使用UnhookMe分析恶意软件中未受监控的系统调用问题-阿里云开发者社区

开发者社区> 开发与运维> 正文
登录阅读全文

使用UnhookMe分析恶意软件中未受监控的系统调用问题

简介: 关于UnhookMe UnhookMe是一款通用的Windows API动态解析工具,可以帮助广大研究人员分析和处理恶意软件中未受监控的系统调用问题。 在这个侵入式反病毒产品和EDR产品盛行的年代,很多网络攻击者必须拥有强大的工具来绕过这些安全防御工具。而动态导入解析器能够在运行中取消已用函数的钩子,这也是增强攻击者攻击能力的又一方法。 而UnhookMe可以帮助广大研究人员在编译的可执行文件的PE头中保持可视性。

工具下载

广大研究人员可以使用下列命令将该项目源码克隆至本地:


git clone https://github.com/mgeeky/UnhookMe.git

工具使用

我们总共需要在自己的解决方案中引入五个C++源文件/头文件。不过,你的主程序文件仅需要引入两个必要的头文件即可,文件描述如下:

resolver.h - 头文件中包含了UnhookingImportResolver的大部分实现;

resolver.cpp - 包含了全局选项的源代码;

usings.h - 一个非常大的头文件,包含了针对常见Windows API的using类型定义;

PE.cpp - 自定义PE解析器源代码文件;

PE.h - 自定义PE解析器源头文件;

必要的头文件

你的程序仅需要下列两个必要的头文件:


#include "usings.h"
#include "resolver.h"

全局选项

下面给出的是解析器的全局配置选项,我们可以根据自己的需要来进行修改,这些参数全部定义在resolver.cpp文件中:

globalQuietOption - 如果你不想获取输出,则设置为true;

globalVerboseOption - 如果你想要获取详细的Verbose输出,则设置为true;

globalAntiSplicingOption - 解除函数钩子;

globalLogFilePath - 重定向输出日志;


bool globalQuietOption = false;
bool globalVerboseOption = true;
bool globalAntiSplicingOption = true;
wchar_t globalLogFilePath[MAX_PATH] = L"";


版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
开发与运维
使用钉钉扫一扫加入圈子
+ 订阅

集结各类场景实战经验,助你开发运维畅行无忧

其他文章
最新文章
相关文章