32位驱动开发- 零散笔记

之前的笔记搬运

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
在内核中把不用的函数, 如蓝屏函数的代码给覆盖成自己的代码, 在去HOOK其他函数跳转到蓝屏函数执行自己的代码, 可以躲避一些检测是否跳出模块地址的HOOK检测 


KeSetTargetProcessorDpcEx :内核切换CPU函数


三环隐藏进程, LDR中的进程链表, 断链就可以, 但是三环还是看到该进程

遍历进程信息

fs里存放的就是KPCR
_KPCR + 0x120 = _KPRCB
_KPRCB + 0x4 = CurrentThread =_KTHREAD
_KTHREAD + 0x34= _KAPC_STATE
_KAPC_STATE + 0x10 = _KPROCESS = _EPROCESS
_EPROCESS 包含了_KPROCESS
_EPROCESS在偏移0x88处是当前系统的进程链表
_EPROCESS + 0x174 = process name
_EPROCESS + 0x88 = 进程双向链表


source insight  源码阅读工具
在Boot.ini里可以指定内核文件,  /kernel xxx.exe
lm可以查看windbg是否加载了pdb
windbg加载了pdb, 可以直接文件 - 打开 源码文件, 下断调试

ObQueryNameString
QueryDosDevice 把0环路径转成3环



IRP HOOK
IoGetDeviceObjectPointer

操作socket是和系统通讯, 由系统和驱动通讯;

原子操作是锁定主板主线的中断, 所以就不会存在线程切换的问题
InterlockedExchange 交换锁

每个线程都有一个 irql
irql: 中断优先级, 一共有三个级别, 0 1 2, 由低到高

如果当前线程的irql低, 调用要求irql级别高的话会蓝屏;

KeGetCurrentIrql 获取当前IRQL
KeRaiseIrql      提升
KeLowerIrql      降低


**驱动过滤**

IoAttachDevice 附加设备
IoDetachDevice 取消附加设备

IoCallDriver 调用设备栈的下一个驱动
IoSkipCurrentIrpStackLocation 下层驱动使用当前设备栈;
IoCopyCurrentIrpStackLocationToNext 拷贝当前栈到下一层使用;
IoSetCompletionRoutine 设置回调函数完成的回调函数
赏

感谢大佬

微信

扫一扫，分享到微信

微信分享二维码
载入天数...载入时分秒... || 你是本博第 位访客 || 历经 次回眸才与你相遇

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

一个拼命生存, 却又想要追求自由的人儿;