-
-
[原创]如何逆向PCHUNTER驱动
-
发表于: 2021-4-27 17:40
-
由于好奇PCHUNTER软件里某些功能是怎么实现的，所以产生了逆向它的驱动程序的想法。废话不多说开干！！！！！！！！！！！
第一步，pchunter程序运行时会删除加载的驱动，所以要先得到该驱动文件。在这里提供3种办法：
1：minifilter文件过滤驱动在自删除irp处理程序中转储这个文件。
2：虚拟机足够卡的话在加载时直接复制也可成功。
3：我直接提供驱动文件，下载即可。
第二步，无符号的驱动文件怎么在入口处断下来？
这里以WIN10为例：
通过函数IopLoadDriver来找到驱动的DriverInit函数调用。
IopLoadDriver -> _guard_dispatch_icall -> jmp rax
第三步：找到驱动的通信处理函数。
通过动态调试代码发现PCHUNTER的3环和0环的通信控制码只有一个，区分不同的功能实现是通过DeviceIoControl的buffer参数里面的内容。
附件是我逆向的暂停线程的功能，如果需要知道某个具体功能的实现，就在irp处理函数中下断点就可以了。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2021-4-27 17:42
被麻木的时间编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
