首页
社区
课程
招聘
[原创]WINDOWS 7下NtSetSystemInformation加载驱动新方法
发表于: 2009-4-9 14:08 10084

[原创]WINDOWS 7下NtSetSystemInformation加载驱动新方法

2009-4-9 14:08
10084
NtSetSystemInformation的0x68号命令 SystemProcessorMicrocodeUpdateInformation

此调用可以Load或Unload 处理器Microcode的更新驱动程序,当调用此命令时,会执行:

_ExpSetProcessorMicrocodeUpdateInformation->_ExpMicrocodeInformationLoad或_ExpMicrocodeInformationUnload

接着系统检查当前进程拥有LOAD DRIVER权限后,即会使用一个WorkItem来调用_ExpLoadMicrocodeImage

会加载SystemRoot\System32\mcupdate.dll(实际是个驱动)

接着会调用xHalLoadMicroCode(参数为驱动基址)完毕后调用xHalUnloadMicroCode,接着会卸载这个IMAGE

在我逆向的版本(NtBuildNumber = 7000)下xHalLoadMicroCode和xHalUnloadMicroCode

都仅有一行代码:

return STATUS_NOT_IMPLEMENTED;

所以至少7000下这个方法仅能加载驱动,不能执行代码

不过可能以后微软实现这两个函数,可以做一些猥琐的事~

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 7
支持
分享
最新回复 (13)
雪    币: 7651
活跃值: (523)
能力值: ( LV9,RANK:610 )
在线值:
发帖
回帖
粉丝
2
都用Win7了啊~正式版出了没
2009-4-9 14:14
0
雪    币: 635
活跃值: (101)
能力值: ( LV12,RANK:420 )
在线值:
发帖
回帖
粉丝
3
win7 beta 内核已经稳定了,应该不会有较大修改
改了不少猥琐的地方
2009-4-9 14:15
0
雪    币: 7651
活跃值: (523)
能力值: ( LV9,RANK:610 )
在线值:
发帖
回帖
粉丝
4
感觉这个微码更新的利用被你暴得太早了~微码更新本身还可以干点ws的事吧,在Rootkits那本书中看到过
2009-4-9 14:49
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
SystemProcessorMicrocodeUpdateInformation?貌似只是从本地更新?不是从官网更新? 先前听说WS 7是自动更新驱动的``
rootkit —>Rock—>Rockets```
2009-4-9 15:45
0
雪    币: 635
活跃值: (101)
能力值: ( LV12,RANK:420 )
在线值:
发帖
回帖
粉丝
6
爆早爆晚都是爆,没什么意思
2009-4-9 15:51
0
雪    币: 82
活跃值: (10)
能力值: (RANK:210 )
在线值:
发帖
回帖
粉丝
7
xHalLoadMicroCode
{
    xxx_sign_verify(image);
    ....
}
召唤王小姐吧.
2009-4-9 15:53
0
雪    币: 635
活跃值: (101)
能力值: ( LV12,RANK:420 )
在线值:
发帖
回帖
粉丝
8
sign_verify就八仙过海各显神通了
2009-4-9 15:58
0
雪    币: 148
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
Win7的那个计算器非常CooooooooL
2009-4-9 16:00
0
雪    币: 82
活跃值: (10)
能力值: (RANK:210 )
在线值:
发帖
回帖
粉丝
10
sign+decipher,除非能patch掉.谁说ms不玩猥琐.
2009-4-9 16:10
0
雪    币: 214
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
[QUOTE=;]...[/QUOTE]
RTM再爆差不多..现在爆估计会被修复~~~~
2009-4-9 17:20
0
雪    币: 635
活跃值: (101)
能力值: ( LV12,RANK:420 )
在线值:
发帖
回帖
粉丝
12
经常当白帽,习惯了
2009-4-9 17:22
0
雪    币: 220
活跃值: (701)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
敬佩白帽美女!
2009-4-9 19:46
0
雪    币: 615
活跃值: (1127)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
14
微软为什么不把mcupdate.dll明明白白的做成sys?
2009-4-9 21:12
0
游客
登录 | 注册 方可回帖
返回
//