Detective kernel é uma ferramenta gratuita que ajuda a detectar, analisar, modificar manualmente e corrigir algumas modificações do kernel do Windows NT. Detective Kernel lhe dá o acesso ao kernel diretamente, então não é orientado para iniciantes. Mudança fundamental no modo kernel objetos sem conhecimento suficiente vai levar você a um só resultado ... BSoD!

Versões suportadas NT:
XP / Vista / Server 2008/Seven


Detective Kernel lhe dá a capacidade para:
1 - Detectar processos ocultos.
3 - Detectar Threads Oculto.
2 - Detectar DLLs Oculto.
3 - Detectar Handles Oculto.
4 - Detectar Driver de Oculto.
5 - Detectar SSDT Hooked.
6 - Detectar SSDT Sombra Hooked.
7 - Detectar IDT Hooked.
8 - Detectar alterações no modo kernel de código e ganchos.
9 - Desmonte (Read / Write) Kernel-mode/User-mode memória.
10 - Monitor de saída de depuração em seu sistema.


Enumerar processos em execução e imprimir valores importantes, como Id Processo, ID do processo pai, ImageBase, EntryPoint, VirtualSize, endereço de bloco PEB e endereço do bloco EPROCESS. Especial algoritmos de detecção de indocumentados foram implementados para detectar processos ocultos.

Detectar tópicos ocultos e suspeitas no sistema e permitir que o usuário forcely finalizá-las.

Enumerar um específico processo de execução bibliotecas de vínculo dinâmico e mostrar todos os ImageBase Dll, EntryPoint, Tamanho e Path. Você também pode injetar ou módulo específico livre.

Enumerar um processo específico em execução abriu alças, mostrar o nome de cada alça do objeto e endereço e dar-lhe a capacidade de fechar a alça.

Enumerar carregados drivers de modo kernel e mostrar todos os ImageBase driver, EntryPoint, tamanho, nome e caminho. Algoritmos de detecção de indocumentados foram implementados para detectar motoristas escondidos.

Examinar a tabela de serviços do sistema (SSDT) ​​e mostrar todos os endereços função de serviço eo endereço função real, algoritmo de detecção melhorada para contornar KeServiceDescriptorTable EAT / IAT hooks.You pode restaurar endereço única função do serviço ou restaurar a tabela inteira.

Digitalizar a sombra tabela de serviços do sistema (Shadow SSDT) ​​e mostrar cada sombra endereço função de serviço eo endereço função real. Você pode restaurar única sombra endereço função do serviço ou restaurar toda a tabela

Examinar a tabela interrupções (IDT) e mostrar a cada manipulador de interrupção offset, seletor, tipo, atributos e manipulador de reais offset. Este é aplicada a cada processador em um multi-processadores de máquinas.

Digitalizar os módulos do kernel importantes do sistema, detectar as modificações no corpo e é analisá-lo. Por enquanto ele pode detectar e restaurar modificações de código inline, EAT e IAT ganchos. Estou à procura de mais outros tipos de releases ganchos ao lado de detetive Kernel.

Um disassembler bom contar com OllyDbg motor DISASM, graças Oleh Yuschuk para a publicação de seu motor DISASM agradável. Com ele você pode desmontar, montar e editar hex memória virtual de um processo específico ou até mesmo o espaço de memória do kernel. Detective Kernel usá-lo da própria Read / Write rotinas de modo kernel e não depender de qualquer API do Windows. Que fazem Detective Kernel capaz de VM processos R / W mesmo NtReadProcessMemory / NtWriteProcessMemory está ligado, também ignorar a ganchos na outra de modo kernel rotinas importantes como KeStackAttachProcess e KeAttachProcess.

Mostrar as mensagens enviadas pelos motoristas para o depurador de kernel como Dbgview por Mark Russinovich. É fazer isso ligando 0x2d interrupção que é responsável por outputing mensagens de depuração. Capturar interrupções podem causar problemas em algumas máquinas para DebugView é desligada por padrão, para ligá-lo você deve executar Detective Kernel com "-debugv" parâmetro.