从技术角度看 360，对 XP 盾甲 ASLR 实现机制的逆向分析

[Virtao]

这篇文章是去年为某公司的面试准备的，虽然最终没有被录用，但是在这过程中收获很多，总结出这篇文章与大家分享。注意，本人不是360的黑或粉，除分析以外没用过360的产品。

链接：
http://blog.virtao.org/articles/213.html

[invite]

很高端.

[kacong]

想起了我研究ring 0 ring 1的时代。。

[yksoft1]

提问，它对NTLDR里代码的查找如何实现，因为NTLDR就算同是XP或者2003也有好几个版本，比如64位版，还有Embedded系统里支持EWF和FBWF机制的版本

[lsmgeb89]

以前网上有一份泄露出来的 Windows NT 内核代码，楼主倒是可以利用。

[knightzorro]

标记下 最近打算增强下内核调试的技能

[est]

mj0011

[mengskysama]

文章不错，感谢分享

的确PatchGuard ASLR之类的技术让win7中招概率小了不少。不过PG也神烦要做到内核的保护和XP下面完全不是一回事。

[ericFork]

@est QIQI

[est]

@ericFork 哈哈哈。。。wqxbase -> debugman

[Halry]

看到这个开机界面就觉得恶心，好彩没用winxp

[Virtao]

@yksoft1 我猜测应该是逐个匹配。先期匹配大部分版本，对于小众版本，可以传到云端逐个匹配。

@est 查了下，貌似是360的大神？

[yksoft1]

@Virtao 小众版本要匹配就太多了，Alpha版的Longhorn还是用NTLDR的呢，NT 3.51，NT4也是NTLDR呢 肯定有通用的找那段代码的方法