阻止反外挂GPK/sys加载思路

最新推荐文章于 2024-11-10 14:34:06 发布

w6331711

最新推荐文章于 2024-11-10 14:34:06 发布

阅读量4.8k

点赞数 1

分类专栏：暗组驱动处理器文章标签： hook null callback windows byte image

本文链接：https://blog.csdn.net/w6331711/article/details/6621268

版权

本文介绍了防止反外挂GPK/sys驱动加载的思路，通过Hook NtCreateSection API来阻止驱动在内核内存空间的映射。详细阐述了驱动加载流程，并提供了C-C++代码示例，展示了如何在DriverEntry中实现Hook，以及回调函数CallBack_NtCreateSection的行为判断，以判断并阻止加载执行权限的驱动。

摘要由CSDN通过智能技术生成

思路建议：

sys 驱动加载之前，要 CreateService ，试试拦截这个api？或者更底层？

不重启的话，Hook ZwLoadDriver,ZwSetSysteminformation基本就差不多了

createservice,zwloaddriver,zwsetsysteminformation

开发工具: C-C++

另类阻止驱动加载（转）

关于驱动的加载大概有几种方法
1 在WINDOWS下动态加载
2 在WINDOWS启动的时候加载
3 感染系统文件

对于在WINDOWS启动的时候加载和感染系统文件我们暂时不讨论，玩么只讨论动态加载

一般的加载流程，是这样的:打开服务管理器->创建服务->启动服务->(系统加载驱动)
这个过程系统最终会调用NtLoadDriver来加载驱动(也可以用Ntdll.dll里面的NtSetSystemInformation来加载)

而NtLoadDriver 会向系统插入一个作业，然后等待另外一个系统线程来加载驱动，并等待驱动的加载完成(NtSetSystemInformation也是一样的)，然后返回
这样我们就可以HOOK NtLoadDriver和NtSetSystemInformation来阻止驱动加载，但是这个方法已经用烂了，这里我HOOK NtCreateSection来阻止驱动加载
为什么HOOK NtCreateSection呢？？？
因为在另外一个线程取得消息加载驱动的时候会调用NtCreateSection来映射驱动到内核内存空间

(流程:大概是这样 IoCreateFile(打开驱动文件，将它的第二个参数设置为FILE_EXECUTE | SYNCHRONIZE) -> NtCreateSection(为驱动在内核内存空间创建一个节) ->NtMapViewOfSection(映射驱动到内核内存空间) -> 寻找驱动的DriverEntry，并调用 -> ZwClose(关闭文件句柄) ->然后通知NtLoadDriver(或者NtSetSystemInformation)驱动加载完成->NtLoadDriver(或者NtSetSystemInformation)返回用户层，并通知用户驱动加载完成)

在驱动加载流程中，我们可以看到我们有很多机会劫持驱动的加载
我们可以HOOK NtCreateSection 或者 NtMapViewOfSection 来阻止驱动加载
这里我采用HOOK NtCreateSection的办法阻止驱动加载

以下为代码

#include <ntifs.h>

//声明用到的头文件和结构宏等
#include "NtCreateSection.h"
#if DBG
#define DriversUnload(Address, p)                             \
Address->DriverUnload=p;
#else
#define DriversUnload(Address, p)                             \
Address->DriverUnload=NULL;
#endif
typedef int BOOL;
typedef unsigned int        UINT;
typedef unsigned long       DWORD;
typedef unsigned short      WORD;
typedef void *LPVOID;
typedef unsigned char       BYTE;
typedef DWORD          *PDWORD;
typedef BYTE *PBYTE;
typedef WORD            *PWORD;
#define PAGE_NOACCESS          0x01
#define PAGE_READONLY          0x02
#define PAGE_READWRITE         0x04
#define PAGE_WRITECOPY         0x08
#define PAGE_EXECUTE           0x10
#define PAGE_EXECUTE