首页
社区
课程
招聘
[求助]学习的过程中,总会有些奇思妙想,可不可以用内核模块加载一个新的内核模块呢?
发表于: 2018-5-12 20:27 2906

[求助]学习的过程中,总会有些奇思妙想,可不可以用内核模块加载一个新的内核模块呢?

2018-5-12 20:27
2906
无意义之中想到了RT这么一个问题
于是搜索了相关资料
发现有用NATIVE API ZwSetSystemInformation 来搞的

我就想在内核里尝试使用这个函数 先试试能不能用

UNICODE_STRING zwsetinfo = RTL_CONSTANT_STRING(L"ZwSetSystemInformation");
PVOID test = MmGetSystemRoutineAddress(&zwsetinfo);

搜到地址 

证明是可以的 
然后我就按R3使用这个函数的方法传参进去

失败。。。
此路不通
想问下看雪各位大神  还有什么办法能实现内核加载新的内核模块吗?

我目前想到的另外一个办法就是自己写注册表 并把启动类型改成systemboot
但是这样搞 要重启才能生效
总觉得有点LOW···

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (2)
雪    币: 12
活跃值: (142)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
傻逼了,windbg连上去,发现PVOID  test  =  MmGetSystemRoutineAddress(&zwsetinfo);其实是SSDT上的函数
最终要调用KiSystemService 
2018-5-12 20:31
0
雪    币: 216
活跃值: (250)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
正规方法:  ZwLoadDriver

邪门的:  exallocatepool  +  shellcode
2018-5-16 12:45
0
游客
登录 | 注册 方可回帖
返回
//