利用IoDriverObjectType控制内核驱动加载

最新推荐文章于 2023-06-17 14:38:30 发布

DPDK技术员

最新推荐文章于 2023-06-17 14:38:30 发布

阅读量459

点赞数

分类专栏：内核 dpdk 文章标签： java linux jvm

本文链接：https://blog.csdn.net/weixin_60043341/article/details/126387162

版权

本文介绍了如何监测和控制内核模块加载的新方法，通过分析内核加载驱动过程，发现并利用`ObInsertObject`函数在驱动加载前创建`IoDriverObjectType`对象，注册回调函数以拦截驱动加载。通过实验验证了该方法的有效性，成功实现了对驱动加载的控制，并在调试过程中展示了如何修改驱动的`DriverInit`来阻止驱动加载。

摘要由CSDN通过智能技术生成

在edr或者其他类型的安全软件我们通常要监测当前系统的内核驱动的加载通常使用的方法是PsSetLoadImageNotifyRoutine设置模块加载回调例程来监控ring3模块以及ring0模块的加载，回调函数 eLoadImageNotifyRoutine 的第二个参数判断，如果 PID是0 ，则表示加载驱动，如果PID非零，则表示加载DLL。此方法的优点是：

更底层

方法简单通用

缺点当然也就是函数太底层，第二就是方法太通用几乎做过进程、线程监控的搞安全内核开发的人基本都晓得，也很容易被发现而且也会被摘链，而失效。

本篇文章将会探索一种新方法去监测并且控制内核模块的加载。首先我们要讲解内核加载驱动的过程。

写一个demo的驱动，然后使用VMware双机调试来调试驱动。(VMware双机调试的方法如果不会可以baidu)

连接被调试虚拟机后，在windbg里输入sxe ld demo驱动的名字.sys

然后go，如果加载系统要加载这个驱动windbg会自动停下来。

然后输入kb

可以看到内核里加载的时候会开启一个单独的线程去加载驱动

# RetAddr           : Args to Child                                                           : Call Site

00 fffff800`04b1748d : fffff880`0456b8a0 fffff880`031ac0d0 00000000`00000001 fffff800`04b74dfe : nt!DebugService2+0x5

01 fffff800`04b74ecb : fffff880`031ac000 fffffa80`016de070 fffff880`0456b9b8 00000000`00000007 : nt!DbgLoadImageSymbols+0x4d

02 fffff800`04e47bfd : fffffa80`00eeee20 fffff8a0`0000001c fffff800`04d84a30 fffff880`0456b888 : nt!DbgLoadImageSymbolsUnicode+0x2b

03 fffff800`04e6286b : fffff880`031ac000 fffff880`0456b8f8 00000000`00000000 fffff880`0456b8d8 : nt!MiDriverLoadSucceeded+0x2bd

04 fffff800`04e64ebd : fffff880`0456b9b8 00000000`00000000 00000000`00000000 00000000`00000000 : nt!MmLoadSystemImage+0x80b

05 fffff800`04e65875 : 00000000`00000001 00000000`00000000 00000000`00000000 fffffa80`0231c1e0 : nt!IopLoadDriver+0x44d

06 fffff800`04a8b161 : fffff800`00000000 ffffffff`8000077c fffff800`04e65820 fffffa80`006db040 : nt!IopLoadUnloadDriver+0x55

07 fffff800`04d21166 : 00000000`00000000 fffffa80`006db040 00000000`00000080 fffffa80`006b71d0 : nt!ExpWorkerThread+0x111

08 fffff800`04a5c486 : fffff800`04bf6e80 fffffa80`006db040 fffffa80`006da680 00000000`00000000 : nt!PspSystemThreadStartup+0x5a

09 00000000`00000000 : fffff880`0456c000 fffff880`04566000 fffff880`0456ae60 00000000`00000000 : nt!KiStartSystemThread+0x16

这是调试的时候被断点断下来的堆栈，我们需要回到加载驱动的地方，所以要打开源代码，在驱动的入口点Dr