ndishook驱动防火墙开发技术_防火墙驱动安装异常

ndishook驱动防火墙开发技术_防火墙驱动安装异常

       大家好，今天我来和大家聊一聊关于ndishook驱动防火墙开发技术的问题。在接下来的内容中，我会将我所了解的信息进行归纳整理，并与大家分享，让我们一起来看看吧。

1.Hook.sys是什么文件.我们网吧机子总是蓝屏.

2.本地连接属性winpkfilter driver是什么及WinpkFilter for Win的含义

3.在windows平台下的底层开发应该有什么样的学习路线

4.怎么防止远程线程注入

5.笔记本蓝屏出现ndis.sys,是否说明是网卡驱动的问题？

6.Web安全技术与防火墙毕业论文参考文献（15个）

Hook.sys是什么文件.我们网吧机子总是蓝屏.

       下载者木马类病毒Backdoor.Win32.Small.duj运行后调用API获取系统文件夹路径，创建___temp.bat到%Windir%\Temp目录下，并执行批处理代码，目的将%Windir%\目录下与%system32%\dllcache目录下的explorer.exe文件授予当前用户完全控制权限，调用ZwQuerySystemInformation函数枚举进程模块，判断是否存在SunwardSysMon.sys（驱动防火墙文件），释放病毒驱动文件hook.sys到%Windir%\Temp目录下，创建病毒服务，等待加载完毕后将病毒驱动文件删除，并衍生病毒文件到系统目录%Windir%\Temp下；重命名为weilai.mp3；该文件伪装成MP3格式文件隐藏运行，连接网络下载大量恶意文件，下载的病毒文件多数为盗号木马，受感染用户还有可能会被操纵进行Ddos攻击、远程控制、发送垃圾邮件、创建本地Tftp、下载病毒文件等行为。

       Backdoor.Win32.Small.duj行为分析：

       1、文件运行后会释放以下文件:

       %Windir%\hook.sys 8,960 字节

       %system32%\weilai.mp3 2,976 字节

       2、创建注册表病毒服务：

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "DisplayName"

       类型： REG_SZ

       值: 字串：" hook"

       描述: 服务名称

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "ErrorControl"

       类型： REG_SZ

       值："DWORD: 1 (0x1)"

       描述: 服务控制

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "ImagePath

       类型: REG_EXPAND_S

       值：字串："%WINDOWS%\Temp\hook.sys"

       描述: 服务描述

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "Start"

       类型： REG_SZ

       值："DWORD: 3 (0x3)"

       描述: 服务的启动方式，手动

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "Type"

       类型： REG_SZ

       值："DWORD: 1 (0x1)"

       描述: 服务类型

       3、创建___temp.bat到%Windir%\Temp目录下，并执行批处理代码，目的将%Windir%\目录下与%system32%\dllcache目录下与%Windir%\目录下的explorer.exe文件授予当前用户完全控制权限。

       BAT代码为：echo y|cacls %system32%\dllcache\explorer.exe /g a:f

       4、调用ZwQuerySystemInformation函数枚举进程模块，判断是否存在 SunwardSysMon.sys（驱动防火墙文件），释放病毒驱动文件hook.sys到%Windir%\Temp目录下，创建病毒服 务，等待加载完毕后将病毒驱动文件删除。

       5、衍生病毒文件到系统目录%Windir%\Temp下；重命名为weilai.mp3；该文件伪装成MP3格式文件隐藏运行，连接网络下载大量恶意文件

       6、连接网络下载大量病毒文件，并在本机运行，大部分病毒文件为盗号木马：

       a0.exe

       病毒名:(Trojan-PSW.Win32.OnLineGames.aidm)

       a1.exe

       病毒名:(Trojan-PSW.Win32.OnLineGames.aidm)

       a2.exe

       病毒名:(Trojan-PSW.Win32.OnLineGames.aeay)

       a3.exe

       病毒名:(Trojan-PSW.Win32.OnLineGames.adqo)

       a4.exe

       病毒名:(Trojan-PSW.Win32.OnLineGames.afql)

       a5.exe

       病毒名:(Trojan-PSW.Win32.OnLineGames.aimb)

       a6.exe

       病毒名:(Trojan-PSW.Win32.OnLineGames.aihg)

       a7.exe

       病毒名:( Trojan-Proxy.Win32.Xorpix.fc)

       a8.exe,a9.exe,a10.exe,a11.exe,a12.exe

       a13.exe,a14.exe,a15.exe,a16.exe,a17.exe,a18.exe,a19.exe,a20.exe,a21.exe,a22.exe,a23.exe,a24.exe,a25.exe,a26.exe,a27.exe,a28.exe,a29.exe,a30.exe,a31.exe,a32.exe

       Backdoor.Win32.Small.duj清除方案：

       1 、使用安天防线2008可彻底清除此病毒(推荐)

       2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

       (1)打开进程管理找到Explorer.exe进程，结束Explorer.exe进程。

       (2)强行删除病毒文件：

       %Windir%\tciocp32.exe

       %system32%\tciocp32.dll

       (3)删除病毒创建的注册表服务项：

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "DisplayName"

       类型： REG_SZ

       值: 字串：" hook"

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "ErrorControl"

       类型： REG_SZ

       值："DWORD: 1 (0x1)"

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "ImagePath

       类型: REG_EXPAND_S

       值：字串："%WINDOWS%\Temp\hook.sys"

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "Start"

       类型： REG_SZ

       值："DWORD: 3 (0x3)"

       [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\hook]

       注册表值: "Type"

       类型： REG_SZ

       值："DWORD: 1 (0x1)"

       (4) 删除下载的病毒衍生后的文件：

       %system32%\drivers\msosmsp2p32.sys

       %system32%\msosmhfp00.dll

       %system32%\msosmhfp.dat

       %system32%\fmsiocps.dll

       %system32%\anistio.dll

       %system32%\SysWoWaVi.dll

       %system32%\dionpis.dll

       %system32%\nicozftp00.dll

       %WINDOWS%\win.ini

       %WINDOWS%\temp\__write_over__

       %WINDOWS%\temp\weilai.mp3

       %WINDOWS%\temp\list.jpg

       %WINDOWS%\temp\0.jpg

       %WINDOWS%\temp\1.jpg

       %WINDOWS%\temp\5.jpg

       %WINDOWS%\temp\7.jpg

       %WINDOWS%\fmsiocps.exe

       %WINDOWS%\anistio.exE

       %WINDOWS%\dionpis.exe

本地连接属性winpkfilter driver是什么及WinpkFilter for Win的含义

       导读软考中级涉及很多的类型，有系统集成项目管理工程师、软件设计师、网络工程师、信息系统监理师、信息系统管理工程师、电子商务设计师软件评测师、信息安全工程师、数据库系统工程师、嵌入式系统设计师，想要获得这些职称，都是需要参与其中的，当然学习是必不可少，学习的依据就是考试大纲，那么想要成为网络工程师，就要参考其考试大纲进行，下面我们就来具体看看网络工程师考试大纲的具体内容。

考试目标

       通过本考试的合格人员能根据应用部门的要求进行网络系统的规划、设计和网络设备的软硬件安装调试工作，能进行网络系统的运行、维护和管理，能高效、可靠、安全地管理网络资源，作为网络专业人员对系统开发进行技术支持和指导，具有工程师的实际工作能力和业务水平，能指导网络管理员从事网络系统的构建和管理工作。

考试要求

       (1)熟悉计算机系统的基础知识;

       (2)熟悉网络操作系统的基础知识;

       (3)理解计算机应用系统的设计和开发方法;

       (4)熟悉数据通信的基础知识;

       (5)熟悉系统安全和数据安全的基础知识;

       (6)掌握网络安全的基本技术和主要的安全协议;

       (7)掌握计算机网络体系结构和网络协议的基本原理;

       (8)掌握计算机网络有关的标准化知识;

       (9)掌握局域网组网技术，理解城域网和广域网基本技术;

       (10)掌握计算机网络互联技术;

       (11)掌握TCP/IP协议网络的联网方法和网络应用技术;

       (12)理解接入网与接入技术;

       (13)掌握网络管理的基本原理和操作方法;

       (14)熟悉网络系统的性能测试和优化技术，以及可靠性设计技术;

       (15)理解网络应用的基本原理和技术;

       (16)理解网络新技术及其发展趋势;

       (17)了解有关知识产权和互联网的法律法规;

       (18)正确阅读和理解本领域的英文资料。

考试范围

       考试科目1、计算机与网络知识

       1.计算机系统知识

       1.1硬件知识

       1.1.1计算机组成

       计算机部件

       指令系统

       处理器的性能

       1.1.2存储器

       存储介质

       主存(类型、容量和性能)

       主存配置(交叉存取、多级主存)

       辅存(容量、性能)

       存储系统(虚拟存储器、高速缓存)

       1.1.3输入输出结构和设备

       中断、DMA、通道、SCSI

       I/O接口

       输入输出设备类型和特征

       1.2操作系统知识

       1.2.1基本概念

       操作系统的功能及分类

       多道程序

       内核和中断控制

       进程和线程

       1.2.2处理机管理、存储管理、设备管理、文件管理

       进程的状态及转换

       进程调度算法

       死锁

       存储管理方案

       文件管理

       作业调度算法

       1.3系统管理

       1.3.1系统配置技术

       系统构架模式(2层、3层及多层C/S和B/S系统)

       高可用性配置方法

       RAID技术

       1.3.2系统性能

       性能设计

       性能指标、性能评估

       1.3.3系统可靠性

       可靠性度量

       可靠性设计

       可靠性指标和可靠性评估，RAS

       2、系统开发和运行基础知识

       2.1系统开发基础知识

       2.1.1需求分析和设计

       需求分析和管理

       结构化分析与设计

       面向对象分析与设计

       模块设计、I/O设计、人机界面设计

       2.1.2测试评审方法

       测试方法

       评审方法

       测试设计和管理方法(注入故障、系统测试)

       2.1.3项目管理基础知识

       制定项目计划

       质量控制计划、管理和评估

       过程管理(PERT图、甘特图、工作分解结构、进度控制、关键路径)

       配置管理

       人员计划和管理

       文档管理(文档规范、变更管理)

       成本管理和风险管理

       2.2系统维护

       维护的类型

       维护过程管理

       硬件维护，软件维护

       3、网络技术

       3.1网络体系结构

       3.1.1网络拓扑结构

       3.1.2网络分类

       LAN、MAN、WAN

       接入网、主干网

       3.1.3 ISO OSI/RM

       3.2TCP/IP协议

       应用层协议

       传输层协议(TCP、UDP)

       网络层协议IP

       数据链路层协议

       3.3数据通信基础

       3.3.1信道特性

       3.3.2调制和编码

       ASK、FSK、PSK、QPSK

       抽样定理、PCM

       编码

       3.3.3传输技术

       通信方式(单工/半双工/全双工、串行/并行)

       差错控制

       同步控制

       多路复用

       3.3.4传输介质

       有线介质

       无线介质

       3.3.5线路连接设备(调制解调器、DSU、DCU)

       3.3.6物理层

       3.4局域网

       IEEE体系结构

       以太网

       网络连接设备

       高速LAN技术

       VLAN

       无线LAN、CSMA/CA

       3.5网络互连

       网际互联设备

       交换技术

       接入技术

       3.6因特网

       因特网概念

       Internet服务

       电子商务

       电子政务

       3.7网络操作系统

       网络操作系统的功能、分类和特点

       网络设备驱动程序(ODI、NDIS)

       Windows2003

       ISA 2004

       RedHat Linux

       3.8网络管理

       网络管理的功能域

       网络管理协议

       网络管理命令

       网络管理工具

       网络管理平台

       分布式网络管理

       4、网络安全

       4.1安全技术与协议

       4.1.1保密

       私钥加密体制

       公钥加密体制

       4.1.2安全机制

       认证

       数字签名

       完整性

       访问控制

       4.1.3安全协议

       4.1.4病毒防范和入侵检测

       4.2访问控制技术

       5、标准化知识

       5.1信息系统基础设施标准化

       5.1.1标准

       国际标准(ISO、IEC)与美国标准(ANSI)

       国家标准(GB)

       行业标准与企业标准

       5.1.2安全性标准

       信息系统安全措施

       CC标准

       BS7799标准

       5.2标准化组织

       国际标准化组织

       美国标准组织

       欧洲标准化组织

       中国国家标准化委员会

       6、信息化基础知识

       全球信息化趋势、国家信息化战略、企业信息化战略和策略

       互联网相关的法律、法规知识

       个人信息保护规则

       远程教育、电子商务、电子政务等基础知识

       企业信息化资源管理基础知识

       7、计算机专业英语

       具有工程师所要求的英语阅读水平

       掌握本领域的基本英语词汇

       考试科目2：网络系统设计与管理

       1.网络系统分析与设计

       1.1网络系统的需求分析

       1.1.1应用需求分析

       应用需求的调研

       网络应用的分析

       1.1.2现有网络系统分析

       现有网络系统结构调研

       现有网络体系结构分析

       1.1.3需求分析

       功能需求

       通信需求

       性能需求

       可靠性需求

       安全需求

       维护和运行需求

       管理需求(管理策略)

       1.2网络系统的设计

       1.2.1技术和产品的调研和评估

       收集信息

       采用的技术和产品的比较研究

       采用的技术和设备的比较要点

       1.2.2网络系统的设计

       确定协议

       确定拓扑结构

       确定连接(链路的通信性能)

       确定节点(节点的处理能力)

       确定网络的性能

       确定可靠性措施

       确定安全性措施

       结构化布线系统

       网络设备的选择，制定选择标准

       通信子网的设计

       资源子网的设计

       1.2.3新网络业务运营计划

       1.2.4设计评审

       1.3网络系统的构建和测试

       1.3.1安装工作

       1.3.2测试和评估

       1.3.3转换到新网络的工作计划

       2.网络系统的运行、维护管理、评价

       2.1网络系统的运行和维护

       2.1.1用户措施

       用户管理、用户培训、用户协商

       2.1.2制定维护和升级的策略和计划

       确定策略

       设备的编制

       审查的时间

       升级的时间

       2.1.3维护和升级的实施

       外部合同要点

       内部执行要点

       2.1.4备份与数据恢复

       数据的存储与处置

       备份

       数据恢复

       2.1.5网络系统的配置管理

       设备管理

       软件管理

       网络配置图

       2.2网络系统的管理

       2.2.1网络系统的监视

       网络管理协议(SNMP、MIB-2、RMON)

       利用工具监视网络性能

       利用工具监视网络故障

       利用工具监视网络安全(入侵检测系统)

       性能监视的检查点

       安全监视的检查点

       2.2.2故障恢复分析

       故障分析要点(LAN监控程序)

       排除故障要点

       故障报告撰写要点

       2.2.3系统性能分析

       系统性能要点

       2.2.4危害安全的对策

       危害安全情况分析

       入侵检测要点

       对付计算机病毒的要点

       2.3网络系统的评价

       2.3.1系统评价

       系统能力的限制

       潜在的问题分析

       系统评价要点

       2.3.2改进系统的建议

       系统生命周期

       系统经济效益

       系统的可扩充性

       3.网络系统实现技术

       3.1网络协议

       商用网络协议(SNA/APPN、IPX/SPX、AppleTalk、TCP/IP)

       商务协议(XML、CORBA、COM/DCOM、EJB)

       Web服务(WSDL、SOAP、UDDI)

       3.2可靠性设计

       硬件高可靠性技术

       软件高可靠性技术

       系统维护高可靠性技术

       容错技术

       通信质量

       RAID

       3.3网络设施

       3.3.1 xDSL调制解调器

       3.3.2FRAD(帧装配/拆除)、CLAD(信元装配/拆装)

       接口

       功能

       3.3.3交换机和路由器的配置

       命令行接口配置

       Web方式访问交换机和路由器

       VLAN配置

       VOIP配置

       路由协议的配置

       广域联网

       DTP、STP、RSTP

       3.3.4远程访问服务器

       功能和机制

       3.3.5多层交换机功能和机制

       3.3.6IP路由器功能和控制

       3.4网络应用与服务

       3.4.1IP地址

       IPv4、IPv6

       动态分配和静态分配

       DHCP服务器的原理及配置(Windows、Linux)

       3.4.2网络系统管理

       网络管理命令

       Linux系统

       Windows系统

       Windows活动目录

       Windows终端服务与远程管理

       3.4.3DNS

       URL

       域名解析

       DNS服务器的配置(Windows、Linux)

       3.4.4电子邮件服务器配置(Windows、Linux)

       3.4.5WWW

       虚拟主机

       WWW服务器配置(Windows、Linux)

       WWW服务器的安全配置

       3.4.6代理服务器的配置(Windows、Linux)

       3.4.7FTP服务器

       FTP服务器的访问

       FTP服务器的配置(Windows、Linux)

       3.4.8网络接入与服务

       HFC、ADSL、FTTx+LAN、WLAN、移动通信

       服务供应商

       因特网广播、电子商务、电子政务

       主机服务提供者、数据中心

       3.5网络安全

       3.5.1访问控制与防火墙

       ACL命令

       过滤规则

       防火墙配置

       3.5.2数字证书

       3.5.3 ***配置

       3.5.4 PGP

       3.5.5病毒防护

       4.网络新技术

       4.1光纤网

       无源光网PON(APON、EPON)

       4.2无线网

       移动电话系统(WCDMA、CMDA2000、TD-SCDMA)

       微波接入(MMDS LMDS)

       卫星接入

       蓝牙接入

       4.3主干网

       IP over

       SONET/SDH

       IP over Optical

       IP over DWDM

       4.4通信服务

       全天候IP连接服务(租用线路IP)

       IPv6

       4.5网络管理

       基于TMN的网络管理

       基于CORBA的网络管理

       关于2020年软考考试大纲：网络工程师考试大纲，就给大家介绍到这里了，当然这也是进阶软考高级职称的基础，所以赶紧加油学习吧!

在windows平台下的底层开发应该有什么样的学习路线

       winpkfilter driver是一款叫做“自有门”的“穿蔷软件”留下来的超级“番蔷”组件，下面为大家详细介绍下WinpkFilter for Win的含义，感兴趣的朋友可以参考下哈

        本地连接属性winpkfilter driver是什么？

       winpkfilter driver是什么?

       winpkfilter driver是一款叫做“自有门”的“穿蔷软件”留下来的超级“番蔷”组件，应该是“fg710p升级到fg711p”时自动配置出来的，留着对电脑并没有任何严重的影响，也可以卸载，但如果不卸载的话，平时也不会影响网络速率，推荐把本地连接和宽带连接里这个选项的勾全部点掉，以备以后想“强力番蔷”的时候还可以正常工作!所以，如果你在正常情况还是将winpkfilter driver的本地连接属性上面的勾给去除掉，对电脑也是没有影响也不会影响强力番蔷的正常运行。这里提醒大家不要轻易的删除winpkfilter driver客户端，可能有未知错误。

       WinpkFilter for Win的含义?

       一个NDIS层的网络驱动。 制作网络包过滤器、防火墙的利器!WinpkFilter是一个高性能的包过滤框架.。这个是Windows 9x \ /我一个高性能的包过滤框架\ / \ / \ / XP，NT 2000 \ / 2003 / Vista / 2008，允许开发者透明过滤器(查看和修改)原网络数据包的网络活动的影响最小，而无需编写低级别的TDI和NDIS驱动程序代码。

       这个不仅仅是一个防火墙开发工具包的Windows。多元化的解决方案可以实现使用这个：自定义防火墙，Internet连接共享(NAT)，IP ***整形器，和许多其他低级别的网络解决方案，使用您最喜爱的开发环境完全在用户模式：Visual C++，Delphi，C++ Builder等。

怎么防止远程线程注入

       以下是个人意见，（目前是某网络安全公司的开发实习生）：

       1.语言C/C++（参考书籍:<<C/C++ Primer>> ,<<C和指针>>,<<数据结构C语言描述>>）），汇编（王爽的汇编语言，作为入门，参考Intel手册，之后参考看雪的<<加密与解密>>,了解PE文件的格式，加壳脱壳和病毒感染的手法，如果是开发的话，只需要了解即可，能用反汇编调试工具去做简单的CrackMe即可），这个阶段大约是大一大二的时间，除去老师上课教的C语言基础，80x86汇编语言以为，很多知识都是自己去扩展。

       2.windows api（win32sdk） 参考书籍（《Windows程序设计》，《Windows核心编程》，MFC之类的需要使用的时候在参考即可，不必花费太多精力，主要是去了解程序的消息机制，事件等等，应该把主要的精力比如线程注入，Ring3的各种HOOK等。这个阶段是大二下学期的时间，说实话，我这个方面看的太少了，花了好多时间在一些没有意义的事情上，导致到大三的时候参加信息安全比赛做驱动的时候经验严重不足，所以基础太重要了）

       3.然后就是winows驱动内核的开发（参考书籍，寒江独钓，张帆的Windows驱动开发技术详解，WDK上的各种示例代码） 熟悉各种过滤驱动框架（文件过滤驱动，文件微过滤驱动，tdi，ndis协议，ndis中间层，ndis小端口等等）。 然后就是各种系统底层的原理，进程创建的流程，文件创建的流程，进程间通信的过程，用各种调试，反汇编工具（od，ida，windbg）去跟踪分析，可以写一些Rootkit/Anti-Rootkit工具，比如对于进程隐藏和保护，有SSDT HOOK OpenProcess，摘除进程链表等等，这样有助于对系统底层机制的理解

       4.后期就是经验和内功了，什么《深入解析Windows操作系统》，《TCP/IP》卷123，《Windows内核原理与实现》等等，说白了，个人认为，底层开发对于调试的功力要求很高，能从蓝屏的dump文件出有用的信息

       请采纳。

笔记本蓝屏出现ndis.sys,是否说明是网卡驱动的问题？

       流氓软件的技术五花八门，任何一项功能都有可能成为流氓技术，就象武器，用好了可以伸张正义，用歪了却成为罪恶的帮凶。

       首先我从win32下的一些流氓着数分析开始:

       1。我想做为一个流氓软件，首先要做到的是实时运行，譬如在注册表的run下，在boot下增加它的启动。这应该是比较老的方法，以前 3721好象就是在run下，但是现在一般的人都知道了。

       2。作为流氓软件，已经改变了以前一些木马的特性了，他没必要使自己一定要实时启动了，而是需要自己的时候再启动，譬如说打开一个浏览器窗口，这是一般流氓软件的方法，因为他需要连上网才能有利益可图，所以浏览器肯定是流氓软件必定监控的进程。

       3。使用BHO插件,这种技术早先特别流行，这是微软提供的接口，本意是让IE浏览器可以扩充功能。每当一个ie浏览器启动的时候，都会调用BHO下必要的插件，流氓软件就是利用这一点。监控了浏览器所有事件与信息。

       4。还有最笨的办法就是利用进程快照监控进程，判断有它自己所监控的进程启动，就使用atl得到浏览器指针，从而监控浏览器所有事件与信息。

       5，还有一种方法就是使用spi，这是我在网上看到的。spi是分层协议，当winsock2启动的时候都会调用它的dll,可以监控所有应用层数据包。从而监控用户信息，而且能实时启动。

       6。hook方法，hook技术可以所应用太广泛了，特别是监控方面。所以流氓软件也不会错过。首先应用的是api函数hook，譬如windows核心编程里的apihook类，或者微软的detous都可以完成，两者方法其实相同就是修改IDT函数入口地址。api hook钩住createprocess 就可以监控进程，比进程快照性能更强，可以钩住spi下的函数可以完成spi下的所有功能。还有消息hook，鼠标消息，键盘消息，日子消息等等钩子，方法实在太多，都可以利用。

       上面列举了一些流氓软件的使用方法，但是流氓软件的一个特性是他无法卸载。所以它又要使用下面的方法了

       因为上面的很多方法都可以删除注册表卸载他们，那怎么办呢，那就会时时监控，它会在它的进程，或者线程里监控注册表项，设置一个循环监控，发现没了就继续安装，增加。我想这应该是很多流氓软件的技术。

       那现在又出现了一个新问题，那就是流氓软件的进程线程要是结束掉怎么办呢看西面

       7。一种方法就是上面的api hook技术，钩住openprocess ,用自己的函数判断只要打开的是自己进程就返回正确，使用这种方法，用户或者一般的软件就无法结束它的进程了。

       8。还有一种是上面象bho,spi根本没有进程。一般的用户也无法删除他

       9。还有一种方法是远程线程，这个技术用的也很普遍，首先是象api hook一样向目标进程里申请一段内存空间，然后使用自己映射过去，然后使用CreateRemoteThread创建远程线程。一般很多流氓软件或者以前的一些木马程序，都是把线程注入到系统进程譬如explorer,service等等，使用用户或者一般的杀毒软件很难处理或者结束。。

       10。注册成服务后，也可以简单的隐藏进程。还有更可笑的是把自己的进程名跟一些系统进程名譬如lsass相同后,也就无法结束了。

       从我上面列举的方法已经差不多可以形成好几款流氓软件了。但是你别高兴太早，因为这些技术只是应用层的，现在出现了一堆驱动层的反流氓软件工具，譬如超级兔子，完美卸载，木马克星，雅虎助手，还有现在火热的360安全卫士。

       这些反流氓软件的方法删除以上流氓软件软件就比较简单。优先于流氓软件启动，截获所有访问流氓软件文件的irp，然后删除注册表项，删除文件。轻松的完成了反流氓任务。

       为了针对这些反流氓软件，流氓软件出现了内核层的了。

       1。首先是使用文件过滤驱动，保护自己的文件，流氓软件过滤了create里对于自己文件的所有fileopen外的所有irp和SetInformation下所有的irp，从而有效的保护了自己的文件。

       2。内核级hook技术，可hook住所有公开的或者未公开的内核函数，譬如zwcreatefile,zwSetInformation,也可以有效的保护文件。

       3。驱动层下的流氓软件还使用内核级hook技术，替换Regdeletekey,RegDeleteValueKey,RegSetValueKey从而有效的保护了注册表

       4。利用内核级hook技术还有隐藏进程，或者监控进程，重起进程。

       对于上面的流氓软件的方法一些驱动层下的反流氓软件工具又有点束手无策了。因为同是驱动程序相互拦截irp等于大家都无法操作，反流氓软件工具的删除irp会被拦截，或者删除函数会被替换。删除注册表函数会被替换。虽然驱动的加载有先后，但是无法保证能完全的删除流氓软件，从而出现了一些更顶级的反流氓软件，他直接发删除文件irp到文件系统.,删除注册表也直接发送到文件系统。这类流氓软件又能有效的完成了反流氓任务，但是根据我了解，这样的软件不多。现在火热的360安全卫士都还只是使用了笨办法，优先于驱动流氓软件启动，创建一个驱动流氓软件同设备名的设备，，使流氓驱动创建不成功。具我了解他优先于流氓驱动启动是把自己创建于PNP_TDI这个组下面，就是简单的ndis就能优先于360启动。如果前面的组，那360就束手无策了。所以对付这类流氓驱动只能用直接发irp到文件系统。

       流氓软件又怎么来防止直接发irp到文件系统的反流氓软件呢?rootkit,我看很多对于rootkit有误解，很多都认为hook也是rootkit.呵呵，rootkit说白了就是嵌入操作系统文件。你不是发irp到文件系统吗?，可是我把文件系统给改了，不过rootkit根据我的观察unix或者linex下比较多，在windows下还是比较少的，因为需要使用汇编了，哎太晚了，不写了，我想如果流氓软件做到这个技术程度，它也没必要做流氓了，直接做操作系统得了。

Web安全技术与防火墙毕业论文参考文献（15个）

       是的。下面均是来至网络的资料。

       楼主这个现象我以前也遇到过，并不是替换的问题。 是Vista自带的驱动程序不

       稳定所致，蓝屏主要出现在上网的时候。 解决方法：更新你的网卡驱动程序即可

       ！不要用系统自带的！

       这个其实多数是和你的网卡驱动有关，你手工安装一次网卡

       字符NDIS.SYS,这是告诉你NDIS.SYS文件出错了,这个文件出错一般与网络协议或

       网卡有关,也可能与杀毒软件或防火墙有关,当然还有可能是遭到黑客或病毒的攻

       击,如果你的机器买了以后没有安装新的网络协议(高手才会这么做)。

win10系统卸载彩影arp防火墙上不了网如何解决

       [1] 杨波,朱秋萍. Web安全技术综述[J]. 计算机应用研究, 2002,(10) .

       [2] 罗铁坚,徐海智,董占球. Web安全问题[J]. 计算机应用, 2000,(04) .

       [3] 张霆,王亚东,陈玉华. Web安全技术与防火墙的功能[J]. 黑龙江水专学报, 2000,(03) .

       [4] 苏莹莹. Web安全技术[J]. 牙膏工业, 2003,(04) .

       [5] 赵伟,贾卓生. 应用级的Web安全[J]. 铁路计算机应用, 2004,(01) .

       [6] 谭云松,史燕. 一种新的Web安全与防火墙技术[J]. 计算机时代, 2002,(03) .

       [7] 邓谱. Web安全技术与防火墙[J]. 重庆电力高等专科学校学报, 2000,(04) .

       [8] 刘大勇. Web的安全威胁与安全防护[J]. 大众科技, 2005,(06) .

       [9] 杨继东. 浅析密码与Web安全[J]. 甘肃农业, 2005,(05) .

       [10] 李文锋. Web攻击方法及其安全研究[J]. 科学技术与工程, 2005,(04) . [1] 边娜. Web安全技术与防火墙[J]. 山西财经大学学报, 2000,(S2) [1] 邓谱. Web安全技术与防火墙[J]. 重庆电力高等专科学校学报, 2000,(04)

       [2] 张洪霞 , 刘仁涛. 浅谈安全的网络城墙——防火墙[J]. 应用能源技术, 2002,(04)

       [3] 沈芳阳, 阮洁珊, 李振坤, 黄智勇, 邓静, 刘怀亮, 柳正青. 防火墙选购、配置实例及前景[J]. 广东工业大学学报, 2003,(03)

       [4] 史晓龙. 防火墙技术在网络中的应用[J]. 公安大学学报(自然科学版), 2001,(03)

       [5] Web应用防火墙来势汹汹[J]. 电力信息化, 2009,(07)

       [6] 闫宝刚. 防火墙组网方案分析[J]. 大众标准化, 2004,(08)

       [7] 潘登. 浅析防火墙技术[J]. 株洲工学院学报, 2004,(02)

       [8] 芦军, 丁敏. 浅谈防火墙设计[J]. 房材与应用, 2004,(01)

       [9] 陈冰. 企业计算机网络防火墙的选择[J]. 供用电, 2004,(04)

       [10] 徐文海. 防火墙技术及虚拟专用网络的建立[J]. 铁道运营技术, 2003,(04)

       彩影arp防火墙是一款防火墙软件，采用内核层拦截技术和主动防御技术，一些用户说自己win10系统安装有彩影arp防火墙软件，但是没有怎么使用，想要卸载彩影arp防火墙。卸载彩影arp防火墙软件后发现上不了网了，如何解决呢？针对此故障问题，我们可以参考下文教程解决。

卸载彩影arp防火墙上不了网解决方法一

       1.可以用优化大师大智能卸载功能试试看

       2.QQ医生现在也很强大，什么文件都可以删除(包括系统文件，我就试过把WIN7的系统文件删了，什么功能都错误的，后来只能重装系统解决)，可以试下看看它的卸载功能可不可以解决

       如果没文件，可以先安装你那个ARP防火墙，重启系统再卸载，之后还要重启才能看到效果，防火墙都有DLL文件和系统启动的，一般要重启才能彻底删除。

卸载彩彩影arp防火墙上不了网解决方法二

       系统以前有装过彩影ARP防火墙，可能是卸载不干净或者是没有安装成功。ARP防火墙采用内核层拦截技术和主动防御技术，卸载和清理注册表，然后再重新安装一次。

       如果系统是64位的win7.

       彩影会打开系统的testsigning(测试模式)功能

       这样操作系统内核才能加载ARP防火墙的驱动程序。

       打开系统的testsigning功能后，在桌面上会显示“测试模式7600”字样

       如果你的彩影还没有删除的话.在彩影安装目录下RemoveWatermarkX64.exe程序.

       修复安装xAntiARP驱动程序。

       修复安装AntiARPNdisProt驱动程序。

       最主要是，按照上面介绍安装上了要进行下面这步，这时要退出软件，以管理员模式打开命令行窗口，执行命令：netstartAntiARPNdisProt

卸载彩彩影arp防火墙上不了网解决方法三

       你查看一下你本机的mac是不是被修改了，和你真实的网卡的mac不一样;

       Windows2000/XP中的修改：同样打开注册表编辑器，

       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\

       4D36E970-E325-11CE-BFC1-08002BE10318中的0000，0001，0002中的DriverDesc，

       如果在0000找到，就在0000下面添加字符串变量，命名为“NetworkAddress”，

       值为要设置的MAC地址，例如：000102030405

       如果不行就开始运行CMD.exe

       然后输入：

       ARP-d

       arp-s你的IP你的MAC

       arp-s网关的IP网关的MAC

       上述就是win10系统卸载彩影arp防火墙上不了网的解决方法了，希望小编介绍的方法能够帮助到大家。

       好了，今天我们就此结束对“ndishook驱动防火墙开发技术”的讲解。希望您已经对这个主题有了更深入的认识和理解。如果您有任何问题或需要进一步的信息，请随时告诉我，我将竭诚为您服务。