Есть драйвер упакованный каким то хитрым протектором. Как можно отследить какие APi ядра Windows он вызывает? Вижу только два решения: или использовать отладчик ядра (для Windows это Windbg) или извращаться с гипервизорами... Может быть есть еще варианты отследить, что происходит в ядре? спасибо
-
Можно дизассемблировать и реверснуть алгоритм протектора. – Dmitry Sokolov 25 авг '20 в 21:03
-
это VMprotect 3 и выше... так что вариант тяжелый( – ALex 26 авг '20 в 4:41
-
1Еще вариант - x64dbg.com/blog/2017/06/08/kernel-driver-unpacking.html – Dmitry Sokolov 26 авг '20 в 13:55
1 ответ
Логирует вызовы ядра, относящиеся к ФС, реестру, потокам, процессам.