如何解開SSDT鉤子並使它們被蓋住？

我正在研究一個rootkit並將其逆轉。我想我寫這個rootkit專用的反rk。rootkit掛鉤了一些不能從用戶模式中解除掛鉤的內核模式函數，或者如果我從用戶模式中解開它們，它們將不會離開，並且會回來。那麼你有什麼建議？如何解開SSDT鉤子並使它們被蓋住？

2012-09-02 n1kita

該rootkit在內核模式下運行，所以除非你運行內核模式中至少有一些你的代碼，以及你將處於嚴重的，可能是致命的，不利的。（一種可能的選擇是編寫離線運行的代碼，例如，從DVD啓動時。） –

這裏有很多示例代碼和開源項目。您可以參考他們的來源以瞭解SSDT解除掛鉤。舉幾個例子：
https://code.google.com/p/arkitlib/
https://code.google.com/p/oark/

2013-02-12 09:25:32 swatkat

感謝swatkat。 – n1kita

回答