[原创]利用内存搜索针对WMI查询硬件信息修改内核内存中的序列号、UID-逆向工程-看雪安全社区

# 0.背景：
论坛前辈的文章：
[获得并修改硬件序列号--CPU、主板、内存、硬盘等(有源码)](https://bbs.kanxue.com/thread-282756.htm)
关于硬盘部分，通过Hook派遣函数或者直接修改内核中序列号所在的地址的值。应用层查询时，对于访问了被修改地址的查询语句的效果是会显示随机序列号。如使用：
```
# powershell
Get-WmiObject -Class Win32_DiskDrive | Select-Object Model, SerialNumber, Signature
```
进行查询时：
 ![](upload/attach/202512/907221_S5YF7ZMXBWPE8GU.webp)
硬盘序列号确实变为随机序列号了，但是对于使用下列语句进行查询：
```
# powershell
Get-PhysicalDisk | Select-Object FriendlyName, SerialNumber, UniqueId
```
或者等效语句进行查询时：
```
# powershell
Get-CimInstance -ClassName MSFT_PhysicalDisk -Namespace root/Microsoft/Windows/Storage | Select-Object FriendlyName, SerialNumber, UniqueId
```
 ![](upload/attach/202512/907221_R4EAYDF6X5S8R68.webp)
查询结果依然是我们原本的硬盘序列号，因为下方查询语句并没有访问驱动中修改了序列号的内存地址，下方查询语句的序列号访问的是wchar_t* 类型的地址，UID访问的是char* 类型的地址。UID的结构为eui.固定字符串加上序列号去掉下划线组成。所以可以使用序列号与UID相互校验，或者不同查询语句获取到的序列号结果相互校验。本文并不解析该查询语句是通过内核中的哪个全局变量哪个结构获取到的序列号和UID，毕竟没有必要去定位那么多全局变量和结构偏移。
# 1.思路
在虚拟机中，直接使用CE搜索硬盘原序列号，注意切换UTF-16选项，不管是char* 类型的地址还是wchar_t* 类型的地址都可以搜索到比较多的结果。
 ![](upload/attach/202512/907221_S4NGPXKM6ZGS5NE.webp)
 ![](upload/attach/202512/907221_FZ4BY4YXFQW99GC.webp)
我们查询到的序列号肯定来源于其中某一个内存地址，我们只需要获取到所有保存了序列号的内存地址，再进行序列号修改即可。因为在有独显的物理机中，用CE直接搜索硬盘序列号都会导致D3D11设备被移除，显卡驱动崩溃，具体现象就是搜索到MiVaSystemPtes所在区域时电脑短暂黑屏。经过测试我们只需要搜索[MiVaSystemCache, MiVaNonPagedPool, MiVaPagedPool]即可修改针对前述语句的查询结果，修改序列号切记除char* 类型外还需要拓展为wchar_t* 类型进行搜索。所以千万不要想着直接搜索整个内核内存，针对内核分区进行搜索是必要的。建议先采用虚拟机进行测试。
所以我们只需要写一个内核内存搜索函数就行。参考论坛前辈的文章：
[win10 1909逆向（反向计算windows内核内存布局及代码实现）](https://bbs.kanxue.com/thread-260527-1.htm)
我们就得到了当前虚拟机的内存分区：
 ![](upload/attach/202512/907221_D3HZJ9V2VU6QN6T.webp)
 ![](upload/attach/202512/907221_JD8QRM2WBZQRR96.webp)
为了搜索的效率，MiVaUnused的内存块我们就不需要搜索了，当然你也可以根据CE搜索到的结果，看对应内核内存地址分别在哪几个内存区域，然后只搜索对应的几个区域即可。你可以申请一片中转内存，使用MmCopyMemory函数，函数自带异常处理可以应对被搜索的内存没有物理页的问题，另外还需要处理内存跨页的问题。方法不止一种你可以自己测试效率后择优选择。
# 2.结果
 ![](upload/attach/202512/907221_YSDYXJNW4VM9V5Q.webp)
驱动修改完搜索到的地址后，不同语句查询的序列号一致，可以与UID相互校验。
需要注意的是如果使用了：
```
# powershelll
Restart-Service -Name "Windows Management Instrumentation" -Force
```
或类似语句重启了WMI服务，部分查询语句短时间内会无查询结果，通常十分钟左右才会恢复。
上述需求AI都可以给出较为完善的代码。
这里只说明了硬盘序列号与UID，其余硬件信息都可以用同样的方式进行动态修改，卸载驱动后还原。

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#其他内容

最新回复 (111) 1 2 3 4 5 ▶
lhglhg 雪币： 221 活跃值： (3421) 能力值： ( LV4，RANK：50 ) 在线值：发帖 8 回帖 480 粉丝 5 关注私信	lhglhg 1 2 楼谢谢分享！！！ 2025-12-21 20:02 0
逆向爱好者雪币： 3566 活跃值： (7949) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 288 粉丝 25 关注私信	逆向爱好者 3 楼牛逼牛逼牛逼 2025-12-21 20:50 0
wzmooo 雪币： 12583 活跃值： (4269) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 534 粉丝 1 关注私信	wzmooo 4 楼严重学习 2025-12-21 21:08 0
mb_nkjfyhkg 雪币： 309 活跃值： (185) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 10 关注私信	mb_nkjfyhkg 5 楼 mark 2025-12-22 02:56 0
DannysMask 雪币： 1565 活跃值： (3142) 能力值： ( LV5，RANK：70 ) 在线值：发帖 9 回帖 5 粉丝 68 关注私信	DannysMask 6 楼补：实现效果 2025-12-22 08:21 1
mb_qhvkkbxx 雪币： 121 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	mb_qhvkkbxx 7 楼 111 2025-12-22 10:38 0
DannysMask 雪币： 1565 活跃值： (3142) 能力值： ( LV5，RANK：70 ) 在线值：发帖 9 回帖 5 粉丝 68 关注私信	DannysMask 8 楼视频演示已上传B站 2025-12-22 10:39 0
__Shinn 雪币： 2743 活跃值： (1515) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 74 粉丝 85 关注私信	__Shinn 2 9 楼感谢分享 2025-12-22 16:09 1
zenix 雪币： 2698 活跃值： (1922) 能力值： ( LV4，RANK：50 ) 在线值：发帖 9 回帖 843 粉丝 17 关注私信	zenix 1 10 楼回帖看隐藏内容 2025-12-22 16:26 0
wbzloveme 雪币： 3280 活跃值： (2990) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 72 粉丝 1 关注私信	wbzloveme 11 楼看下内容 2025-12-22 17:23 0
mb_aopnnvxb 雪币： 97 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 81 粉丝 0 关注私信	mb_aopnnvxb 12 楼看下内容 2025-12-23 09:20 0
啊你好哇123 雪币： 799 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 378 粉丝 0 关注私信	啊你好哇123 13 楼学习 2025-12-23 21:38 0
mb_ghcwkpgk 雪币： 281 活跃值： (185) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	mb_ghcwkpgk 14 楼哈哈哈哈哈哈恍恍惚惚间 2025-12-24 00:02 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 121 粉丝 0 关注私信	mb_urzqsoer 15 楼纳尼 2025-12-24 00:52 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 121 粉丝 0 关注私信	mb_urzqsoer 16 楼 ace:纳尼,你要跟我过不去? 2025-12-24 00:52 0
ak58 雪币： 8 活跃值： (1334) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 25 粉丝 0 关注私信	ak58 17 楼谢谢分享 2025-12-24 03:04 0
Rookietp 雪币： 857 活跃值： (1021) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 811 粉丝 2 关注私信	Rookietp 18 楼 learn ~ 2025-12-24 03:13 0
isYangs 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	isYangs 19 楼谢谢分享 2025-12-24 12:42 0
hungnguyen 雪币： 188 活跃值： (2181) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 114 粉丝 0 关注私信	hungnguyen 20 楼谢谢分享！！！ 2025-12-24 16:02 0
拍拖雪币： 2790 活跃值： (7151) 能力值： ( LV6，RANK：90 ) 在线值：发帖 22 回帖 436 粉丝 15 关注私信	拍拖 2 21 楼 66666 2025-12-24 16:20 0
糖糖9 雪币： 292 活跃值： (1707) 能力值： ( LV3，RANK：29 ) 在线值：发帖 0 回帖 41 粉丝 0 关注私信	糖糖9 22 楼 666666666 2025-12-24 16:27 0
mb_cuitmohb 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 60 粉丝 0 关注私信	mb_cuitmohb 23 楼 66666 2025-12-24 16:44 0
WinDEI 雪币： 0 活跃值： (586) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 21 粉丝 0 关注私信	WinDEI 24 楼 mark 2025-12-24 17:23 0
milko 雪币： 1525 活跃值： (2555) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 6 关注私信	milko 25 楼 mark，感谢分享 2025-12-25 16:03 4
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复