关于冰刃中的SSDT

来源：百度知道 编辑：UC知道 时间：2024/05/18 09:02:12
我在 冰刃中的 SSDT 里面发现了很多红色的
\??\C:\WINDOWS\system32\drivers\klif.sys
但却不知道怎么对其进行删除
能不能说简单一点，直接告诉我该怎么做？

内核级后门有可能修改这个服务表，以截获你系统的服务函数调用，特别是一些老的rootkit，像上面提到的ntrootkit通过这种hook实现注册表、文件的隐藏。被修改的值以红色显示，当然有些安全程序也会修改，比如regmon，所以不要见 到红色就慌张。

用IceSword的文件管理功能将其删除，然后打开SSDT Recover，点击“还原SSDT”，提示，直接点“是”，然后重新启动，记得要删除修改项所使用的文件，否则还原也无效，只删除不还原不知道会出现何种情况，可能会系统崩溃，