There are multiple ways of hooking

There are multiple ways of hooking code, but this one is the fastest and doesn't create too much bottleneck in code execution performance. Other hooking techniques involve injecting INT3 instructions or properly setting up Debug Registers and handling them with your own exception handlers that later redirect execution to hook handlers.

Now that you know how real-time protection works and how exactly it involves API hooking, I can proceed to explain the methods of bypassing it.

There are AV products on the market that perform real-time monitoring in kernel-mode (Ring0), but this is out of scope of this post and I will focus only on bypassing protections of AV products that perform monitoring in user-mode (Ring3).

Kết quả (Việt) 1:

Có rất nhiều cách hooking mã, nhưng điều này là nhanh nhất và không tạo ra quá nhiều nút cổ chai trong mã thực hiện hoạt động. Kỹ thuật hooking khác liên quan đến tiêm chích INT3 hướng dẫn hoặc đúng thiết lập Debug đăng ký và xử lý chúng với của riêng bạn xử lý ngoại lệ sau đó chuyển hướng thực hiện để treo trình xử lý.Bây giờ mà bạn biết làm thế nào thời gian thực bảo vệ công trình và làm thế nào chính xác nó liên quan đến API hooking, tôi có thể tiến hành để giải thích phương pháp bỏ qua nó.Có những sản phẩm AV trên thị trường mà thực hiện thời gian thực theo dõi trong chế độ hạt nhân (Ring0), nhưng điều này là ra khỏi phạm vi của bài này và tôi sẽ chỉ tập trung vào bỏ qua bảo vệ sản phẩm AV thực hiện giám sát trong chế độ người dùng (Ring3).

Kết quả (Việt) 2:

Có nhiều cách hooking mã, nhưng là này một cách nhanh nhất và không tạo ra quá nhiều nút cổ chai trong hoạt động thực thi mã. Kỹ thuật hooking khác liên quan đến việc tiêm hướng dẫn INT3 hoặc đúng thiết lập gỡ lỗi đăng ký và xử lý chúng với xử lý ngoại lệ của riêng bạn mà sau đó chuyển hướng thực hiện để móc xử lý.

Bây giờ bạn biết công trình bảo vệ thời gian thực như thế nào và làm thế nào chính xác nó liên quan đến API hooking, tôi có thể tiến hành để giải thích các phương pháp bỏ qua nó.

có nhiều sản phẩm AV trên thị trường mà thực hiện giám sát thời gian thực trong kernel-mode (Ring0), nhưng điều này là ngoài phạm vi của bài viết này và tôi sẽ chỉ tập trung vào việc bỏ qua bảo vệ các sản phẩm AV thực hiện giám sát trong chế độ người dùng (Ring3).