探敏感信息，或等待时机，伺机而动；取证人员也可以利用Rootkit实时监控嫌疑人员的不法行为，它不仅能搜集证据，还有利于及时采取行动。而本文的目的，就是同读者一起踏上Windows内核级rootkit之旅！

» 阅读全文

rootkit, 内核

如果一个病毒文件被植入正在运行的进程中，我们想要清除它时系统总会提供无法删除；有时编辑文件的进程被意外中止而文件句柄没有正确释放，导致此文件无法进行改写操作。现在我们会使用Unlocker之类的小工具去解锁，但在编写程序的可能会需要把这些功能包含在自己的代码中，本文就是自己写代码实现”如何关闭已经被加载的DLL或是正在使用的文件”功能，使用文章中的方法能很方便的完成文件解锁功能。
按最初的想法准备在ring0中完成这些功能,但在查找资料的过程中发现既然我们能在ring3中做,为什么不让这些方法更通用一些呢。其实功能实现并不难，主要是前期从哪里入手比较麻烦。
我们知道无论是动态库或是文件在加载到进程中时，总会有一个指向它的指针，如果让进程释放这段指针，那么这些文件就不会被系统锁定。下面将是我们的需要实现文件解锁功能而分解出的步骤
1. 枚举当前系统所有进程；
2. 查找进程中打开的文件句柄和加载的动态库句柄；
3. 通知进程关闭这些句柄。

» 阅读全文

ring3

经理同事曾经教我们两句话。
一，天上掉的馅饼都是给狗吃的。
二，钱不在自己口袋，那就不属于你。

师傅领进门，修行在个人。

中华田园犬，只要馅饼都吃，只要是钱都往自己口袋里塞。
三朵金花，只要是馅饼就往口袋里塞，只要是钱就全部买馅饼。

后来田园犬因为节约，所以大家吃饭都要他买单。
三朵金花因为买彩票破产。

» 阅读全文

小夫妻, rp王

这个帖子第一段是3月30日发在一个BBS，当时正在办公室，没有会议可以开，同事的电脑正好开着，还正登陆着，她的ID是大漠仙人掌。

随手就用这个ID发了彻底八卦的帖子。

以后每一段,都是出牌的间隙,在线打着。

因为是随手，写得实在太开，这几年经过的痛笑酸苦太多，再也不想把无辜的情绪丢在文字中去，所以出现了这一对小夫妻。

» 阅读全文

小夫妻, rp王

　　大师傅人虽胖，动得却快！！！
 

　　大师傅人虽动，嘴还没有动！！
 

　　这个SB，因为他压根来不及动！！！
 

　　~~~~~~

　　男的喊，娘子你看，一头猪！！！

　　女的喊，相公你个狗日的看走眼了，那明明是个人，长得象头猪罢了！！

　　男的喊，娘子你个狗日的，人怎么可能长得象猪呢？？！！

　　女的冷笑，那肯定是猪还没吃饱，拎了铲子就要铲猪食了！！！

» 阅读全文

小夫妻, rp王

　　那男的也觉得没意思，就说，我现在身上没钱，你下午来吧。
 

　　花帽说，下午来就有钱？？！！
 

　　那男的说，我赶者去上班，问单位同事借点给你。
 

　　花帽说，你哪个单位的？

　　那男的说，我还没去，我怎么知道是哪个单位？？？！！！

» 阅读全文

rp王, 小夫妻

　　那个男的说，谢谢谢谢！！！
 

　　那个女的就开始盯着男的，+-+，我赶紧缩回去了~~~~
 

　　男的说，今天人多，我不和你吵架！！！
 

　　女的说，你除了和我吵架还会什么？？你GDP贡献了多少？？？！！！你TM的吃个饭还要***买单！！！

　　***说，没有没有，以前他也请过我的。

　　男的说，cao你妈的，说不吵你还吵，你TM的再日bi乱叫，老子把你舌头揪出来打个蝴蝶结！！

　　女的喊，我cao你妈，老娘在你屁股上插两根筷子，叫你妈的变成三鞭道长！！！

» 阅读全文

小夫妻, rp王

　　同事的电话响了，我们很心虚地小声接电话,公司说客户两点就过来，要我们赶紧回公司!!!

　　乘他们僵持着，我们就蹭着墙壁一点点往外挪!!

　　我其实很担心他们没有钱买单!!!

　　因为客户还是蛮重要的,我们就回公司了!!!

　　在公司我拼命写材料,我想赶紧回家去看他们到底怎么样了啊!!!!

　　BH的人生就是吃口水吃出来的.

» 阅读全文

rp王, 小夫妻

　　最近我租了个房子，两室的，另外一间是对小夫妻．

　　他们好象才毕业不久，估计都没找到工作，于是每天打架，来发泄剩余的精力．

　　ＴＭＤ，动静无比之大，而且招数层出不穷．

　　最古怪的是，这房子隔音效果不好，基本上居然从来没有偷听到他们嘿休的声音．

　　～～～～刚搬进去那天，当时晚上就爆发了．

　　我在门上挂了个挂历，挂历后面有个钉子的小洞，那边一爆发，我ＲＰ也爆发，挪开挂历偷看．
 

» 阅读全文

小夫妻, rp王

　　林依琪接着电话，道：“哑哑，谢谢你，我马上去看他。”

　　她放下电话，对着自己的日记本出神。

　　林依琪挚爱着三个故事，都那么古老。

　　有个男孩子，最亲爱的是一头牛，故事来自于善良，最后结束在银河的两岸。每年才能看见一次翅膀，而在另一端，动人的女子守侯着忧伤，三百六十五天才一次拥抱。

» 阅读全文

几乎成了英雄, 南宫成

　　龙王山闹鬼了。

　　这消息长了脚一样满校园蹿。学校闹鬼是常见的，因为讲鬼故事是大学宿舍保留节目。每所大学的版本还各有地方特色，东北鬼豪爽，上海鬼小气，广州鬼时尚，南浦大学的鬼不但风雅，还具备雄厚的历史知识，深厚的文化背景，以及皮厚的表演实力。

» 阅读全文

几乎成了英雄, 南宫成

　　南宫成第一次因为信任而遭受打击，是在七岁。

　　“小云，我们是最好的伙伴。”

　　“是的。”

　　“明天我的糖豆分你一半。”

　　“好的。”

　　“那七乘于五是多少？”

　　“五十二。”

　　“你确定？”

　　“确定。”

　　“那二十加二十呢？”

　　“十二。”

　　结果全班只有南宫成一个人考试没有及格。

» 阅读全文

几乎成了英雄, 南宫成

　　南浦的夏天，干净，荒远，有人前前后后地忙碌，有人寂寂寞寞地伫立，有人在赶着自习的路上，有人喝醉了靠在朋友的肩膀上。矮矮的路灯逼射下来，就算平静，也逃不脱这黑夜里微弱的光亮。学校这点电还是舍得花，虽然是分校区，但是一片漆黑总归有失体面，比如要节约的话，不妨停停宿舍里的用水，或者提前五分钟熄灯，转眼便把路灯的开销挤压出来了。

» 阅读全文

几乎成了英雄, 南宫成

» 阅读全文

几乎成了英雄, 南宫成

创建时间：2002-10-21
文章属性：原创
文章提交：flashsky (flashsky1_at_sina.com)

作者：FLASHSKY
EMAIL：flashsky@xfocus.org
站点：www.xfocus.net www.shopsky.com

在普通的WINDOWS 2000下实现实现包过滤的方法主要是书写NDIS过滤驱动程序，需要的技巧比较高，而且烦琐，需要考虑很多细节。但是对于很多应用而言，只需要能更方便的对ip包进行过滤处理，其实ndis对于ip包的过滤提供一种书写过滤钩子驱动的方式，主要方法是：
驱动中建立一个普通的设备，然后通过IOCTL_PF_SET_EXTENSION_POINTER操作将你的内核模式的过滤钩子挂接到系统默认的ip过滤驱动上，这样你就可以在自己的过滤钩子里面实现完整的基于包的各种分析和过滤的处理了。
下面就是一个完整的NDIS过滤钩子驱动的代码拒绝所有外来的TCP带S的建立连接的请求。

» 阅读全文

ndis, hook

三朵金花的前半辈子，号称阳关三叠。

她的笔记本上，扉页写着一句话。
亭亭如盖。

MB的还钙中钙呢。

» 阅读全文

外篇

　　毛小小：从酒吧我们第一次喝酒开始，我就想，这是一个多么神秘的女孩，多么悲伤的女孩。她背后的故事，无时不刻不在包拢着我。然而一天天的，虽然她在另外一个世界，可是我觉得自己和她越来越近，近得几乎可以同她谈话。我穿过她所有的衣服，用过她所有的物件，听过她所有的唱片，看过她所有保存的书，走过她所有脚下的路。甚至她去10号大巴做售票员，我都坐了无数次，和司机聊这个孤独的女孩，她平时会不会受客人欺负。她的一切生活的轨迹，我一点一点的摸索过去，有段时间，我甚至觉得自己就是她，只有黑白的颜色，听觉也慢慢消失，心里冰凉而又温暖，逐渐四肢瘫痪，明明绝望地如同冬天遗留下唯一的候鸟，希望的羽毛全部凋零，却一直活着一直活着，活着的理由就是，要看看自己死前会不会能再飞翔一次。。。。。。

» 阅读全文

中国情人书

　　很好很好，我想起来了，白发老太绿星球的人事部经理，据说已经升职为执行董事。

　　秃顶老头。。。。。。我见过。。。。。。在公司年会上。。。。。。我们公司。。。。。。董事长。。。。。。
　　辫子怪爷爷是。。。。。。广告策划大师。。。。。。拿过全国广告协会金奖六次。。。。。。我曾经的偶像。。。。。。
　　我脑子一片空白，大声喊：大家都在啊，吃拐杖吃拐杖。。。。。。
　　牙牙扯扯我衣服，小声说：是吃瓜子吃瓜子，叔叔别紧张。

» 阅读全文

中国情人书

　　当我从四合院踏出去，正好处于冬天阳光毫不吝啬的时间。影子打在青石砖，却微微带了点浅白色的霜，以为温暖，风声冷冽。我抱着牙牙，空调房的热度一下退却，她冰冻的面孔贴着我，小小的，象一团滚落在马路边的绒线球，柔软而无人怜惜。
　　我冷静地走，走啊走啊走啊，就是没想起来打车。老子这么有钱，为什么不打车呢？我依稀知道，谁在梦云端咖啡厅等我，没准他同我一样，无限恐惧这次碰面。
 

» 阅读全文

中国情人书

　　眼熟男从椅子上，拎起一个包，轻轻推到毛小小面前：材料。你先瞧着，我上厕所。
　　这个狗东西，西装一看肯定很贵，老子恨不得扑上去把它剥下来看看商标。如果是七匹狼，就帮他穿回去，如果是雅戈尔，就放火烧成灰烬，如果是阿玛尼的，就连袖子带纽扣吃掉。

　　说到吃，真的有点饿。我掏出一盒薯片吃。
　　牙牙大惊：瓜子叔叔你哪里来的薯片？
　　我：老子生出来的，怎么样？？！！
　　牙牙大惊：你连亲生薯片都吃，你不是人！！！
　　毛小小打开包，抿着嘴巴不说话。侧面看她的轮廓，细细柔柔的头发挂下来，遮盖住了额头，能望见一抹雪白的鼻梁。
　　我：老子能说话么？
　　毛小小：你已经说了很多句。

» 阅读全文

中国情人书

　　2000年10月8日。
　　烟烟和我走在阶梯教室。
　　烟烟：国庆放假，整整七天，你居然一个电话都没打给我。
　　我：你家里的电话号码我忘记了啊。
　　烟烟皱皱鼻子：你骗我。

　　我：真的忘记了。
　　烟烟想了想，又说：那我打了你好多好多次呼机，怎么你也不回复我？
　　我：呼机坏了。
　　烟烟笑嘻嘻地说：RP王，你吹牛不打草稿的。现在我要惩罚你。
　　我大惊：你想怎么样？？！！
 

» 阅读全文

中国情人书