潜水太久啦，来水个帖。非常简单，手写个驱动，在DriverEntry上加上一句：手动加载，调用栈如下： 发现华点：IopLoadDriver基本上只有第一个参数没确定意义了。 使用IDA对IopLoadUnloadDriver进行引用分析。来自IopLoadDriverImage： 再对IopLoadDriverImage引用分析。来自NtLoadDriver。 这唯一的一个参数，就是注册表对应的服务路径啦，例：\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Test_Drv 这个注册表是在你 Ring3 调用 CreateServiceW的时候就填好的。那么调用路径就清晰啦：这个函数是基本算是最重要的函数啦，毕竟是它调用的DriverEntry。而分析上述调用路径的唯一作用，就是为了得到 IopLoadDriver参数的意义。（注册表的 Handle）由于这个函数比较大，仅分析重要部分，伪代码如下：这个函数非常强大，传入需要加载的驱动的路径，就可以直接加载一个可直接运行的无DriverObject驱动。（请读者自行测试）功能包括：创建DriverSection、映射内存、修复重定位、将DriverSection添加入PsLoadedModuleList、填充IAT、填充_security_cookie、...(这几个功能已经够用了)没错，上述的 DriverSection 就是 驱动模块链表 连接的结构体 ：_LDR_DATA_TABLE_ENTRY。同样，这个函数比较大，这里仅列出重要部分伪代码：至此，一个 可在驱动模块链表（PsLoadedModuleList）可以找到的驱动就加载完成了。如果你需要隐藏或伪装的驱动本身有签名，就不用patch了，如果硬要加载一个无签名的，那才需要patch，最好不要啦，因为有蓝屏几率。在通过MiObtainSectionForDriver获取DriverSection的时候，Windows就会进行数字签名认证啦！调用栈如下： 通过 SeValidateImageHeader进入 CI.DLL 进行签名校验，CL.DLL 部分就不再继续跟了，我们主要看如何进入CI.DLL： 网上一般通过Patch CI!g_CiOptions实现绕过数字签名校验，这边就不搞这么复杂了，我们 patch qword_14040EF40，换成我们的函数，返回 STATUS_SUCCESS 就可以通过签名校验了，虽然 qword_14040EF40受PG保护，但是只修改一会，加载完驱动就改回去，PG就反应不过来了。（我试过很多次，基本上改了 qword_14040EF40 后几个小时PG才能反应过来）。定位： win10、win11 我都看过， 都是在 &SeCiCallbacks + 0x20 的位置，可能有些版本不同。操作很简单，通过调用上面说到过的未导出函数，就能实现。需要隐藏的驱动或伪装的驱动代码如下：（主要是创建一个 名为 ICEY_Device的设备，创建成功说明 驱动加载成功）编译出来的 驱动文件 名字为 ： Test_Drv.sys这里就贴一下伪代码，实际代码请查看项目：对就这么简单，就加载了一个隐藏驱动（无DriverObject 、无DriverSection）由于没有这两个结构体，所以这个驱动一些函数是无法调用的，如何解决这里不赘述了。在项目中我采取了IO劫持的方式，让我的隐藏驱动创建设备，原理就是给隐藏驱动的 DriverEntry第一个参数传进一个没有设备的DriverObject，详情请看代码。 ARK工具找不到： WinObj 双击 设备名字测试：（成功输出 “Create File Finsh！”） 同上，只贴伪代码，实际代码请查看项目： 将 Test_Drv.sys 伪装成 360AntiHacker64.sys 。ARK签名检测： 火绒剑检测： 不保证100%可过 PG，只是在我测试 40+小时以上，win10 win11 均未被PG检测。项目用到大量未导出函数，需要自己想办法获取函数地址。进入 Kernel_PDB.c InitAllOffSet() 进行修改管安装不管卸载，重启即可卸载哈哈哈哈。Drv_Hide_And_CamouflageDbgBreakPoint();
---
来源: 看雪论坛
原文链接: https://bbs.kanxue.com/thread-276912.htm