隐藏驱动完整攻略(基础篇).pdfVIP

隐藏驱动完整攻略(基础篇) 学习各种高级外挂制作技术，马上去百度搜索 魔鬼作坊，点击第一个站进入， 快速成为做挂达人。 完整介绍隐藏驱动的方法，部分内容属于冷饭热炒，炒一炒比较好消化~~ 先说一下，以下数据和结构信息来自Windbg+WinXP SP2 PsLoadedModuleList PsLoadedModuleList 一、从PPssLLooaaddeeddMMoodduulleeLLiisstt消失 PsLoadedModuleList 是系统中一个用于连接所有已加载驱动的双向链表(LIST_ENTRY 结 构)。每一个驱动的DriverObject-DriverSection其实是一个指向LDR_DATA_TABLE_ENT RY 结构的指针，以Beep为例，如下： lkd dt _DRIVER_OBJECT 871a5b80 nt!_DRIVER_OBJECT +0x000 Type : 4 ... +0x014 DriverSection : 0x897a0458 lkd dt _LDR_DATA_TABLE_ENTRY 0x897a0458 nt!_LDR_DATA_TABLE_ENTRY +0x000 InLoadOrderLinks : _LIST_ENTRY [ 0x871ecb48 - 0x871b2a28 ] //仅LoadOrderLinks 有效 +0x008 InMemoryOrderLinks : _LIST_ENTRY [ 0x0 - 0x0 ] +0x010 InInitializationOrderLinks : _LIST_ENTRY [ 0x0 - 0x0 ] +0x018 DllBase : 0xbadd2000 +0x01c EntryPoint : 0xbadd266c +0x020 SizeOfImage : 0x2000 +0x024 FullDllName : _UNICODE_STRING +0x02c BaseDllName : _UNICODE_STRING 这个结构和PEB-Ldr中用于记录进程已加载DLL 的结构是一样的，不过驱动中仅InLoad OrderLinks有效，把这个结点从双链表中移除就可以了。 此方法仅对ZwQuerySystemInformation(SystemModuleInformation)有效 \Driver \Driver 二、从\\DDrriivveerr对象目录消失 从PsLoadedModuleList消失以后，我们用WinObj 或类似的工具仍然可以看到\Driver\Driv erName 这样一个对象，要隐藏自身也必须从这里消失，这里需要一些Windows 对象管理 的知识,关于Windows 对象管理的知识请参考《Windows 内核的分析(对象管理器)译自glo omy 的文章,由董岩 译》等等，这里不多说。\Driver是一个对象目录，所有的DriverObjec t都放在此目录下面。要操作该目录，首先我们要得到\Driver这个对象目录的地址，可以 用ObOpenObjectByName 直接打开得到，或者以如下方式取到： lkd dt _OBJECT_HEADER 871a5b68 nt!_OBJECT_HEADER +0x000 PointerCount : 3 +0x004 HandleCount : 0 +0x004 NextToFree : (null) +0x008 Type : 0x89e60ca0 _OBJECT_TYPE +0x00c NameInfoOffset : 0x10 //对象头名称距对象头的偏移 lkd dt _OBJECT_HEADER_NAME_INFO 871a5b68-0x10 //对象头名称信息在对象头之前，减 去偏移就可到达 nt!_OBJECT_HEADER_NAME_INFO +0x000 Directory : 0xe156e030 _OBJECT_DIRECTORY //这就是我们要找的 ObjectDirectory