在腾讯某款游戏的驱动里发现了奇怪的字符串 搜狗 360 金山 YY 百度 优酷的老铁都可以进来看下

[icedx]

.text:0000000000023B90 00000008 C .qq.com
.text:0000000000023BA0 0000000B C .sogou.com
.text:0000000000023BB0 00000008 C .360.cn
.text:0000000000023BC0 0000000A C .duba.net
.text:0000000000023BD0 00000008 C .yy.com
.text:0000000000023BE0 0000000B C .hiido.com
.text:0000000000023BF0 0000000D C .360safe.com
.text:0000000000023C00 00000008 C .wps.cn
.text:0000000000023C10 0000000B C .baidu.com
.text:0000000000023C20 0000000C C .duowan.com
.text:0000000000023C30 0000000B C .youku.com





昨天上不去游戏 指望着官方解决问题基本不可能 今天(2018 年 1 月 29 日)闲着没事又上了一下游戏 然后检查了 2018 年 1 月 29 日 被修改的文件 发现了这个

样本:

https://mega.nz/#!ukBTzbRC!s7bWB81mFC9h7kxk3E4MXb-DXfi_0LLuCVsQWU6znek

鹅肠不亏是大厂 驱动都用热更新的

SEO: 腾讯 鹅厂 隐私

[des]

话说不是叫 tessefa 的吗？不少蓝屏都是它的功劳。

嗯，还有 q 盾，偷偷安装 qq 浏览器还是安全管家来着

[des]

@des 还有 lsp 劫持，不知道想干嘛

[icedx]

@des #1
这个文件展开应该叫
TenSafeMonitor

鹅厂毕竟大厂 驱动这种踏空一步就是万丈深渊(蓝屏)的东西都用热更新

[TinySec]

@icedx 特别想问一句，怎么判断出是驱动热更新的。😄

[xomix]

@TinySec 驱动文件修改时间是最近而不是你安装的时间…………

[icedx]

@TinySec #4 我在 ProcessMonitor 里看到文件释放的行为了

[lniwn]

可能只是白名单而已

[linxy]

不愧大厂，做这种事用驱动做。基本上很难被监控到吧

[mcone]

卧槽 大新闻啊 cctv 看这里！

[TinySec]

@icedx 这不叫驱动热更新。。。。

[TinySec]

@icedx 释放之后，替换文件，要么下次重启加载，要么重启驱动。这都不叫热更新，只是常规的更新操作，因为在更新这个时间差里，驱动都是停止工作的。真正的热更新是，用内存加载，或者符号链接的方式，真正的不停服，才叫热更新。

[TinySec]

v2 毕竟大部分程序员都是 web 程序员，这些常识当然不会有多少人知道。

[mikuazusa]

这是监控白名单还是黑名单？

[binbex]

真实,看雪的都来 V2 了

[hsuan]

百度优酷都有？这是想干啥？

[kokutou]

白名单嘛。。。大惊小怪

另外，这只叫更新，不叫热更新。

[yanhejihe]

@TinySec 热更新是指更新不用提示用户，而是采用替换部分文件的更新行为。从安装软件（驱动也是个软件）的角度出发，这个定义有问题吗？

[icedx]

@TinySec #11
要是要不停机的更新 这个做不到
这个只是启动时的更新

这个说法对不对取决于对热更新的定义了 这个就是另一个问题了

[icedx]

@binbex #14 在哪...

[mxalbert1996]

@yanhejihe 当然有问题。假如 Windows 在用户不知道的情况下自动下载安装了更新并重启，你觉得这是热更新吗？