驱动程序挂靠任意进程
最近学习了内核编程,虽然说学的比较浅,但是也不能有一丝丝的懈怠,生怕自己听不懂,又被班同学落(la)下……就如我的QQ个性签名一样,“有的时候,我们不停地跑啊跑,只是为了能追上那个被寄予厚望的自己……”
操作系统的内核是非常强大的,强大到令你吃惊,内存管理,进程管理,中断机制,保护机制……内核中没有进程,只有线程,都是属于系统进程下的线程,所以我们加载的驱动,都是跑在系统进程下的线程,我们想要干点“坏事”的话,挂靠到Ring3的程序是件不错的事,比如可以不停的读取被挂靠进程空间,随意写入内存,使之程序崩溃,这就达到我们的目的了,当然部分程序的健壮性还是很不错的,会有一些软件保护机制,我这里说的是除了壳以外的保护机制,反调试机制等等。我们在内核层加载后的驱动就会变成内核中的一个线程,此时这个线程的cr3还是系统的,cr3 = 0x00185000,这里说下cr3的具体含义,它是一个进程的首地址,一个进程下所有线程的cr3都是相同,线程共用系统给进程分配的4GB空间,高2GBRing3程序是无法访问的。所以简单点说,我们只需要将cr3的地址切换成被挂靠进程的cr3地址就可以了,就能实现进程挂靠。手动在Windbg下修改很容易导致系统崩溃蓝屏,所以我们一般在虚拟机里做这些实验就可以了。
这是Ring3被挂靠程序代码
int _tmain(