能力值：
( LV2，RANK：10 )
|
-
-
2 楼
hook 能load驱动的那几个函数吧~
|
能力值：
( LV6，RANK：90 )
|
-
-
3 楼
1. 如果是自己的驱动,在处理IRP_MJ_CREATE的时候,通知到上层即可.
2. 如果是驱动代码,要监控其他的驱动是否加载了,那直接使用PsSetLoadImageNotifyRoutine.
3. 如果不能使用驱动代码,只能在应用层做,NtQuerySystemInformation,查询当前系统模块,不断的去遍历这个Module Table,有新的出现,则通知到自己的程序即可.
4.理论上系统的ETW机制,也能实现驱动加载更新通知的功能,可以看看WRK中:WmipStartLogger的实现.
以上提供几点思路,供参考.
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
PsSetLoadImageNotifyRoutine，是加载时吧，我想等某个驱动加载完成后，才HOOK他里面的函数
|
能力值：
( LV6，RANK：90 )
|
-
-
5 楼
就用这个PsSetLoadImageNotifyRoutine,去监听某个驱动是否加载,然后用NtQuerySystemInformation,循环查询这个驱动是否已经加载完成.
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
比较机械的，循环遍历模块，直到出现
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
感觉只能循环遍历已经加载的模块，比较判断该模块是否加载。。
|
|
|
|
