|
|
|---|---|
|
|
|
|
|
|
|
|
就是判断 某 驱动 是否正在运行 |
|
|
那么 某 驱动 又是哪个驱动？ 
|
|
|
|
|
|
麻烦指点一下，我只是想判断一个驱动是否在运行而已。 |
|
|
|
|
|
|
|
|
我有个想法，能否 枚举出所有驱动。然后模仿驱动 通讯码 进行通讯，成功则执行卸载。或者干啥。 这个通讯码，我们可以通过hook原程序获得。 |
|
|
不知道你想干什么 判断pchunter的话，在内存里搜索他的pdb路径就行了，有很明显的"ViewDriver"字符串特征。 至于别的驱动，你都不说是哪个驱动，你让我们怎么帮你？？
最后于 2018-7-9 09:11
被hzqst编辑
，原因：
|
|
|
比喻说【360netmon.sys】 这个驱动路径【C:\Windows\system32\DRIVERS\360netmon.sys】 驱动尺寸【0x0005b00】 服务名【360netmon】 假设这个驱动加载的路径是自定义随机，名称自定义随机，服务名也自定义随机， 只要他没重新编译，他的尺寸和自身文件指纹或者内存crc应该是不会变的。 我现在就遇到这么个驱动，我的想法是在他没重新编译驱动文件的前提下获取特征，并且找到他，即使他重新编译，我也可以再次得到特征后，找他、 |
|
|
提取特征码，特征就完事了 |
|
|
你朋友说的应该是设备对象名和符号链接吧 |
|
|
怎么获取呢，R3调用那些API. 麻烦讲解！ |
|
|
驱动文件加载完了就连驱动文件都删掉了，和解？ |
|
|
https://blog.csdn.net/hellokandy/article/details/52505149 搜索引擎输入枚举/遍历 + 符号链接很容易就能搜到 |
|
|
|
|
|
已经加载的驱动 对应的注册表项 怎么查？ |
hzqst
