XueTr

一個(gè)XueTr的簡(jiǎn)易控制臺(tái)版本，功能及其簡(jiǎn)單，使用也會(huì)很不方便，但還是能干一些事情的。沒(méi)有精力把這個(gè)東西做的比較精致，也沒(méi)太打算把它做的比較精致。

使用方法：

1.直接X(jué)ueTrCmd.exe運(yùn)行,這個(gè)會(huì)進(jìn)入到一個(gè)循環(huán)中，這個(gè)循環(huán)里反復(fù)接收用戶輸入的命令，退出這個(gè)循環(huán)后，會(huì)自動(dòng)卸載驅(qū)動(dòng)程序。
2.XueTrCmd.exe帶參數(shù)運(yùn)行，這個(gè)會(huì)執(zhí)行具體的參數(shù)命令，程序退出時(shí)，不會(huì)卸載驅(qū)動(dòng)程序。

具體命令說(shuō)明：

1.usage
無(wú)參數(shù)，列舉當(dāng)前可使用的所有命令情況
2.tasklist
無(wú)參數(shù)，枚舉進(jìn)程
3.ps
和tasklist等效
4.lpm
兩個(gè)參數(shù)，第一個(gè)是十進(jìn)制的進(jìn)程id，第二個(gè)是十六進(jìn)制的進(jìn)程對(duì)象地址，本命令枚舉進(jìn)程的模塊
5.fpm
兩個(gè)參數(shù)，第一個(gè)是十六進(jìn)制的進(jìn)程對(duì)象地址，第二個(gè)是十六進(jìn)制的模塊基址，本命令卸載進(jìn)程模塊
6.lpt
兩個(gè)參數(shù)，第一個(gè)是十進(jìn)制的進(jìn)程id，第二個(gè)是十六進(jìn)制的進(jìn)程對(duì)象地址，本命令枚舉進(jìn)程的線程
7.kt
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制線程對(duì)象地址，本命令殺線程
8.fkt
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制線程對(duì)象地址，本命令強(qiáng)制殺線程
9.kp
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制進(jìn)程對(duì)象地址，本命令殺進(jìn)程
10.fkp
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制進(jìn)程對(duì)象地址，本命令強(qiáng)制殺進(jìn)程
11.qpsr
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制進(jìn)程對(duì)象地址，本命令查詢進(jìn)程的喚醒阻塞狀態(tài)
12.sp
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制進(jìn)程對(duì)象地址，本命令阻塞進(jìn)程
13.rp
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制進(jìn)程對(duì)象地址，本命令喚醒阻塞的進(jìn)程
14.qtsr
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制線程對(duì)象地址，本命令查詢線程的喚醒阻塞狀態(tài)
15.st
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制線程對(duì)象地址，本命令阻塞線程
16.rt
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制線程對(duì)象地址，本命令喚醒阻塞的線程
17.lph
兩個(gè)參數(shù)，第一個(gè)是十進(jìn)制的進(jìn)程id，第二個(gè)是十六進(jìn)制的進(jìn)程對(duì)象地址，本命令枚舉進(jìn)程的句柄
18.cph
四個(gè)參數(shù)，第一個(gè)是十進(jìn)制的進(jìn)程id，第二個(gè)是十六進(jìn)制的進(jìn)程對(duì)象地址，第三個(gè)是十六進(jìn)制的進(jìn)程句柄，第四個(gè)是十六進(jìn)制的進(jìn)程句柄對(duì)象地址，本命令關(guān)閉進(jìn)程句柄
19.fcph
四個(gè)參數(shù)，第一個(gè)是十進(jìn)制的進(jìn)程id，第二個(gè)是十六進(jìn)制的進(jìn)程對(duì)象地址，第三個(gè)是十六進(jìn)制的進(jìn)程句柄，第四個(gè)是十六進(jìn)制的進(jìn)程句柄對(duì)象地址，本命令強(qiáng)制關(guān)閉進(jìn)程句柄
20.lw
無(wú)參數(shù)，本命令枚舉進(jìn)程窗口
21.lpmemory
兩個(gè)參數(shù)，第一個(gè)是十進(jìn)制的進(jìn)程id，第二個(gè)是十六進(jìn)制的進(jìn)程對(duì)象地址，本命令枚舉進(jìn)程的內(nèi)存信息
22.fpmemory
四個(gè)參數(shù)，第一個(gè)是十進(jìn)制的進(jìn)程id，第二個(gè)是十六進(jìn)制的進(jìn)程對(duì)象地址，第三個(gè)是十六進(jìn)制的進(jìn)程內(nèi)存地址，第四個(gè)是十六進(jìn)制的內(nèi)存大小，本命令釋放進(jìn)程內(nèi)存
23.lptimer
無(wú)參數(shù)，本命令枚舉進(jìn)程定時(shí)器
24.cptimer
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制定時(shí)器對(duì)象地址
25.lphk
無(wú)參數(shù)，本命令枚舉進(jìn)程熱鍵
26.cphk
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制熱鍵對(duì)象地址
27.lkm
無(wú)參數(shù)，本命令顯示內(nèi)核模塊信息
28.fkm
兩個(gè)參數(shù)，第一個(gè)是十六進(jìn)制的驅(qū)動(dòng)對(duì)象地址，第二個(gè)是驅(qū)動(dòng)服務(wù)名，兩個(gè)參數(shù)有一個(gè)有效就可以了，如果兩個(gè)有效優(yōu)先使用驅(qū)動(dòng)對(duì)象地址，本命令卸載驅(qū)動(dòng)
29.ckmemory
三個(gè)參數(shù)，第一個(gè)是十六進(jìn)制的模塊基址，第二個(gè)是要拷貝的字節(jié)大小，第三個(gè)是輸出文件名，本命令拷貝內(nèi)核內(nèi)存
30.ssdt
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示SSDT
31.rssdt
一個(gè)參數(shù)，參數(shù)為十進(jìn)制的SSDT函數(shù)索引，本命令恢復(fù)SSDT上的Hook
32.shadowssdt
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示Shadow SSDT
33.rshadowssdt
一個(gè)參數(shù)，參數(shù)為十進(jìn)制的Shadow SSDT函數(shù)索引，本命令恢復(fù)Shadow SSDT上的Hook
34.fsd
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示FSD
35.rfsd
一個(gè)參數(shù)，參數(shù)為十進(jìn)制的FSD函數(shù)索引，本命令恢復(fù)FSD上的Hook
36.tcpip
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示TCPIP上的鉤子
37.rtcpip
一個(gè)參數(shù)，參數(shù)為十進(jìn)制的TCPIP函數(shù)索引，本命令恢復(fù)TCPIP上的Hook
38.kbd
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示Keyboard上的鉤子
39.rkbd
一個(gè)參數(shù)，參數(shù)為十進(jìn)制的Keybaord函數(shù)索引，本命令恢復(fù)Keyboard上的Hook
40.idt
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示IDT上的鉤子
41.objecttype
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示ObjectType上的鉤子
42.robjecttype
兩個(gè)參數(shù)，第一個(gè)是十六進(jìn)制的ObjectType對(duì)象地址，第二個(gè)是ObjectType里對(duì)應(yīng)的函數(shù)名，本命令恢復(fù)ObjectType上的Hook
43.nr
無(wú)參數(shù)，本命令列舉Notify Routine
44.rnr
兩個(gè)參數(shù)，第一個(gè)是十六進(jìn)制的Notify Routine入口函數(shù)地址，第二個(gè)是Notify Routine類(lèi)型名，本命令刪除Notify Routine
45.port
無(wú)參數(shù)，本命令列舉端口信息
46.mbr
無(wú)參數(shù)，本命令檢查MBR Rootkit
47.classpnp
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示classpnp上的鉤子
48.rclasspnp
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示classpnp上的鉤子
49.atapi
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示atapi上的鉤子
50.ratapi
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示atapi上的鉤子
51.acpi
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示acpi上的鉤子
52.racpi
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示acpi上的鉤子
53.dpctimer
無(wú)參數(shù)，本命令顯示DPC定時(shí)器信息
54.rdpctimer
一個(gè)參數(shù)，參數(shù)為十六進(jìn)制DPC定時(shí)器對(duì)象地址
55.filter
無(wú)參數(shù)，本命令枚舉Filter過(guò)濾驅(qū)動(dòng)
56.rfilter
兩個(gè)參數(shù)，第一個(gè)是十六進(jìn)制的DeviceObject地址，第二個(gè)是Filter類(lèi)型名，本命令刪除Filter過(guò)濾驅(qū)動(dòng)
57.messagehook
無(wú)參數(shù)，本命令顯示消息鉤子
58.sigcheck
一個(gè)參數(shù)，參數(shù)為文件路徑，本命令對(duì)文件進(jìn)行數(shù)字簽名
59.processhook
兩個(gè)參數(shù)，第一個(gè)是十進(jìn)制的進(jìn)程id，第二個(gè)是十六進(jìn)制的進(jìn)程對(duì)象地址，本命令枚舉進(jìn)程的Hook
60.kernelhook
無(wú)參數(shù)，本命令枚舉內(nèi)核模塊Hook
61.del
一個(gè)必備參數(shù)，參數(shù)為文件路徑，本命令刪除一個(gè)文件，如果需要強(qiáng)制刪除文件，可以在文件路徑前加上/f開(kāi)關(guān)
62.copy
兩個(gè)參數(shù)，第一個(gè)是存在的文件路徑，第二個(gè)是新文件路徑，本命令復(fù)制文件
63.rename
兩個(gè)參數(shù)，第一個(gè)是存在的文件路徑，第二個(gè)是新文件路徑，本命令重命名文件
64.dir
一個(gè)參數(shù)，參數(shù)為文件目錄，本命令相當(dāng)于Windows控制臺(tái)的dir命令功能
65.regkey
一個(gè)參數(shù)，參數(shù)是注冊(cè)表路徑，本命令枚舉注冊(cè)表該路徑下的子鍵信息
66.regvalue
一個(gè)參數(shù)，參數(shù)是注冊(cè)表路徑，本命令枚舉注冊(cè)表該路徑下的值信息
67.delvalue
兩個(gè)參數(shù)，第一個(gè)是注冊(cè)表路徑，第二個(gè)是注冊(cè)表值名，本命令刪除注冊(cè)表中的一個(gè)值項(xiàng)
68.scsi
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示scsi上的鉤子
69.rscsi
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示scsi上的鉤子
70.mouse
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示mouse上的鉤子
71.rmouse
可以使用/all參數(shù)表示顯示所有，否則只顯示掛夠函數(shù)，本命令顯示mouse上的鉤子
72.exit
無(wú)參數(shù)，本命令用于退出XueTrCmd程序
73.quit
和exit等效