[原创]分析X绒hrdevmon.sys，突破U盘访问控制，摄像头保护原理-编程技术-看雪-安全社区|安全招聘|kanxue.com

[原创]分析X绒hrdevmon.sys，突破U盘访问控制，摄像头保护原理

发表于: 2021-3-19 23:33 9626

[原创]分析X绒hrdevmon.sys，突破U盘访问控制，摄像头保护原理

囧囧

2021-3-19 23:33

9626

Q1815349357Q

多年前，部分杀软就推出了U盘访问控制，摄像头保护的功能。

现在较火的端点防护概念，也强调自己设备权限控制的能力，但实现方法见智见仁。

驱动级控制的原理是类过滤驱动，做内核开发的传统艺能了。

比如：https://github.com/pwnslinger/USBlocker

比如百度杀毒的BdCameraProtect.sys，笔者手里这份编译时间是：2013/10/30 (PE FILE_HEADER).

正好看到X绒的hrdevmon.sys，打开看一下。

在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class里搜索hrdevmon,能看到所有被过滤的类。

hrdevmon.sys Attach了如下两种DeviceType:

- FILE_DEVICE_MASS_STORAGE

- FILE_DEVICE_KS

对MASS_STORAGE设备的处理里，着重处理了：

- MJ_FltMassStorageWrite

- MJ_FltMassStorageDevCtl （IOCTL_SCSI_PASS_THROUGH & IOCTL_SCSI_PASS_THROUGH_DIRECT）

Cdb[0] (0xA or 0x2A or 0xAA)

登录后可查看完整内容

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

最后于 2021-3-19 23:47 被囧囧编辑，原因：

#驱动开发

上传的附件：

hrdevmon.zip （75.51kb，53次下载）

收藏・7

免费・5

支持

赞赏记录

参与人

雪币

留言

时间

XIAOYAOSHIJI

为你点赞~

2023-7-24 09:12

hkx3upper

为你点赞~

2022-9-14 10:30

PLEBFE

为你点赞~

2022-7-30 08:44

dzahz

为你点赞~

2021-4-23 19:49

xicao

为你点赞~

2021-3-21 01:02

最新回复 (0)
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

囧囧

发帖

337

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

[原创]分析X绒hrdevmon.sys，突破U盘访问控制，摄像头保护原理

账号登录 验证码登录

账号登录

验证码登录