首页
社区
课程
招聘
[求助]SSDT hook 了NtLoadDriver 如何能知道进程加载的驱动文件的路径呢?
发表于: 2013-8-7 15:34 7463

[求助]SSDT hook 了NtLoadDriver 如何能知道进程加载的驱动文件的路径呢?

2013-8-7 15:34
7463
SSDT hook 了NtLoadDriver 如何能知道进程加载的驱动文件的路径呢?

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
int MyNtLoadDriver(IN PUNICODE_STRING DriverServiceName)
{
    int nEProcess;
    nEProcess=(int)PsGetCurrentProcess();
 
    PSE_AUDIT_PROCESS_CREATION_INFO FullName;
    FullName=(PSE_AUDIT_PROCESS_CREATION_INFO)(nEProcess+0x1f4);
    RtlUnicodeStringToAnsiString(&ImagePathName,&(FullName->ImageFileName->Name),TRUE);
     
    if (FangORlan==1)
    {
        return RealNtLoadDriver(DriverServiceName);
    }
 
 
    return STATUS_ACCESS_DENIED;
}


在上面代码中 FullName 可以得到加载驱动的进程 怎么得到加载的是哪个模块呢?

[招生]科锐逆向工程师培训(2025年3月11日实地,远程教学同时开班, 第52期)!

收藏
免费
支持
分享
最新回复 (7)
雪    币: 220
活跃值: (117)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
2
IN PUNICODE_STRING DriverServiceName
2013-8-7 17:08
0
雪    币: 297
活跃值: (280)
能力值: ( LV4,RANK:55 )
在线值:
发帖
回帖
粉丝
3
我擦。。参数呗。。。
2013-8-7 17:38
0
雪    币: 4817
活跃值: (23)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
DriverServiceName是驱动服务在注册表中的路径,拿着这个路径,去打开注册表,获取ImagePath键值就是驱动文件的路径了。
2013-8-7 17:48
0
雪    币: 46
活跃值: (14)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
参数就参数呗
你擦个什么
2013-8-7 18:13
0
雪    币: 119
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
呵呵呵。。。。
2013-8-7 19:58
0
雪    币: 297
活跃值: (280)
能力值: ( LV4,RANK:55 )
在线值:
发帖
回帖
粉丝
7
你觉得呢?呵呵
2013-8-8 16:45
0
雪    币: 46
活跃值: (14)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
擦黑板~~~
2013-8-8 18:20
0
游客
登录 | 注册 方可回帖
返回

账号登录
验证码登录

忘记密码?
没有账号?立即免费注册