首页
课程
问答
CTF
社区
招聘
峰会
发现
排行榜
知识库
工具下载
看雪20年
看雪商城
证书查询
登录
注册
首页
社区
课程
招聘
发现
问答
CTF
排行榜
知识库
工具下载
峰会
看雪商城
证书查询
社区
编程技术
发新帖
6
66
[原创]某预启动对漏驱驱动加载方式的拦截
发表于: 2天前
832
[原创]某预启动对漏驱驱动加载方式的拦截
Peyriat
2天前
832
最近有空看了一下，某BOOT.sys会对所加载的驱动 进行IAT hook 目前会拦截的函数如下: MmMapIOSpace MmMapIOSpaceEx ZwMapViewOfSection 1. 分配 NonPagedPool、创建 MDL，再建立一个可写执行映射。 2. 在其中生成跳转 trampoline，并执行 KeInvalidateAllCaches 3. 解析 ntoskrnl.exe 和 win32kbase.sys 的地址范围，安装三个内核映射包装器 这个驱动会进行以下检测： > MmMapIoSpace / MmMapIoSpaceEx: → 先执行原函数 → 检查物理范围 → 若该物理页映射到 ntoskrnl.exe /win32kbase.sys → 立即 MmUnmapIoSpace → 返回 NULL > > ZwMapViewOfSection: ProcessHandle == 当前进程 Section 名称 == "\Device\PhysicalMemory" SectionOffset 指向 ntoskrnl/win32k 物理页 ZwUnmapViewOfSection(...); return STATUS_ACCESS_DENIED; // 0xC0000022 这样做就不需要将无穷无尽的驱动sha256值记录下来并逐个拉黑，属于是"一刀切" 但是很有效的方法。这些函数正常是用来映射MMIO内存等其他内存的，正常情况下不会对内核进行修改，很聪明的办法。另外，还会hook部分驱动的ioctl值，详细在配置文件中，会hook掉指定设备名驱动的 IRP_MJ_DEVICE_CONTROL 看了一下只有被爆过cve的驱动才会有这些检测，而实际当前还尚未启用这些检测，应该是在进行兼容性检查，后续应该会上。 这样就可以以近乎完美的方式来防御我之前的“任意漏驱加载方式”，但是无法避免你有一个可以memcpy直接读写内核的驱动。最近看了一下这样的驱动也有很多，肯定还有更好的方式来检测。 至于黑签驱动的拦截应该也是一样的，对应的黑签名在配置文件有详细信息，注册回调之后拦截driverentry,直接cr0写的，猜的
回复或点赞可查看完整内容
冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。
最后于
1天前 被Peyriat编辑 ，原因：
#系统内核
收藏
・
6
点赞
・
66
打赏
分享
分享到微信
分享到QQ
分享到微博
赞赏记录
参与人
雪币
留言
时间
mb_fmiuohnl
谢谢你的细致分析，受益匪浅！
49分钟前
syser
非常支持你的观点！
1小时前
老六喵
为你点赞！
1小时前
C0D1
感谢你的积极参与，期待更多精彩内容！
2小时前
云月
谢谢你的细致分析，受益匪浅！
2小时前
mb_bzztlmaj
感谢你的贡献，论坛因你而更加精彩！
3小时前
Dy1an
谢谢你的细致分析，受益匪浅！
3小时前
mb_iesvmzqc
感谢你的贡献，论坛因你而更加精彩！
4小时前
风兮木晓
非常支持你的观点！
5小时前
hypersine
你的分享对大家帮助很大，非常感谢！
6小时前
Rainbow丶
你的帖子非常有用，感谢分享！
6小时前
mb_slilvodq
期待更多优质内容的分享，论坛有你更精彩！
6小时前
mb_wspiyiep
感谢你分享这么好的资源！
7小时前
tank小王子
+6
谢谢你的细致分析，受益匪浅！
8小时前
JGwebre
谢谢你的细致分析，受益匪浅！
10小时前
mb_xujtvamv
+1
感谢你的贡献，论坛因你而更加精彩！
10小时前
wpwpahj
这个讨论对我很有帮助，谢谢！
11小时前
loqich
非常支持你的观点！
11小时前
milko
谢谢你的细致分析，受益匪浅！
11小时前
AaronS
你的帖子非常有用，感谢分享！
12小时前
ONewTach
你的帖子非常有用，感谢分享！
12小时前
你与明日
非常支持你的观点！
19小时前
小柯南
为你点赞！
21小时前
siryuan
非常支持你的观点！
23小时前
hy127
感谢你的积极参与，期待更多精彩内容！
23小时前
漆寒
感谢你的积极参与，期待更多精彩内容！
23小时前
wx_苏_591
为你点赞！
23小时前
mb_timxattr
感谢你的积极参与，期待更多精彩内容！
1天前
mb_itubdqgo
谢谢你的细致分析，受益匪浅！
1天前
xxxark
这个讨论对我很有帮助，谢谢！
1天前
mb_aimiyfrp
感谢你分享这么好的资源！
1天前
长剑一杯酒
感谢你的贡献，论坛因你而更加精彩！
1天前
eappple
你的分享对大家帮助很大，非常感谢！
1天前
远洋方舟
你的分享对大家帮助很大，非常感谢！
1天前
DannysMask
你的帖子非常有用，感谢分享！
1天前
mb_wdhsjycl
感谢你分享这么好的资源！
1天前
mb_kphqygvr
这个讨论对我很有帮助，谢谢！
1天前
只会逆一点点
这个讨论对我很有帮助，谢谢！
1天前
Qfrost
为你点赞！
1天前
saloyun
谢谢你的细致分析，受益匪浅！
1天前
mb_thmdyxrm
感谢你的贡献，论坛因你而更加精彩！
1天前
mb_dtidoewd
感谢你的贡献，论坛因你而更加精彩！
1天前
cloudhoter
为你点赞！
1天前
我的小拇指啊
非常支持你的观点！
1天前
Abelly
感谢你的积极参与，期待更多精彩内容！
1天前
寒冰心结
为你点赞！
1天前
Azuria
非常支持你的观点！
1天前
asd
为你点赞！
1天前
Istaroth
感谢你的积极参与，期待更多精彩内容！
1天前
R0g
为你点赞！
1天前
mb_hzfcelhs
这个讨论对我很有帮助，谢谢！
1天前
璀璨访华
为你点赞！
1天前
mb_xknjnwpm
这个讨论对我很有帮助，谢谢！
1天前
mb_bogoqnvg
这个讨论对我很有帮助，谢谢！
1天前
lpmjknj
感谢你的贡献，论坛因你而更加精彩！
1天前
cavan
非常支持你的观点！
1天前
mb_gqhzzubh
为你点赞！
1天前
mb_tuinapal
谢谢你的细致分析，受益匪浅！
1天前
rainy233
感谢你的贡献，论坛因你而更加精彩！
1天前
lialong
你的帖子非常有用，感谢分享！
1天前
X-Blades
期待更多优质内容的分享，论坛有你更精彩！
1天前
mb_heqvlbnm
感谢你分享这么好的资源！
1天前
mb_argpsphl
非常支持你的观点！
1天前
ZGADO
感谢你分享这么好的资源！
2天前
eroy
+1
为你点赞！
2天前
顽劣
你的帖子非常有用，感谢分享！
2天前
查看更多
赞赏
×
1 雪花
5 雪花
10 雪花
20 雪花
50 雪花
80 雪花
100 雪花
150 雪花
200 雪花
支付方式：
微信支付
赞赏留言：
快捷留言
感谢分享～
精品文章～
原创内容～
精彩转帖～
助人为乐～
感谢分享～
最新回复
(
28
)
1
2
▶
git_57982Mad-Qj
雪 币：
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
4
粉丝
0
关注
私信
git_57982Mad-Qj
2
楼
666
1天前
0
啊你好哇123
雪 币：
796
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
375
粉丝
0
关注
私信
啊你好哇123
3
楼
学习学习
1天前
0
mb_urzqsoer
雪 币：
206
能力值：
( LV1，RANK：0 )
在线值：
发帖
1
回帖
121
粉丝
0
关注
私信
mb_urzqsoer
4
楼
ace啊
1天前
0
mb_pdcqikwg
雪 币：
457
能力值：
( LV1，RANK：0 )
在线值：
发帖
1
回帖
12
粉丝
0
关注
私信
mb_pdcqikwg
5
楼
学习学习
1天前
0
满目山河
雪 币：
15
活跃值：
(503)
能力值：
( LV2，RANK：10 )
在线值：
发帖
2
回帖
8
粉丝
0
关注
私信
满目山河
6
楼
学习一下
1天前
0
mb_istjhttd
雪 币：
19
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
2
粉丝
0
关注
私信
mb_istjhttd
7
楼
谢谢分享
1天前
0
wonderzdh
雪 币：
61
活跃值：
(1126)
能力值：
( LV4，RANK：50 )
在线值：
发帖
9
回帖
324
粉丝
5
关注
私信
wonderzdh
1
8
楼
谢谢分享
1天前
1
BOSC叛忍
雪 币：
210
活跃值：
(721)
能力值：
( LV2，RANK：10 )
在线值：
发帖
9
回帖
30
粉丝
29
关注
私信
BOSC叛忍
9
楼
可以
1天前
0
Deice
雪 币：
113
活跃值：
(2140)
能力值：
( LV2，RANK：10 )
在线值：
发帖
0
回帖
24
粉丝
0
关注
私信
Deice
10
楼
好思路
1天前
0
kycgni
雪 币：
28
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
8
粉丝
0
关注
私信
kycgni
11
楼
666
1天前
0
Imxz
雪 币：
110
活跃值：
(9571)
能力值：
( LV2，RANK：10 )
在线值：
发帖
6
回帖
775
粉丝
9
关注
私信
Imxz
12
楼
666
1天前
0
fengyunabc
雪 币：
5414
活跃值：
(6232)
能力值：
( LV4，RANK：50 )
在线值：
发帖
11
回帖
634
粉丝
27
关注
私信
fengyunabc
1
13
楼
感谢分享。
1天前
0
xingbing
雪 币：
158
活跃值：
(5791)
能力值：
( LV2，RANK：10 )
在线值：
发帖
2
回帖
1400
粉丝
2
关注
私信
xingbing
14
楼
感谢分享
1天前
0
固件安全
雪 币：
10500
活跃值：
(1307)
能力值：
( LV2，RANK：10 )
在线值：
发帖
1
回帖
30
粉丝
0
关注
私信
固件安全
15
楼
感谢分享
1天前
0
mb_lxssmcvs
雪 币：
200
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
14
粉丝
0
关注
私信
mb_lxssmcvs
16
楼
66666
23小时前
0
killleer
雪 币：
1554
活跃值：
(2647)
能力值：
( LV2，RANK：10 )
在线值：
发帖
3
回帖
92
粉丝
11
关注
私信
killleer
17
楼
看看
23小时前
0
hy127
雪 币：
237
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
3
粉丝
0
关注
私信
hy127
18
楼
映射BOOT自己模块的内存不会拦吗？
最后于
23小时前 被hy127编辑 ，原因：
23小时前
0
逆向爱好者
雪 币：
3557
活跃值：
(7939)
能力值：
( LV3，RANK：20 )
在线值：
发帖
37
回帖
288
粉丝
25
关注
私信
逆向爱好者
19
楼
看看
22小时前
0
softmasm
雪 币：
447
活跃值：
(1094)
能力值：
( LV2，RANK：10 )
在线值：
发帖
3
回帖
22
粉丝
0
关注
私信
softmasm
20
楼
看看
19小时前
0
mb_skcwgtqh
雪 币：
9
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
2
粉丝
0
关注
私信
mb_skcwgtqh
21
楼
看看
19小时前
0
￡千寻不懂爱
雪 币：
418
活跃值：
(277)
能力值：
( LV2，RANK：10 )
在线值：
发帖
0
回帖
19
粉丝
0
关注
私信
￡千寻不懂爱
22
楼
学习一下。
、
18小时前
0
东城狂人
雪 币：
124
活跃值：
(2290)
能力值：
( LV2，RANK：10 )
在线值：
发帖
9
回帖
74
粉丝
2
关注
私信
东城狂人
23
楼
看看看
18小时前
0
摸菲菲哟
雪 币：
0
活跃值：
(20)
能力值：
( LV2，RANK：10 )
在线值：
发帖
0
回帖
1
粉丝
0
关注
私信
摸菲菲哟
24
楼
学习一下
17小时前
0
mb_rjoxthlj
雪 币：
0
能力值：
( LV1，RANK：0 )
在线值：
发帖
1
回帖
42
粉丝
0
关注
私信
mb_rjoxthlj
25
楼
666
4小时前
0
游客
登录
|
注册
方可回帖
回帖
表情
雪币赚取及消费
高级回复
1
2
▶
返回
Peyriat
3
发帖
13
回帖
10
RANK
关注
私信
他的文章
[原创]某预启动对漏驱驱动加载方式的拦截
810
[原创] 一种新的虚拟内存转物理内存方式
399
[原创]利用任意物理读写驱动来加载自己的驱动
21042
关于我们
联系我们
企业服务
看雪公众号
专注于PC、移动、智能设备安全研究及逆向工程的开发者社区
看原图
赞赏
×
雪币:
+
留言:
快捷留言
为你点赞！
返回
顶部
