-
-
[原创]隐蔽通讯常见种类介绍
-
发表于: 2025-7-21 21:46
-
R3->符号链接->设备对象->驱动对象->驱动功能
驱动通信实质上是设备通信
设备是挂在驱动上的DeviceObject上面的
正常IO通信
R0：
R3:
正常的设备通信会被各种ark或其他工具遍历到
winobj：https://learn.microsoft.com/zh-cn/sysinternals/downloads/winobj
devicetree.exe
其次通过无模块加载技术加载的驱动没有驱动对象，也无法创建正常的io通信。所以我们另寻通信方式。
任何能从3环主动发起0环能接收到的API或方法都能作为通信方法，如果对通信的实时性没要求也可去掉“主动”一词
1.劫持io通信
故名意思，去劫持系统白名单驱动的通信。
在导入表有查看是否有建立IO通信的函数
发现没有IRP_MJ_DEVICE_CONTROL我们可以给他增加一个来作为我们的通信
2.minifilter端口
3.共享内存
3环申请一块内存，0环使用mdl映射
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
亿点点
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
