“引导-启动”类型的驱动早已被系统加载器加载到内核。 I/O系统会调用IopInitializeBuiltinDriver函数完成“引导-启动”类型的驱动的初始化工作 NTSTATUS IopInitializeBuiltinDriver( IN PUNICODE_STRING DriverName, IN PUNICODE_STRING RegistryPath, IN PDRIVER_INITIALIZE DriverInitializeRoutine, IN PKLDR_DATA_TABLE_ENTRY DriverEntry, IN BOOLEAN IsFilter, OUT PDRIVER_OBJECT *Result ); 第一个变量为驱动名称 第二个变量为驱动注册表路径 因此，就可以在IopInitializeBuiltinDriver函数下断点，打印出这两个变量
bp nt!IopInitializeBuiltinDriver ".echo DriverName;!ustr poi(esp+4);.echo RegistryPath;!ustr poi(esp+8);gc"
