→→→→→→→→→→→→	1点击查看所有VIP教程目录长列表(总教程数269个)	2办理VIP详情进入	←←←←←←←←←←←←
1 x64CE与x64dbg入门基础教程 7课已完结	2 x64汇编语言基础教程 16课已完结	3 x64辅助入门基础教程 9课已完结	4 C++x64内存辅助实战技术教程 149课已完结
5 C++x64内存检测与过检测技术教程 10课已完结	6 C+x64二叉树分析遍历与LUA自动登陆教程 19课已完结	7 C++BT功能原理与x64实战教程 29课已完结	8 C+FPS框透视与自瞄x64实现原理及防护思路 30课完结
64驱？封？ 9 64反驱？	10 64位V？	11 绝?	12 ???课？
13 64透？	14 64U ？	15 64Q ？	16 64功？
17 64U ？	18 64模？	19 64多？	20 64网？
21 64注？	22 64火？	23 64棋？	24 64自二链L？
25 64破？	VIP会员办理QQ: 89986068 【请先加好友，然后到好友列表双击联系客服办理,不然可能无法接受到信息。】	27 加入2000人交流群637034024	28 免责声明？

查看: 7719|回复: 0

分享Win7过DSE和PatchGuard经验

[复制链接]

风来时狂放

12 主题	0 回帖	14 积分

编程入门

Rank: 1

天马币: 24

发消息

发表于 2024-3-11 13:37:24 | 显示全部楼层 |阅读模式

分享Win7过DSE和PatchGuard经验

patch winload.exe

OslInitializeCodeIntegrity函数入口直接 mov al,1 ret

内部会调用BlImgQueryCodeIntegrityBootOptions

此函数会判断 NTOSKRNL.EXE 的数字签名有效性（签名非法的话就拒绝
加载 NTOSKRNL.EXE）。

接下来修改 ntoskrnl.exe。第一个地方是 SepInitializeCodeIntegrity：

PAGE:00000001403EAA6C                cmp    cs:InitIsWinPEMode, bl
PAGE:00000001403EAA72             jnz    loc_1403EAB0C //改为nop，PE下会关闭KPP

第二个地方 KiInitializePatchGuard（位于KiFilterFiberContext+FF处）

INIT:0000000140561362                cmp    cs:InitSafeBootMode, edi
INIT:0000000140561368                jz    short loc_140561371 //nop,判断是否安全模式

经过这三处修改，DSE 和 PatchGuard 就废了

使用道具举报

返回列表

		自动登录	找回密码
密码			立即注册

分享Win7过DSE和PatchGuard经验

QQ咨询