随笔分类 -  驱动相关

摘要：之前我已经讲了SSDT的hook,所以关于hook的原理,我们就不在多说,不懂Hook原理的请先看这一篇,www.cnblogs.com/qq32175822/p/3517887.html 下面我讲讲ShadowSSDThook,什么是ShadowSSDT,从英文名字来看,叫影子SSDT表.我们之前已经说了,SSDT表里存放着一些NT函数地址,这些NT函数是真正的内核执行体,我们从r3调用api,一直转到r0,然后通过SSDT表找到真实的NT函数地址执行.而ShadowSSDT呢?也是一张表,这张表里也存放是一些NT函数,这些函数也是真正的内核执行体,而里面是哪些NT函数呢?就是关于一些界面. 阅读全文

摘要：***********关于hook********************************** 首先我们说下hook，什么是hook？hook的英文已经说明了，hook在英文中是钩的意思,计算机取其意叫钩子，而我的理解叫截！ 大家应该写过r3下程序,估计也写过一些r3的hook，例如有一个API是OpenProcess,功能是打开进程得到进程句柄，比如我们要结束一个进程，如果调用TerminateProcess这个API来结束进程，就必须知道进程句柄。 那么结束一个进程的伪代码就是这样 push PID push 0 push 2035711 //权限 call OpenProce.. 阅读全文

摘要：设备驱动程序的动态加载主要是由服务控制管理程序(Service Control Manager,SCM)系统组件完成的,让系统加载驱动程序,主要是操作SCM组件. 步骤如下: 首先打开SCM管理器,得到SCM管理器句柄,openSCManager 其次打开了SCM管理器以后,就可以创建一个服务,CreateService 然后打开创建的服务,OpenServicer最后打开创建的服务后,启动服务,StartService 简单的4个步骤,就可以把驱动加载到系统中.我们来解释下加载的理解,其中最重要的是这个函数CreateService.来看看这个函数的调用,我帖代码 除开0参数和一些常量... 阅读全文

摘要：驱动现在已经是满大街了,其实驱动也不是什么,一样是调用API.只不过一个调用r3层API,一个调用的是r0层API,所谓不同的就是,ring3下的程序出现错误最多是关闭本进程,而驱动也就是ring0的程序出现错误,会导致电脑蓝屏,就是这么个区别,导致很多人认为驱动很难,其实做好驱动调试的配置,也就没什么了. 驱动调试配置,首先调试器,我们选择windbg,而系统,我们用VMware虚拟机装一个XPSP3系统. (JV695-DR0D3-LZUC0-H8852-CAWJ4 vm9.01序列号, DG8FV-B9TKY-FRT9J-6CRCC-XPQ4G xpsp3序列号) 装好虚拟机后,我们装. 阅读全文