Raymond 老师技术、为人都堪称楷模！ ^_^

马甲同学的老驱动访问非法地址了呵呵现在这个论坛竟也可以把马甲同学引出来了..^_^

Raymond 老师表达的也是这个意思...Raymond 说“当时程序指针已经指向了内容为0000的区域”和MJ0011 说的“实际出问题时的程序指针是867731f8 ，0000是当前的内存内容”是一个意思呀。DMP里面很明显了：FAULTING_IP:+ffffffff867731f8 // 错误地址867731f8 0000 add byte ptr [eax],al // 0000 的反译还有 add [bx+si],al 之类的

apple兄台没细看... Raymond 说“当时程序指针已经指向了内容为0000的区域” MJ0011 说“实际出问题时的程序指针是867731f8 ，0000是当前的内存内容” DUMP文件说“867731f8 0000 add byte ptr [eax],al” 意思大概就是： dd 867731f8 867731f8 00000000 ???????? ???????? ???????? 而不是： kd> dd 00000000 00000000 ???????? ???????? ???????? ????????

http://xcon.xfocus.net/2008-11-18 第一天 14:30 - 15:30郑文彬 安全研究员，Windows驱动工程师，Rootkit/Anti-Rootkit爱好者，网络昵称:MJ0011 高级Bootkit-Tophet 本文揭示了一种新型的Bootkit技术Tophet，以及其第一代范本Tophet.a使用的一些新颖的技术。Tophet.a并非病毒或木马，只用来演示高级的穿透与隐身技术。Bootkit是更高级的Rootkit,该概念最早于2005年被eEye ...

呵呵 欢迎欢迎！

我现在在北京... 刚帮自己和一位同事报的XCON，又看到了这个。团购了话先算我半个吧，下个月的工资呀... >_<

好的 这还有一个，看雪搞的： http://www.sinoit.org.cn/

甚好！ ^_^ 攒钱... 去充电

我现在在北京工作 呵呵 ^_^http://advdbg.org/forums/1289/ShowPost.aspxMJ0011：“先别报名，先看能报销不：D”/* 可以揣摩一下马甲同学的潜台词 :P */