[原创]某预启动对漏驱驱动加载方式的拦截及绕过思路-编程技术-看雪安全社区

最近有空看了一下，某BOOT.sys会对所加载的驱动 进行IAT hook

目前会拦截的函数如下:

MmMapIOSpace

MmMapIOSpaceEx

ZwMapViewOfSection

1. 分配 NonPagedPool、创建 MDL，再建立一个可写执行映射。

2. 在其中生成跳转 trampoline，并执行 KeInvalidateAllCaches

3. 解析 ntoskrnl.exe 和 win32kbase.sys 的地址范围，安装三个内核映射包装器

这个驱动会进行以下检测：
> MmMapIoSpace / MmMapIoSpaceEx:
  → 先执行原函数
  → 检查物理范围
  → 若该物理页映射到 ntoskrnl.exe /win32kbase.sys
  → 立即 MmUnmapIoSpace
  → 返回 NULL
> 
> ZwMapViewOfSection:
ProcessHandle == 当前进程
Section 名称 == "\Device\PhysicalMemory"
SectionOffset 指向 ntoskrnl/win32k 物理页
ZwUnmapViewOfSection(...);
return STATUS_ACCESS_DENIED;   // 0xC0000022

这样做就不需要将无穷无尽的驱动sha256值记录下来并逐个拉黑，属于是"一刀切" 但是很有效的方法。这些函数正常是用来映射MMIO内存等其他内存的，正常情况下不会对内核进行修改，很聪明的办法。另外，还会hook部分驱动的ioctl值，详细在配置文件中，会hook掉指定设备名驱动的 IRP_MJ_DEVICE_CONTROL

看了一下只有被爆过cve的驱动才会有这些检测，而实际当前还尚未启用这些检测，应该是在进行兼容性检查，后续应该会上。

这样就可以以近乎完美的方式来防御我之前的“任意漏驱加载方式”，但是无法避免你有一个可以memcpy直接读写内核的驱动。最近看了一下这样的驱动也有很多，肯定还有更好的方式来检测。

至于黑签驱动的拦截应该也是一样的，对应的黑签名在配置文件有详细信息，注册回调之后拦截driverentry,直接cr0写的，猜的

而绕过方法也很简单，BOOT.sys仅会记录在它加载，设置回调之后的驱动加载事件，只需要先卸载，再将自己的驱动服务设置成BOOT事件，再安装预启动，之后加载的顺序就会变成先加载你的驱动再加载预启动，实现完美绕过。百万年薪大厂程序员居然连这个也没考虑到么。。

最近有空看了一下，某BOOT.sys会对所加载的驱动进行IAT hook

目前会拦截的函数如下:

MmMapIOSpace

MmMapIOSpaceEx

ZwMapViewOfSection

分配 NonPagedPool、创建 MDL，再建立一个可写执行映射。

在其中生成跳转 trampoline，并执行 KeInvalidateAllCaches

解析 ntoskrnl.exe 和 win32kbase.sys 的地址范围，安装三个内核映射包装器

这个驱动会进行以下检测：

MmMapIoSpace / MmMapIoSpaceEx:
→ 先执行原函数
→ 检查物理范围
→ 若该物理页映射到 ntoskrnl.exe /win32kbase.sys
→ 立即 MmUnmapIoSpace
→ 返回 NULL

ZwMapViewOfSection:
ProcessHandle == 当前进程
Section 名称 == "\Device\PhysicalMemory"
SectionOffset 指向 ntoskrnl/win32k 物理页
ZwUnmapViewOfSection(...);
return STATUS_ACCESS_DENIED; // 0xC0000022

回复或点赞可查看完整内容

[招生]科锐逆向工程师培训(2026年11月13日实地，远程教学同时开班, 第57期)

最后于 2026-10-17 09:21 被Peyriat编辑，原因：

#系统内核

git_57982Mad-Qj 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	git_57982Mad-Qj 2 楼 666 2026-10-8 22:10 0
啊你好哇123 雪币： 864 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 392 粉丝 0 关注私信	啊你好哇123 3 楼学习学习 2026-10-8 22:39 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 126 粉丝 0 关注私信	mb_urzqsoer 4 楼 ace啊 2026-10-8 23:31 0
mb_pdcqikwg 雪币： 483 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 12 粉丝 0 关注私信	mb_pdcqikwg 5 楼学习学习 2026-10-8 23:40 0
满目山河雪币： 15 活跃值： (563) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 8 粉丝 0 关注私信	满目山河 6 楼学习一下 2026-10-9 00:14 0
mb_istjhttd 雪币： 19 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_istjhttd 7 楼谢谢分享 2026-10-9 00:21 0
wonderzdh 雪币： 61 活跃值： (1156) 能力值： ( LV4，RANK：50 ) 在线值：发帖 9 回帖 324 粉丝 5 关注私信	wonderzdh 1 8 楼谢谢分享 2026-10-9 11:40 1
BOSC叛忍雪币： 194 活跃值： (766) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 33 粉丝 32 关注私信	BOSC叛忍 9 楼可以 2026-10-9 12:07 0
Deice 雪币： 113 活跃值： (2200) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	Deice 10 楼好思路 2026-10-9 13:19 0
kycgni 雪币： 28 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	kycgni 11 楼 666 2026-10-9 13:22 0
Imxz 雪币： 110 活跃值： (9656) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 786 粉丝 9 关注私信	Imxz 12 楼 666 2026-10-9 14:19 0
fengyunabc 雪币： 5454 活跃值： (6312) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 637 粉丝 27 关注私信	fengyunabc 1 13 楼感谢分享。 2026-10-9 14:34 0
xingbing 雪币： 158 活跃值： (5926) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1415 粉丝 2 关注私信	xingbing 14 楼感谢分享 2026-10-9 16:49 0
固件安全雪币： 10499 活跃值： (1342) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 30 粉丝 0 关注私信	固件安全 15 楼感谢分享 2026-10-9 17:52 0
mb_lxssmcvs 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	mb_lxssmcvs 16 楼 66666 2026-10-9 21:24 0
killleer 雪币： 1554 活跃值： (2692) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 92 粉丝 11 关注私信	killleer 17 楼看看 2026-10-9 21:44 0
hy127 雪币： 237 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	hy127 18 楼映射BOOT自己模块的内存不会拦吗？最后于 2026-10-9 21:50 被hy127编辑，原因： 2026-10-9 21:48 0
逆向爱好者雪币： 3128 活跃值： (8044) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 289 粉丝 25 关注私信	逆向爱好者 19 楼看看 2026-10-9 22:49 0
softmasm 雪币： 447 活跃值： (1139) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 25 粉丝 0 关注私信	softmasm 20 楼看看 2026-10-10 01:18 0
mb_skcwgtqh 雪币： 9 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_skcwgtqh 21 楼看看 2026-10-10 02:00 0
￡千寻不懂爱雪币： 418 活跃值： (282) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	￡千寻不懂爱 22 楼学习一下。、 2026-10-10 02:15 0
东城狂人雪币： 131 活跃值： (2340) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 75 粉丝 2 关注私信	东城狂人 23 楼看看看 2026-10-10 02:16 0
摸菲菲哟雪币： 0 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	摸菲菲哟 24 楼学习一下 2026-10-10 04:00 0
mb_rjoxthlj 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 43 粉丝 0 关注私信	mb_rjoxthlj 25 楼 666 2026-10-10 16:57 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复