Pnp即插即用设备驱动 自动安装程序 C C++实现

环境准备：

VMware Workstation 14 Pro
win10Pro x64 虚拟机
VS2019

虚拟机中安装：
VS远程调试程序 msvsmon
x64dbg

Windows驱动程序样本/devcon(源码)
下载后，在VS中打开，报一大堆错误，是因为缺少msg.h文件，无需理会，直接 release x64编译
会在生成目录生成msg.h文件，拷贝到代码目录，添加到头文件中，
Notepad++打开devcon.vcxproj，找到 删掉 保存，再次加载项目就不会出现以下错误：

VS 文件msg .h 包含在 ClInclude 和 ClInclude 项组中。项目项不允许这样做，它只能属于一个项组。

这些搞定，即可正常阅读代码。

这里只分析，Pnp即插即用设备驱动安装

将编译好的 devcon.exe 拷贝到虚拟机中
管理员权限启动 cmd
cd 到 devcon.exe 所在目录

cd C:\Users\win10\Desktop 

查看 安装 帮助

这里我插一条示例

devcon.exe install xxx.inf(指定包含设备安装信息的INF文件) hwid(指定设备的硬件ID) 

设备的硬件ID，打开inf文件，找到 Install 节，根据系统选择 [Standard.NTamd64] 或 [Standard.NTx86]

安装成功 返回：Drivers installed successfully.

查看 设备管理器 找到自己安装的驱动

代码分析

因为最早，没找到源码，是逆向的整体逻辑，上IDA截图
devcon 有个巧妙的结构

我猜测的结构


devcon中定义的为：


DispatchEntry结构的后两个DWORD为帮助语，
其中shortHelp，显示于 键入:devcon.exe help
其中longHelp， 显示于 键入:devcon.exe help install(对应操作)

main 函数中，v15 是输入的操作命令 如：install v17 是 DispatchTable[] 的序号

cmdInstall 中


cmdUpdate 中

自动安装与Windows安全

驱动在安装中弹出 windows 安全提示框，手动安装没有丝毫影响，但是当线上大规模部署时，就会产生效率问题

开始，猜测这个弹窗类似于 用户账户控制(UAC) 弹窗运行在“安全桌面”，整个桌面进入了 SYSTEM 账户，原用户账户下的所有程序都无法得知此时 UAC 弹窗的情况，也无法通过模拟用户操作来跳过这个 UAC 框

尝试发现，弹出 Windows 安全弹窗时，Spy++ 任务管理器 x64dbg都可以正常运行，获取窗口信息

这个弹窗归属rundll32.exe 进程，路径在 C:\Windows\System32\rundll32.exe
是在我的安装即插即用设备驱动程序 UpdateDriverForPlugAndPlayDevicesW API 中被调用的
想要在自动部署时，干掉这个窗口
我们先用 Spy++ 查看窗口属性，能不能获取到句柄

标题，句柄都可以获取到，那么我们给窗口发送 WM_LBUTTONDOWN 消息即可，
x64dbg 窗口下消息断点，断到后分析参数。

DWORD64 dwLparam = 0x0000000000030003; // 坐标
SendMessage(hwnd, WM_LBUTTONDOWN, 1, dwLparam);
SendMessage(hwnd, WM_LBUTTONUP, 1, dwLparam);

实际用代码查找窗口的过程中，发现枚举不到安装按钮的窗口，而他的父窗口没有标题，同一窗口类的窗口有4个
转换思路~
驱动在成功安装一次，卸载后再次安装，是没有这个安全弹窗的。
查找原因
开始猜测是，驱动在安装过程中修改了注册表项，手动模拟修改注册表——测试——失败
转化思路
再次分析弹窗，有一个单选框 始终信任来自“XXXXXXXX”的软件 还有可信发布者
猜测可能是证书存储CertificateStore

Win+R 运行 certmgr.msc 打开证书管理 查看 受信任的发布者 点证书 右边会显示出本机已信任的发布者

找到自己的驱动签名 右键导出

格式选择

其他的直接下一步就可以了。

在一个没有安装过驱动的机器上，
打开 certmgr.msc
在 受信任的发布者 中
右键 导入 添加证书，
再安装驱动时发现未弹出安全弹窗。
成功！

但是这里还有最后一个问题，手动导入签名，还不如点掉 安全提示框来得方便。
查相关资料，
certutil



运行cmd 执行以下指令

certutil -addstore "TrustedPublisher" 证书的全路径加文件名.cer

添加到代码中，

这里插一个调试实用小技巧

双机调试时
普通程序，入口点 main 加 MessageBox(0, 0, 0, 0);
驱动程序，入口点 DriverEntry 加 DbgBreakPoint();

总结

即插即用设备驱动的安装，需要：
1 首先，创建一个虚拟的设备
2 修改硬件ID属性
3 调用 SetupDiCallClassInstaller 将注册表元素转换为PnP硬件树中的实际设备节点
4 获取 UpdateDriverForPlugAndPlayDevicesW 地址
5 调用 UpdateDriverForPlugAndPlayDevicesW 更新我们刚刚创建的设备的驱动程序
6 删除设备

END