Win64 驱动内核编程-32.枚举与删除注册表回调

最新推荐文章于 2022-10-27 12:33:22 发布

TK13

最新推荐文章于 2022-10-27 12:33:22 发布

阅读量2.5k

点赞数 1

分类专栏：驱动内核编程文章标签：驱动枚举与删除注册表回调宋孖健 13

本文链接：https://blog.csdn.net/u013761036/article/details/69061433

版权

本文介绍了Windows驱动中关于注册表回调的原理及其实现，阐述了如何枚举回调链表以及注册表回调在不同系统上的变化。同时，列举了三种对付注册表回调的方法，包括直接注销、替换回调地址和跳过执行。通过示例代码展示了在有360安全软件的环境下执行效果。

摘要由CSDN通过智能技术生成

枚举与删除注册表回调

注册表回调是一个监控注册表读写的回调，它的效果非常明显，一个回调能实现在SSDT 上 HOOK 十几个 API 的效果。部分游戏保护还会在注册表回调上做功夫，监控 service

键的子键，实现双层拦截驱动加载（在映像回调那里还有一层）。而在卡巴斯基等 HIPS 类软件里，则用来监控自启动等键值。

注册表回调在 XP 系统上貌似是一个数组，但是从 WINDOWS 2003 开始，就变成了一个链表。这个链表的头称为 CallbackListHead，可在 CmUnRegisterCallback 中找到：

搜索的过程跟寻找进程、线程、映像的数组类似，根据 lea REG,XXX 来定位。不过为了更加精准，这次资料中是采用两次 lea REG,XXX 来定位：

ULONG64 FindCmpCallbackAfterXP()
{
ULONG64	uiAddress=0;
PUCHAR	pCheckArea=NULL, i=0, j=0, StartAddress=0, EndAddress=0;
ULONG64	dwCheckAddr=0;
UNICODE_STRING	unstrFunc;
UCHAR b1=0,b2=0,b3=0;
ULONG templong=0,QuadPart=0xfffff800;
RtlInitUnicodeString(&unstrFunc, L"CmUnRegisterCallback");
pCheckArea = (UCHAR*)MmGetSystemRoutineAddress (&unstrFunc) ;
if (!pCheckArea)
{
KdPrint(("MmGetSystemRoutineAddress failed."));
return 0;
}
StartAddress = (PUCHAR)pCheckArea;
EndAddress = (PUCHAR)pCheckArea + PAGE_SIZE;
for(i=StartAddress;i<EndAddress;i++)
{
if( MmIsAddressValid(i) && MmIsAddressValid(i+1) && MmIsAddressValid(i+2) )
{
b1=*i;
b2=*(i+1);
b3=*(i+2);
if( b1==0x48 && b2==0x8d && b3==0x0d ) //488d0d(lea rcx,)
{
j=i-5;
b1=*j;
b2=*(j+1);
b3=*(j+2);
if( b1==0x48 && b2==0x8d && b3==0x54 ) //488d54(lea rdx,)
{
memcpy(&templong,i+3,4);
uiAddress = MakeLong64ByLong32(templong) +