让XueTr卸载不了我们的驱动

最新推荐文章于 2024-10-07 14:04:09 发布

OSReact

最新推荐文章于 2024-10-07 14:04:09 发布

阅读量1.2k

点赞数

分类专栏： Rootkit 文章标签： object deb function string null io

本文链接：https://blog.csdn.net/OSReact/article/details/7738564

版权

本文介绍了一个防止驱动被XueTr卸载的方法。通过在驱动的DriverUnload函数中设置DriverObject->DriverSection为NULL，可以阻止nt!IopDeleteDriver调用MmUnloadSystemImage卸载驱动。加载编译后的驱动并测试，XueTr的“卸载驱动(危险)”选项会变灰，无法执行卸载操作。

摘要由CSDN通过智能技术生成

先上代码溜溜:



#include <ntddk.h>
void testUnload(IN PDRIVER_OBJECT DriverObject)
{
}

NTSTATUS testDefaultHandler(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
  Irp->IoStatus.Status = STATUS_NOT_SUPPORTED;
  Irp->IoStatus.Information = 0;
  IoCompleteRequest(Irp, IO_NO_INCREMENT);
  return Irp->IoStatus.Status;
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING  RegistryPath)
{
  ULONG i;

  for (i = 0; i <= IRP_MJ_MAXIMUM_FUNCTION; i++)
    DriverObject->MajorFunction[i] = testDefaultHandler;
  
  DriverObject->DriverUnload = testUnload;

  return STATUS_SUCCESS;
}

驱动卸载时，函数调用如下：