谁知道怎么找到api hook的驱动级木马的地址啊
天关机的时候，习惯性的用sreg查了一下系统。。发现气泡提示。。。api hook 函数和预设值不符。。。点详细信息。。。显示为api 函数名freelibrary...危险等级：高危
地址：0x.... 无详细的地址可显示，上网查了一下sreg2.4最新版的说明：对于使用驱动进行HOOK的方式，受制于操作系统本身的限制，System Repair Engineer (SREng) 2.4版本无法显示驱动模块详情，只能显示驱动程序所在的具体的系统高端地址。我郁闷啊！对照相关的高端地址0x...上了icesword查了一下。。。没有在message hook项中发现实际的路径。。。冰剑显示进程看起来还是那原来的15个。。ie的管理加载项和系统启动注册表项都没有任何的异常。。我昨天上网更新了最新的安全补丁。。就是没有将最近微软发布的那个所谓的正版验证补丁打上。。觉得实在是没有必要。。正常的补丁会不会修改api函数？不太懂! 平时我是一直将一切无关的系统服务都关的。。系统开机只有15个进程可见
补丁也打的很勤快~！就是这次的这个安全更新补丁1个拖了几天才打上的。。不会那么倒霉把~！没有用sreg的可疑进程扫描功能~！发现这个功能不是太准确~！尝试修复api hook（sreg自带的修复功能)失败，有高手知道怎么通过调用hook的进程的系统高端地址查到它的真实硬盘文件名路径啊~！小弟不太懂。。望帮忙。。而且因为sreg自带的那个查看windows32 和驱动的功能，即使是屏蔽了以通过微软认证的驱动，只显示未通过的驱动，也有一堆啊。。。我系统装的东西比较多。。驱动不确定的情况下不敢删。望帮忙~！有其他的软件能显示驱动级raid0级别的hook调用模块的真实硬盘地址吗？
