首页
课程
问答
CTF
社区
招聘
峰会
发现
排行榜
知识库
工具下载
看雪20年
看雪商城
证书查询
登录
注册
首页
社区
课程
招聘
发现
问答
CTF
排行榜
知识库
工具下载
峰会
看雪商城
证书查询
社区
编程技术
发新帖
3
45
[原创]某预启动对漏驱驱动加载方式的拦截
发表于: 1天前
634
[原创]某预启动对漏驱驱动加载方式的拦截
Peyriat
1天前
634
最近有空看了一下，某BOOT.sys会对所加载的驱动 进行IAT hook 目前会拦截的函数如下: MmMapIOSpace MmMapIOSpaceEx ZwMapViewOfSection 1. 分配 NonPagedPool、创建 MDL，再建立一个可写执行映射。 2. 在其中生成跳转 trampoline，并执行 KeInvalidateAllCaches 3. 解析 ntoskrnl.exe 和 win32kbase.sys 的地址范围，安装三个内核映射包装器 这个驱动会进行以下检测： > MmMapIoSpace / MmMapIoSpaceEx: → 先执行原函数 → 检查物理范围 → 若该物理页映射到 ntoskrnl.exe /win32kbase.sys → 立即 MmUnmapIoSpace → 返回 NULL > > ZwMapViewOfSection: ProcessHandle == 当前进程 Section 名称 == "\Device\PhysicalMemory" SectionOffset 指向 ntoskrnl/win32k 物理页 ZwUnmapViewOfSection(...); return STATUS_ACCESS_DENIED; // 0xC0000022 这样做就不需要将无穷无尽的驱动sha256值记录下来并逐个拉黑，属于是"一刀切" 但是很有效的方法。这些函数正常是用来映射MMIO内存等其他内存的，正常情况下不会对内核进行修改，很聪明的办法。另外，还会hook部分驱动的ioctl值，详细在配置文件中，会hook掉指定设备名驱动的 IRP_MJ_DEVICE_CONTROL 看了一下只有被爆过cve的驱动才会有这些检测，而实际当前还尚未启用这些检测，应该是在进行兼容性检查，后续应该会上。 这样就可以以近乎完美的方式来防御我之前的“任意漏驱加载方式”，但是无法避免你有一个可以memcpy直接读写内核的驱动。最近看了一下这样的驱动也有很多，肯定还有更好的方式来检测。 至于黑签驱动的拦截应该也是一样的，对应的黑签名在配置文件有详细信息，注册回调之后拦截driverentry,直接cr0写的，猜的
回复或点赞可查看完整内容
冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。
最后于
22小时前 被Peyriat编辑 ，原因：
#系统内核
收藏
・
3
点赞
・
45
打赏
分享
分享到微信
分享到QQ
分享到微博
赞赏记录
参与人
雪币
留言
时间
你与明日
非常支持你的观点！
4小时前
小柯南
为你点赞！
7小时前
siryuan
非常支持你的观点！
8小时前
hy127
感谢你的积极参与，期待更多精彩内容！
9小时前
漆寒
感谢你的积极参与，期待更多精彩内容！
9小时前
wx_苏_591
为你点赞！
9小时前
mb_timxattr
感谢你的积极参与，期待更多精彩内容！
10小时前
mb_itubdqgo
谢谢你的细致分析，受益匪浅！
13小时前
xxxark
这个讨论对我很有帮助，谢谢！
13小时前
mb_aimiyfrp
感谢你分享这么好的资源！
13小时前
长剑一杯酒
感谢你的贡献，论坛因你而更加精彩！
14小时前
eappple
你的分享对大家帮助很大，非常感谢！
14小时前
远洋方舟
你的分享对大家帮助很大，非常感谢！
14小时前
DannysMask
你的帖子非常有用，感谢分享！
14小时前
mb_wdhsjycl
感谢你分享这么好的资源！
14小时前
mb_kphqygvr
这个讨论对我很有帮助，谢谢！
16小时前
只会逆一点点
这个讨论对我很有帮助，谢谢！
16小时前
Qfrost
为你点赞！
17小时前
saloyun
谢谢你的细致分析，受益匪浅！
17小时前
mb_thmdyxrm
感谢你的贡献，论坛因你而更加精彩！
17小时前
mb_dtidoewd
感谢你的贡献，论坛因你而更加精彩！
17小时前
cloudhoter
为你点赞！
17小时前
我的小拇指啊
非常支持你的观点！
18小时前
Abelly
感谢你的积极参与，期待更多精彩内容！
18小时前
寒冰心结
为你点赞！
18小时前
Azuria
非常支持你的观点！
18小时前
asd
为你点赞！
19小时前
Istaroth
感谢你的积极参与，期待更多精彩内容！
19小时前
R0g
为你点赞！
19小时前
mb_hzfcelhs
这个讨论对我很有帮助，谢谢！
21小时前
璀璨访华
为你点赞！
22小时前
mb_xknjnwpm
这个讨论对我很有帮助，谢谢！
22小时前
mb_bogoqnvg
这个讨论对我很有帮助，谢谢！
22小时前
lpmjknj
感谢你的贡献，论坛因你而更加精彩！
1天前
cavan
非常支持你的观点！
1天前
mb_gqhzzubh
为你点赞！
1天前
mb_tuinapal
谢谢你的细致分析，受益匪浅！
1天前
rainy233
感谢你的贡献，论坛因你而更加精彩！
1天前
lialong
你的帖子非常有用，感谢分享！
1天前
X-Blades
期待更多优质内容的分享，论坛有你更精彩！
1天前
mb_heqvlbnm
感谢你分享这么好的资源！
1天前
mb_argpsphl
非常支持你的观点！
1天前
ZGADO
感谢你分享这么好的资源！
1天前
eroy
+1
为你点赞！
1天前
顽劣
你的帖子非常有用，感谢分享！
1天前
查看更多
赞赏
×
1 雪花
5 雪花
10 雪花
20 雪花
50 雪花
80 雪花
100 雪花
150 雪花
200 雪花
支付方式：
微信支付
赞赏留言：
快捷留言
感谢分享～
精品文章～
原创内容～
精彩转帖～
助人为乐～
感谢分享～
最新回复
(
23
)
git_57982Mad-Qj
雪 币：
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
4
粉丝
0
关注
私信
git_57982Mad-Qj
2
楼
666
1天前
0
啊你好哇123
雪 币：
796
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
375
粉丝
0
关注
私信
啊你好哇123
3
楼
学习学习
1天前
0
mb_urzqsoer
雪 币：
206
能力值：
( LV1，RANK：0 )
在线值：
发帖
1
回帖
121
粉丝
0
关注
私信
mb_urzqsoer
4
楼
ace啊
1天前
0
mb_pdcqikwg
雪 币：
457
能力值：
( LV1，RANK：0 )
在线值：
发帖
1
回帖
12
粉丝
0
关注
私信
mb_pdcqikwg
5
楼
学习学习
1天前
0
满目山河
雪 币：
15
活跃值：
(498)
能力值：
( LV2，RANK：10 )
在线值：
发帖
2
回帖
8
粉丝
0
关注
私信
满目山河
6
楼
学习一下
1天前
0
mb_istjhttd
雪 币：
19
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
2
粉丝
0
关注
私信
mb_istjhttd
7
楼
谢谢分享
1天前
0
wonderzdh
雪 币：
61
活跃值：
(1126)
能力值：
( LV4，RANK：50 )
在线值：
发帖
9
回帖
324
粉丝
5
关注
私信
wonderzdh
1
8
楼
谢谢分享
19小时前
1
BOSC叛忍
雪 币：
210
活跃值：
(716)
能力值：
( LV2，RANK：10 )
在线值：
发帖
9
回帖
30
粉丝
29
关注
私信
BOSC叛忍
9
楼
可以
19小时前
0
Deice
雪 币：
113
活跃值：
(2135)
能力值：
( LV2，RANK：10 )
在线值：
发帖
0
回帖
24
粉丝
0
关注
私信
Deice
10
楼
好思路
17小时前
0
kycgni
雪 币：
28
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
8
粉丝
0
关注
私信
kycgni
11
楼
666
17小时前
0
Imxz
雪 币：
110
活跃值：
(9571)
能力值：
( LV2，RANK：10 )
在线值：
发帖
6
回帖
775
粉丝
9
关注
私信
Imxz
12
楼
666
16小时前
0
fengyunabc
雪 币：
5404
活跃值：
(6227)
能力值：
( LV4，RANK：50 )
在线值：
发帖
11
回帖
634
粉丝
27
关注
私信
fengyunabc
1
13
楼
感谢分享。
16小时前
0
xingbing
雪 币：
158
活跃值：
(5786)
能力值：
( LV2，RANK：10 )
在线值：
发帖
2
回帖
1400
粉丝
2
关注
私信
xingbing
14
楼
感谢分享
14小时前
0
固件安全
雪 币：
10500
活跃值：
(1307)
能力值：
( LV2，RANK：10 )
在线值：
发帖
1
回帖
30
粉丝
0
关注
私信
固件安全
15
楼
感谢分享
13小时前
0
mb_lxssmcvs
雪 币：
200
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
14
粉丝
0
关注
私信
mb_lxssmcvs
16
楼
66666
9小时前
0
killleer
雪 币：
1554
活跃值：
(2647)
能力值：
( LV2，RANK：10 )
在线值：
发帖
3
回帖
92
粉丝
11
关注
私信
killleer
17
楼
看看
9小时前
0
hy127
雪 币：
237
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
3
粉丝
0
关注
私信
hy127
18
楼
映射BOOT自己模块的内存不会拦吗？
最后于
9小时前 被hy127编辑 ，原因：
9小时前
0
逆向爱好者
雪 币：
3557
活跃值：
(7934)
能力值：
( LV3，RANK：20 )
在线值：
发帖
37
回帖
288
粉丝
25
关注
私信
逆向爱好者
19
楼
看看
8小时前
0
softmasm
雪 币：
447
活跃值：
(1094)
能力值：
( LV2，RANK：10 )
在线值：
发帖
3
回帖
22
粉丝
0
关注
私信
softmasm
20
楼
看看
5小时前
0
mb_skcwgtqh
雪 币：
9
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
2
粉丝
0
关注
私信
mb_skcwgtqh
21
楼
看看
5小时前
0
￡千寻不懂爱
雪 币：
418
活跃值：
(277)
能力值：
( LV2，RANK：10 )
在线值：
发帖
0
回帖
19
粉丝
0
关注
私信
￡千寻不懂爱
22
楼
学习一下。
、
4小时前
0
东城狂人
雪 币：
124
活跃值：
(2290)
能力值：
( LV2，RANK：10 )
在线值：
发帖
9
回帖
74
粉丝
2
关注
私信
东城狂人
23
楼
看看看
4小时前
0
摸菲菲哟
雪 币：
0
活跃值：
(20)
能力值：
( LV2，RANK：10 )
在线值：
发帖
0
回帖
1
粉丝
0
关注
私信
摸菲菲哟
24
楼
学习一下
3小时前
0
游客
登录
|
注册
方可回帖
回帖
表情
雪币赚取及消费
高级回复
返回
Peyriat
3
发帖
13
回帖
10
RANK
关注
私信
他的文章
[原创]某预启动对漏驱驱动加载方式的拦截
625
[原创] 一种新的虚拟内存转物理内存方式
399
[原创]利用任意物理读写驱动来加载自己的驱动
21042
关于我们
联系我们
企业服务
看雪公众号
专注于PC、移动、智能设备安全研究及逆向工程的开发者社区
看原图
赞赏
×
雪币:
+
留言:
快捷留言
为你点赞！
返回
顶部
