[计算机软件及应用]Windows内核和驱动进程保护.pptVIP

Windows内核 和驱动进程保护 NTSTATUS DriverEntry IoCreateDevice IoCreateSymbolicLink NT_SUCCESS code_seg(PAGE) RtlInitUnicodeString FILE_DEVICE_UNKNOWN PCLIENT_ID ExAllocatePool KeServiceDescriptorTable IoCallDriver IRP_MJ_DEVICE_CONTROL PIO_STACK_LOCATION Driver By Dream_Sky12 Part 1 基础知识 1、Windows操作系统架构，以OpenProcess为例介绍函数在整个操作系统的调用过程。 2、驱动开发环境的搭建(Visual Studio+WDK+Windbg+VMware) 3、初步了解SSDT(System Services Descriptor Table系统服务描述符表) 4、makefile,sources文件 Part 2 从最简单的驱动开始 1、最简单的驱动HelloWorld (1)编写最简单的驱动 (2)添加默认派遣例程 (3)为驱动添加设备和卸载设备 2、驱动的加载与启动 (1)使用工具 (2)命令行 (3)注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services (4)自己编写Win32驱动加载程序LoadSys.exe 3、SSDT (1)读取SSDT中当前函数地址 (2)读出函数原地址 (3)突破Blue Screen，取消Windows内核只读保护，修改SSDT表。 (4)JMP 0xE9 Inline Hook初试 4、C还是C++? (1)函数调用约定__stdcall __cdecl (2)C和C++编译 (3)运行时函数Run Time Function Part 3 派遣函数与内存管理 1、应用程序.exe与驱动.sys的通信 (1)IRP (I/O Request Package) (2)缓冲模式 (3)直接模式 (4)其他模式 (5)SSDT Hook进程保护的实现 2、内存管理 (1)物理内存、虚拟内存 (2)Ring3地址，Ring0地址 (3)内存管理API 3、驱动中的链表操作 (1)new和delete的重载 (2)使用自定义结构体 (3)WDK提供的结构体List_Entry Part 1 基础知识 Windows操作系统架构 User Mode Kernel Mode Ring 3 Ring 0 Windows DLLs NTDLL.DLL System Processes Windows DLLs Services Subsystem DLLs Applications POSIX Windows DLLs Windows Environment Subsystem System Service Dispatcher(系统服务) (Kernel mode callable interfaces)(执行体API) I/O manager Device and file system drivers Cache manager 缓存管理器 Object manager 对象管理器 Plug and Play manager 即插即用管理器 Security reference monitor安全引用监视 Memory manager 内存管理器 Process manager 进程管理器 Configuration manager 设置管理器 Local process call 本地过程调用 Windows USER, GDI Graphics drivers Micro-Kernel(微内核) Hardware abstraction layer (HAL)硬件抽象层 System Threads OpenProcess调用过程 OpenProcess Kernel32.OpenProcess Ntdll.NtOp