-
-
[原创]windbg拦截驱动
-
发表于: 2012-1-13 21:00
-
驱动的加载有几种方式，查看CreateService就可以知道。
1、SERVICE_BOOT_START = 0x00000000，被系统loader加载，这类驱动是最早加载的。驱动文件必须放在C:\Windows\System32\drivers目录下，因为此时系统只能读注册表，不能打开文件，不能打出调试信息。看了下面的分析就清楚了。
2、SERVICE_SYSTEM_START = 0x00000001，系统初始化完成后才加载的
3、SERVICE_DEMAND_START = 0x00000003，手动加载
环境：win7 32bit，
目标：拦截hookport.sys
方法：
通常拦截驱动，可以在nt!MmLoadSystemImage下断点。
1、显示驱动全名并显示驱动基址：
bp nt!MmLoadSystemImage".if(1){!ustr poi(esp+4); dd poi(esp+0x18);}.else{gc;}"
poi(esp+0x18)就是保存驱动基址的指针ImageBaseAddress
2、nt!MmLoadSystemImage返回后，dd ImageBaseAddress，显示的就是驱动基址
3、给驱动起点函数下断点
bp 驱动基址+poi(poi(驱动基址+0x3c)+ 驱动基址+0x28)
4、运行，就停在驱动的起点函数
NTSTATUS
MmLoadSystemImage (
IN PUNICODE_STRING ImageFileName,
IN PUNICODE_STRING NamePrefix OPTIONAL,
IN PUNICODE_STRING LoadedBaseName OPTIONAL,
IN BOOLEAN LoadInSessionSpace,
OUT PVOID *ImageHandle,
OUT PVOID *ImageBaseAddress
)
但是hookport.sys就不能用上面的方法来，因为它的加载类型是SERVICE_BOOT_START，如下图：
通过研究系统，可以用下面的断点：
下断点bp nt!PnpInitializeBootStartDriver".if(1){!ustr poi(esp+8);}.else{gc;}"，此时可以显示驱动的注册表信息
断下来后，在nt!IopInitializeBuiltinDriver里面找第一个call dword ptr [eax]，
下断点即可，跟进去就是驱动的入口点了
其实可以计算 INIT:007A79CF call dword ptr [eax] 与nt的rva,直接下断点就可以了 bp nt基址+0x003A79CF
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
用“__asm int 3”的路过
|
|
|
sxe ld
|
|
|
|
|
|
这种问题，09年已经讨论滴很详细咯。。。
 http://www.debugman.com/thread/2943/1/1 http://www.debugman.com/thread/3692/1/1 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我刚刚又连上办公室的机子,用了这个步骤,一切很ok啊
win 7 32位 sp1 旗舰简体中文 + vmware 8.0 + windbg 6.11.0001.404 x86 难道,是我人品好? 
|
|
|
看来个体差异很大啊，，呵呵，，，
|
|
|
|
|
|
    明白了不，亲。 
|
|
|
|
|
|
学习下
|
|
|
|
|
|
|
|
|
[QUOTE=莫灰灰;1047616]
明白了不，亲。 [/QUOTE]亲爱的小灰灰，哥哥我这样做了，确实断不吓来啊，
|
|
|
楼主的好像没有冒号 ： |
|
|
|
|
|
[QUOTE=flyliying;1048964]
楼主的好像没有冒号 ：[/QUOTE] 没有区别，请看图 
|
|
|
[QUOTE=guxinyi;1038590]我这边愣没断下来，
看来还是 在nt!IopInitializeBuiltinDriver里面找第一个call dword ptr [eax]，这样断可行些。。[/QUOTE] 还是自己总结的方法好用，呵呵
|
|
|
我碰到个问题，不是所有的模块加载windbg都会得到通知的。
以我的XP为例子，MmLoadSystemImage加载了lbrtfdc.SYS，但windbg得不到通知，而且lm中也看不到，请问是什么原因，是不是和驱动的类型有关？ 
|
