ggystudio的专栏

一款强大的反黑客工具,适用于Windows 2000/XP/2003/Vista操作系统，用于查探系统中的幕后黑手(木马后门)并作出处理，当然使用它需要用户有一些操作系统的知识。<br><br>一.界面<br><br>与上一版本界面相比有了很大改善,用户可自行查看.具体如下:<br><br>1,修复了上一版本中在英文操作系统中中文显示为乱码的问题.(在此感谢蛋白兔子参与测试)<br>2,重新为IceLight设计了一款新图标,菜单使用OFFICE XP的风格.<br><br>二.系统<br><br>1,进程\线程中增加了挂起与恢复功能,<br>2,不使用驱动,通杀隐藏进程,侦测伪PID,查看、恢复SSDT<br>3,具有网络查看,服务,检测功能.<br><br>三.自启动<br><br>这是一个新增的模块区域,主要用来管理系统中自动启动的信息.当然可能还存有<br>不完善地方,所以还有待考验.<br><br>该区域中包括:注册表启动\IE浏览器\Winlogon\开始菜单启动<br><br><br>四.杀进程<br><br>1,不使用驱动的前提下,结束冰刃就像切豆腐<br>2,不使用V1.1.31中的DLL,直接代码注入干进程<br>3,即使无法openprocess也能尽量结束它.<br><br>五.自保护<br><br>主要是在ring3模式下HOOK了NtOpenThread,NtOpenProcess,NtTerminateThread,NtTerminateProcess,还有<br>子类了 WM_CLOSE,WM_QUIT 消息.可防止被一些菜鸟所写的恶意程序Kill掉.但对于ring0无效..<br>为了弥补这缺点,在ethread结构中的flag置PS_CROSS_THREAD_FLAGS_SYSTEM位,过PspTerminateProcess NtTerminateProcess应该是没什么问题.另保护了PID.<br><br>如果你以IceLight.exe /s 的方式启动，那么连RING0都无法结束它。（对于菜鸟来说）<br>只能按下Shift+Ctrl+F1来退出。<br><br>六.不足<br><br>目前IceLight尚不能枚举消息钩子及窗口,我会努力搞的!<br><br>Updata:<br>Debug Version:08年2月16日晚，公测版本在VBGOOD发布。<br>Version 1.0:08年2月17日，1.0版本发布。一下子就加入N多新功能和修正N多小强。<br>目前可以注入DLL结束进程和管理服务、注册表。<br>Version 1.1:08年2月19日，1.1版本发布。修正第一次启动报错和强制关机变注销的小强。-____-!加入启动项管理，加入反隐藏，反伪PID及进程分级功能，还有一些零碎的BUG。。不多说了……<br>Version 1.1.22:08年2月19日，该名为IceLight，加入僵尸检测，网络状态监测，修正几个小ＢＵＧ．．等等<br>还是还原不了SSDT，哎，菜鸟啊 <br>Version 1.1.31:3月2日，加入线程枚举，显示模块数、检测更新、在线提问。+小改动,同时结束多个进程<br>Version 1.2.38:3月9日，放弃DLL注入结束进程，改用代码注入。另新增保护PID、隐藏进程功能。使用Knlps强杀进程,不过稳定性不太好.<br>Version 1.3.16:3月30日,一次巨大的改动,加入枚举SSDT,优化了代码,重弄了界面,一级一些零碎的小东西.<br>Version 1.3.44:4月4日,清明节,差点把源码弄丢了..随机标题换了.加入了超级自我保护,超强枚举进程.<br><br>最后欢迎广大网友提供宝贵的建议及BUG反馈!<br><br> By GGY 2008.04.04 <br> QQ 349462015 GGYBlog.Cn