驱动隐藏技术中MiProcessLoaderEy函数定位方法.pdfVIP

在笔者前面有一篇文章

《驱动开发:断链隐藏驱动程序自身》

通过摘除驱动的链表实现了断链隐藏自身的目的,

但此方法在恢复时会触发PG导致蓝屏,偶然间在网上找到了一个作者介绍的方法,觉得有必要详细分析一下

他是如何实现驱动隐藏的,总体来说作者的思路是最终寻找到MiProcessLoaderEntry的地址,该函数

的作用是将驱动信息加入链表和移除链表,运用这个函数即可动态处理驱动的添加和移除问题。

MiProcessLoaderEntry(pDriverObject‑DriverSection,

1)

添加

MiProcessLoaderEntry(pDriverObject‑DriverSection,

0)

移除

那如何找到

MiProcessLoaderEntry

函数地址是下一步的目标，寻找可以总结为；

1.查找

MmUnloadSystemImage函数地址，可通过

MmGetSystemRoutineAddress函数获取。

2.在MmUnloadSystemImage中查找

MiUnloadSystemImage函数地址。3.在

MiUnloadSystemImage中继续查找

MiProcessLoaderEntry即可。

搜索

MmUnloadSystemIm