[原创]ClipSp.sys中的硬盘型号与序列号的写入逆向-逆向工程-看雪安全社区

# 虚拟机：WIN11 24H2
# 0、前情回顾：
在之前的文章中通过Powershell使用CIM指令查询了硬盘的相关信息：
```
# powershell
Get-CimInstance -ClassName MSFT_PhysicalDisk -Namespace root/Microsoft/Windows/Storage | Select-Object FriendlyName, SerialNumber, UniqueId
```
用CE搜索char*类型的序列号时，有一个地址是在ClipSp.sys中的：
 ![](upload/attach/202601/907221_YJGGAC4FAM5QAHJ.webp)
# 1、逆向思路
我们就来简单解析一下想要知道他的来源该如何操作，首先我们记录下它距离模块基址的偏移=0x9F024，重启虚拟机，第一次断点断下时重新加载符号（否则只有nt一个模块有符号），可以看到此时还未将硬盘序列号写入这个地址，我们对地址头部下1字节硬件写入断点：
 ![](upload/attach/202601/907221_GSNQAA9T72UKDB5.webp)
之后直接运行虚拟机，当我们进入登陆页面输入密码后才会触发断点:
 ![](upload/attach/202601/907221_GESR5GYDQSQUKEB.webp)
我们当前断下的位置你也可以到IDA分析，或者查看调用堆栈进行分析，因为属于能用IDA正常分析的普通情况我们这里就暂时略过。我们继续执行。
我们记录下第二次断下的位置后，到IDA中查看： ![](upload/attach/202601/907221_QJ5NSMJJMNX5HMD.webp)
 ![](upload/attach/202601/907221_DVAQVS9ZDP242F2.webp)
可以看到IDA中的字节与windbg断下的位置的字节并不相符，这种情况在nt模块的初始化函数中也能看到。对于这种情况我们用windbg分析即可。
我们先查看全部寄存器的值，然后查看rcx寄存器的值，发现rcx存储了我们的硬盘序列号，那么我们追rcx的来源即可。然后-0x100字节查看汇编代码：
 ![](upload/attach/202601/907221_55C6UB5X5HC6EW5.webp) ![](upload/attach/202601/907221_6E26HACUNX3QBQ9.webp)
 ![](upload/attach/202601/907221_22UT44F4W7USQZE.webp)
那么我们用windbg查看调用的这两个函数分别是什么：
 ![](upload/attach/202601/907221_QGF5TMY4NJWR27P.webp)
所以这里的执行流程就是调用ExAllocatePool2申请内存，再调用ZwDeviceIoControlFile，用我们申请的内存当作OutputBuffer接收数据。我们计算下这两个函数的调用点距离模块基址的偏移分为：0xF11E6和0xF123E。我们重启电脑，在他申请内存之前断下，我们重启后先直接查看这两个地址的汇编代码：
 ![](upload/attach/202601/907221_EZS7PBAYBBHH7T5.webp)
可以看到依旧不是真实的代码段数据，所以和之前一样我们先对clipsp+0x9F024的位置下硬件写入断点。进入登陆界面输入密码断下后，再查看0xF11E6和0xF123E偏移的位置：
 ![](upload/attach/202601/907221_SRWUGY7RGQK5CF5.webp)
可以看到当且仅当我们的Rip指针断在clipsp模块内时，代码段就是解密后的数据了。我们对这两个地址下软件断点。
 ![](upload/attach/202601/907221_VAQCT38XHUA7HVP.webp)
我们就拿到了作为ZwDeviceIoControlFile函数输出缓冲区的申请的内存的地址，调用ZwDeviceIoControlFile之后就会在输出缓冲区中写入我们的硬盘信息。
 ![](upload/attach/202601/907221_8TRREBW2479RUU4.webp)
从上图中可以看到调用ZwDeviceIoControlFile之后，地址ffffe78c6666d740就分别在+0x39的偏移处写入了硬盘的名称，在+8B的位置写入了硬盘的序列号。所以我们继续重启，对申请到的内存+0x39和+0x8B的位置下硬件写入断点。
 ![](upload/attach/202601/907221_RP5K4S24EJBK2CZ.webp)
 ![](upload/attach/202601/907221_KFPRCYPVNMBJYJ4.webp)
断下后我们查看堆栈返回，发现就是我们应用层使用DeviceIoControl，控制码IOCTL_STORAGE_QUERY_PROPERTY查询的流程，因为调用了函数RaUnitStorageQueryPropertyIoctl，如果是使用IOCTL_SCSI_PASS_THROUGH进行查询的话，走的就是RaUnitScsiPassThroughIoctl函数了。那我们当作不知道这种查询是如何获取序列号的来继续逆向，我们根据堆栈返回一层一层的逐级往上分析：
 ![](upload/attach/202601/907221_ZUZJTF7WX4K5R82.webp)
 ![](upload/attach/202601/907221_ZPEMXG98HQE4AUG.webp)
 ![](upload/attach/202601/907221_EB7H5ZBV7FGVDQT.webp)
 ![](upload/attach/202601/907221_6XGFK7RBUMUDX6Z.webp) ![](upload/attach/202601/907221_492TND4UFTCDJGB.webp) ![](upload/attach/202601/907221_JYAD8D7ARDSEAE6.webp)
我们发现一直追下去貌似有问题，那么此时我们就对堆栈返回中最近的除nt模块外最远调用返回处，在调用之前下断，查看0x70与0x18的位置值得情况。我们重启后依旧是执行之前的操作，在调用函数ZwDeviceIoControlFile之前，才对RaUnitDeviceControlIrp的调用处下软件断点，避免系统其他位置调用干扰：
 ![](upload/attach/202601/907221_VWEY9EJH4FBXX4Z.webp) ![](upload/attach/202601/907221_Q7EU937MKG8WC9K.webp) ![](upload/attach/202601/907221_5KPRTXZUYGE4KNS.webp)
如果你从未分析过这个函数的话建议先看这个函数：IofCallDriver
 ![](upload/attach/202601/907221_FKF59T4HRKSFGC7.webp)
查看堆栈可以知道，从IofCallDriver进入函数RaDriverDeviceControlIrp，说明函数RaDriverDeviceControlIrp的参数1是DeviceObject类型的，我们就在IDA中修改参数1的类型：
 ![](upload/attach/202601/907221_JMANF8395GF5R7D.webp)
回到函数RaGetUnitStorageDeviceProperty，可以分析得出他的参数1是DeviceExtension，在storport中它对应的结构是_RAID_UNIT_EXTENSION，我们修改参数1的类型后：
 ![](upload/attach/202601/907221_KRBUMRWJC4MN2YP.webp)
所以现在我们重启，在执行ZwDeviceIoControlFile之前对函数RaGetUnitStorageDeviceProperty下软件断点。
 ![](upload/attach/202601/907221_BANAGNY4DYR4JAM.webp) ![](upload/attach/202601/907221_67H4FBQQ6A6H2E9.webp)
说明clipsp.sys中保存的硬盘序列号就是通过复制这里的数据获取到的。
接下来我们打开DeviceTree，搜索Device，RaidPort，点击搜索到的结果的上方的Device，验证Type是否是FILE_DEVICE_DISK：
 ![](upload/attach/202601/907221_THQANJ6TRARXBEY.webp)
 ![](upload/attach/202601/907221_APSCHQSGQSMAESB.webp)
我们这里拿到的DeviceExtension和我们刚刚拿到的就是一致的，这也是绝大多数开源的HWID Spoofer源码修改机器码所使用的方式。当然他们的cllipsp.sys下的序列号肯定是没有改的。

最新回复 (75) 1 2 3 4 ▶
wx_勺勺其华- 雪币： 1 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	wx_勺勺其华- 2 楼 xiexiefenxiang 2026-1-3 23:18 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 121 粉丝 0 关注私信	mb_urzqsoer 3 楼太牛逼了 2026-1-4 02:03 0
xtayaitak 雪币： 91 活跃值： (894) 能力值： ( LV2，RANK：10 ) 在线值：发帖 21 回帖 228 粉丝 0 关注私信	xtayaitak 4 楼厉害 2026-1-4 04:59 0
mb_aopnnvxb 雪币： 97 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 81 粉丝 0 关注私信	mb_aopnnvxb 5 楼 mark 2026-1-4 09:15 0
wx_庸才雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	wx_庸才 6 楼学习 2026-1-4 09:52 0
a小灰灰雪币： 241 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 14 粉丝 0 关注私信	a小灰灰 7 楼 mark 2026-1-4 13:01 0
ldsjlm 雪币： 148 活跃值： (727) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 35 粉丝 0 关注私信	ldsjlm 8 楼学习 2026-1-4 13:23 0
EX呵呵雪币： 637 活跃值： (7048) 能力值： ( LV3，RANK：25 ) 在线值：发帖 8 回帖 245 粉丝 11 关注私信	EX呵呵 9 楼字节不相符可能是warbird动态解密执行的代码 2026-1-4 15:34 0
ddwwtom 雪币： 100 活跃值： (481) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 15 粉丝 0 关注私信	ddwwtom 10 楼学习一下 2026-1-4 18:01 0
啊你好哇123 雪币： 799 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 378 粉丝 0 关注私信	啊你好哇123 11 楼学习 2026-1-4 20:28 0
mb_rqlksylg 雪币： 96 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 75 粉丝 0 关注私信	mb_rqlksylg 12 楼 666 2026-1-5 03:39 0
mb_dtqtssbk 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	mb_dtqtssbk 13 楼谢谢谢谢 2026-1-5 06:44 0
milko 雪币： 1525 活跃值： (2555) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 6 关注私信	milko 14 楼 mark 2026-1-5 08:37 0
hzqst 雪币： 13006 活跃值： (10082) 能力值： ( LV9，RANK：280 ) 在线值：发帖 48 回帖 1818 粉丝 658 关注私信	hzqst 3 15 楼 mark 2026-1-5 17:11 0
萌新的名字雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	萌新的名字 16 楼 mark 2026-1-5 17:15 0
DannysMask 雪币： 1565 活跃值： (3142) 能力值： ( LV5，RANK：70 ) 在线值：发帖 9 回帖 5 粉丝 68 关注私信	DannysMask 17 楼关于解密后的代码段Dump问题：断在ClipSp.sys内后，windbg .writemem C:\clipsp_dump.bin [clipsp.sys base] [clipsp.sys end]，也可以dump下解密后的代码段，IDA中定位时用字节码搜索，windbg中的偏移与IDA中对不上时，直接相减，IDA中定位那两个函数指针的偏移同样需要减去刚刚计算的差值。 2026-1-5 17:18 1
wujimaa 雪币： 364 活跃值： (3117) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 211 粉丝 1 关注私信	wujimaa 1 18 楼 66666 2026-1-5 17:43 0
逆向爱好者雪币： 3557 活跃值： (7944) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 288 粉丝 25 关注私信	逆向爱好者 19 楼牛逼牛逼牛逼 2026-1-5 18:33 0
lhglhg 雪币： 221 活跃值： (3421) 能力值： ( LV4，RANK：50 ) 在线值：发帖 8 回帖 480 粉丝 5 关注私信	lhglhg 1 20 楼为你点赞！ 2026-1-5 21:30 0
cavan 雪币： 273 活跃值： (834) 能力值： ( LV2，RANK：10 ) 在线值：发帖 27 回帖 160 粉丝 3 关注私信	cavan 21 楼谢谢分享 2026-1-5 22:45 0
hungnguyen 雪币： 188 活跃值： (2176) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 114 粉丝 0 关注私信	hungnguyen 22 楼太牛逼了 2026-1-5 22:46 0
mb_lavnftwd 雪币： 125 活跃值： (221) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	mb_lavnftwd 23 楼谢谢分享 2026-1-6 08:38 0
joker陈雪币： 12279 活跃值： (4445) 能力值： ( LV5，RANK：71 ) 在线值：发帖 19 回帖 369 粉丝 4 关注私信	joker陈 24 楼谢谢分享 2026-1-6 10:25 0
Crocky 雪币： 9 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	Crocky 25 楼谢谢分享 2026-1-7 00:23 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复