关于windows内核级病毒隐藏技术和反病毒侦测技术.docVIP

关于windows内核级病毒隐藏技术和反病毒侦测技术 　　1.为什么选驱动程序nbsp; 　　驱动程序是运行在系统信任的Ring0环境下在代码，她拥有对系统任何软件和硬件的访问权限。这意味着内核驱动可以访问所有的系统资源，可以读取所有的内存空间，而且也被允许执行CPU的特权指令，如，读取CPU控制寄存器的当前值等。而处于用户模式下的程序如果试图从内核空间中读取一个字节或者试图执行像MOVnbsp;EAX,CR3这样的汇编指令都会被立即终止掉。不过，这种强大的底线是驱动程序的一个很小的错误就会让整个系统崩溃。所以对隐藏和反隐藏技术来说都提供了一个极好的环境。但是又对攻击者和反查杀者提出了更高的技术要求。nbsp; 　　2.入口例程DriverEntrynbsp; 　　DriverEntry是内核模式驱动程序主入口点常用的名字，她的作用和main，WinMain，是一样的。nbsp; 　　externnbsp;Cnbsp;NTSTATUSnbsp;DriverEntry(INnbsp;PDRIVER_OBJECTnbsp;DriverObject,nbsp;INnbsp;PUNICODE_STRINGnbsp;RegistryPath) 　　{...} 　　DriverEntry的第一个参数是一个指针，指向一个刚被初始化的驱动程序对象，该对象就代表你的驱动程序，DriverEntry的第二个参数是设备服务键的键名。DriverEntry函数返回一个NTSTATUS值。NTSTATUS实际就是一个长整型，但你应该使用NTSTATUS定义该函数的返回值而不是LONG，这样代码的可读性会更好。大部分内核模式支持例程都返回NTSTATUS状态代码，你可以在DDK头文件NTSTATUS.H中找到NTSTATUS的代码列表。nbsp; 　　DriverEntry的作用主要就是创建设备对象，建立设备对象的符号链接，设置好各个类型的回调函数等。nbsp; 　　例如：nbsp; externnbsp;Cnbsp; NTSTATUSnbsp; DriverEntry(INnbsp;PDRIVER_OBJECTnbsp;DriverObject,nbsp;INnbsp;PUNICODE_STRINGnbsp;RegistryPath)nbsp; {nbsp; nbsp;DriverObject-gt;DriverUnloadnbsp;=nbsp;DriverUnload;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;lt;--1nbsp; nbsp;DriverObject-gt;DriverExtension-gt;AddDevicenbsp;=nbsp;AddDevice;nbsp; nbsp;DriverObject-gt;DriverStartIonbsp;=nbsp;StartIo;nbsp; nbsp;DriverObject-gt;MajorFunction;=nbsp;DispatchPnp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;nbsp;lt;--2nbsp; nbsp;DriverObject-gt;MajorFunction;=nbsp;DispatchPower;nbsp; nbsp;DriverObject-gt;MajorFunction;=nbsp;DispatchWmi;nbsp; nbsp;...nbsp; }nbsp; 　　在WDM中通过设置AddDevice回调函数来创建设备对象。在NT驱动中在DriverEntry例程中创建