Win64 驱动内核编程-31.枚举与删除映像回调
生活随笔
收集整理的这篇文章主要介绍了
Win64 驱动内核编程-31.枚举与删除映像回调
小编觉得挺不错的,现在分享给大家,帮大家做个参考.
枚举与删除映像回调
映像回调可以拦截 RING3 和 RING0 的映像加载。某些游戏保护会用此来拦截黑名单中的驱动加载，比如 XUETR、WIN64AST 的驱动。同理，在反游戏保护的过程中，也可以拦截游戏驱动的加载。
跟进程/线程回调类似，映像回调也存储在数组里。这个数组的“符号名”是PspLoadImageNotifyRoutine。我们可以在 PsSetLoadImageNotifyRoutine 中找到它：
实现的代码如下：
ULONG64 FindPspLoadImageNotifyRoutine() { ULONG64 i=0,pCheckArea=0; UNICODE_STRING unstrFunc; RtlInitUnicodeString(&unstrFunc, L"PsSetLoadImageNotifyRoutine"); pCheckArea = (ULONG64)MmGetSystemRoutineAddress (&unstrFunc); DbgPrint("PsSetLoadImageNotifyRoutine: %llx",pCheckArea); for(i=pCheckArea;i<pCheckArea+0xff;i++) { if(*(PUCHAR)i==0x48 && *(PUCHAR)(i+1)==0x8d && *(PUCHAR)(i+2)==0x0d) //lea rcx,xxxx { LONG OffsetAddr=0; memcpy(&OffsetAddr,(PUCHAR)(i+3),4); return OffsetAddr+7+i; } } return 0; }void EnumLoadImageNotify() { int i=0; BOOLEAN b; ULONG64 NotifyAddr=0,MagicPtr=0; ULONG64 PspLoadImageNotifyRoutine=FindPspLoadImageNotifyRoutine(); DbgPrint("PspLoadImageNotifyRoutine: %llx",PspLoadImageNotifyRoutine); if(!PspLoadImageNotifyRoutine) return; for(i=0;i<8;i++) { MagicPtr=PspLoadImageNotifyRoutine+i*8; NotifyAddr=*(PULONG64)(MagicPtr); if(MmIsAddressValid((PVOID)NotifyAddr) && NotifyAddr!=0) { NotifyAddr=*(PULONG64)(NotifyAddr & 0xfffffffffffffff8); DbgPrint("[LoadImage]%llx",NotifyAddr); } } }
执行结果如下：
用这三种回调（CreateProcess、CreateThread、LoadImage）来做监控其实并不怎么靠谱，因为系统里存在一个开关，叫做 PspNotifyEnableMask，如果它的值被设置为 0，那么所有的相关操作都不会经过回调。换句话说，如果 PspNotifyEnableMask等于 0，那么所有的进程、线程、映像回调都会失效。不过这个变量并没有在导出函数中直接出现，所以找到它略难。
宋孖健，13
总结
以上是生活随笔为你收集整理的Win64 驱动内核编程-31.枚举与删除映像回调的全部内容，希望文章能够帮你解决所遇到的问题。
- 上一篇： Win64 驱动内核编程-30.枚举与删
- 下一篇： Win64 驱动内核编程-32.枚举与删