文章作者：willy123
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）
注：文章已经发表在2007年12期《黑客防线》，后由原创作者提交到邪恶八进制信息安全团队，转载请注明原始出处。
其实我对瑞星杀毒软件的印象一直还是不错的，占用资源不大，效率也还不错，而且能看到软件本身在不断进步，毕竟是国产的杀毒软件，还是应该支持一下的。废话不多说了，我们来进入正题，08瑞星不久前刚刚上市，其最主要的技术亮点在于其公司宣传的“主动防御”，下面引用瑞星公司的介绍“瑞星杀毒软件2008 中采用的主动防御技术包含三个层次，资源访问规则控制；资源访问扫描；程序活动行为分析引擎，其中尤其以行为分析引擎技术最为关键。”
从图二中我们可以清楚的看到，在资源访问规则控制里列举了大量hi 阅读全文 »
文章作者：zhouzhen[E.S.T]
信息来源：邪恶八进制信息安全团队 & 安全代码 http://www.securitycode.cn/bbs
简单实现文件防删除，说简单是因为没有用很底层的技术，例如文件驱动之类。我只用最简单的方法实现了, 使用 ring3 的API hook 技术。随着技术的发展这种技术已经过不了很多的主动防御技术了。主要是思路和方法和分析过程。(高手飘过)
ring3 下挂钩 API 基本上也就是修改导入表，和Inline hook 修改前5个字节这几种方法。挂钩Native API 没有什么区别，也就是多声明几个结构和变量类型。
关于挂钩API 请参见：www.xfocus.net/articles/200403/681.html
文件删除的ring3 阅读全文 »
Tags: ring3来源：安全焦点
作者：cbns888
电邮：[email protected]
一．概述：
如果一个病毒文件被植入正在运行的进程中，我们想要清除它时系统总会提供无法删除；有时编辑文件的进程被意外中止而文件句柄没有正确释放，导致此文件无法进行改写操作。现在我们会使用Unlocker之类的小工具去解锁，但在编写程序的可能会需要把这些功能包含在自己的代码中，本文就是自己写代码实现”如何关闭已经被加载的DLL或是正在使用的文件”功能，使用文章中的方法能很方便的完成文件解锁功能。
按最初的想法准备在ring0中完成这些功能,但在查找资料的过程中发现既然我们能在ring3中做,为什么不让这些方法更通用一些呢。其实功能实现并不难，主要是前期从哪里入手比较麻烦。
我们知道无论是动态库或是文件在加载到进程中时， 阅读全文 »
