System Service System Service XXXXXX Nt Open File

System Serviceの動作 System Serviceのコード アドレスを引く XXXXXX Nt. Open. File : Kernel Mode User mode アプリケーション User Mode

System Service Interception • 2通りの手法が存在 1. SSDT Patching 2. Interrupt Hooking

Interrupt Interception • Kernel modeへ遷移する瞬間に intercept – Windows 2000以前ではソフトウェア 割り込み（int 2 e） – Windows XP以降はSYSENTER

System Service Interception System Service のコード アドレスを引く XXXXXX Nt. Open. File Nt. Delete. Fil e SSDT Patching アドレスを書換 : Kernel Interrupt Interception Mode 遷移した後のjump先を変更 User Mode アプリケーション Mode

System Service の Interception System Service のコード XXXXXX Nt. Open. File アドレスを引く Nt. Delete. Fil e : 監視コード Kernel Mode User SYSENTER Mode アプリケーション

最近のGoogle(2) • 製品 – Blog Search • http: //blogsearch. google. com/ – Google Desktop 2 • http: //desktop. google. com/ – Google Talk • http: //www. google. com/talk/ – Personalized Homepage • http: //www. google. com/ig/