zwload隐藏服务加载驱动

五、隐藏服务：

    普通情况下加载驱动需要 OpenSCManager->CreateService->StartService，这样驱动就会跑到服务管理器中去注册一下自己，并且要隐藏这样加载驱动的服务，不是不行，只是太麻烦而且没效率了。要hook一大堆的服务函数。不过在逆向IS的时候发现了一个不需要去服务管理器注册而直接加载驱动的方法。就是使用ZwLoadDriver（这个函数通常是ring0中加载驱动时用，由于被Ntdll.dll导出，ring3就也能用了）进行直接加载。这样就不用去服务管理器中注册自己，并且这样加载的驱动windows系统工具中的“系统信息”查看器也查不到你，更不用说那些什么服务管理器之类的东东了。屡用不爽。下面介绍一下用法：

    1、首先自己在注册表的服务项中添加一个自己的服务名字项。
    2、在自己添加的服务名字项中添加一些驱动信息（其实就是手工实现CreateService()函数对注册表的那些操作），这些信息包括“ErrorControl”，“ImagePath”，“Start”，“Type”等等。你要手工设置这些键以及键值。

按上面设置完后，来看看ZwLoadDriver的原形：

NTSTATUS
    ZwLoadDriver(
    IN PUNICODE_STRING DriverServiceName );

下面的代码给出了ZwLoadDriver的使用例子：

AnotherWayStartService( TCHAR  * szDir )
{
    HKEY RegKey;
    HKEY hLicenses;
    DWORD disp;
    DWORD ErrorControl = NULL;
    DWORD ProcessID;
    DWORD Start = 3 ;
    DWORD Type = 1 ;
    LONG Regrt;

    DWORD ZwLoadDriver;
    DWORD RtlInitUnicodeString;
    
    UNICODE_STRING RegService;

    PCWSTR    RegServicePath =  L " /Registry/Machine/System/CurrentControlSet/Services/neverdeath " ;

    TCHAR    DriverFilePath[MAX_PATH]  =   " /??/ " ;


        Regrt  =  RegOpenKeyEx (
                    HKEY_LOCAL_MACHINE,
                     " SYSTEM/CurrentControlSet/Services " ,
                     0 ,
                    KEY_CREATE_SUB_KEY  +  KEY_SET_VALUE,
                     & hLicenses );

         if  ( Regrt  !=  ERROR_SUCCESS ) 
        {
             return   false ;
        }

        Regrt = RegCreateKeyEx (
                    hLicenses,
                     " neverdeath " ,
                     0 ,
                     "" ,
                    REG_OPTION_NON_VOLATILE,
                    KEY_ALL_ACCESS,
                    NULL,
                     & RegKey,
                     & disp );

         if  ( Regrt  !=  ERROR_SUCCESS ) 
        {
             return   false ;
        }

            Regrt  =  RegOpenKeyEx (
                        HKEY_LOCAL_MACHINE,
                         " SYSTEM/CurrentControlSet/Services/neverdeath " ,
                         0 ,
                        KEY_CREATE_SUB_KEY  +  KEY_SET_VALUE,
                         & RegKey );

         if  ( Regrt  !=  ERROR_SUCCESS ) 
        {
             return   false ;
        }

        Regrt  =  RegSetValueEx (
                    RegKey,
                     " ErrorControl " ,
                    NULL,
                    REG_DWORD,
                    ( const  unsigned  char   * )( & ErrorControl),
                     4  );

         if  ( Regrt  !=  ERROR_SUCCESS ) 
        {
             return   false ;
        }
        
        strcat(DriverFilePath, szDir);

        Regrt  =  RegSetValueEx (
                    RegKey,
                     " ImagePath " ,
                    NULL,
                    REG_EXPAND_SZ,
                    ( const  unsigned  char   * )( & DriverFilePath),
                    strlen( DriverFilePath ) );

         if  ( Regrt  !=  ERROR_SUCCESS ) 
        {
             return   false ;
        }


        Regrt  =  RegSetValueEx (
                    RegKey,
                     " Start " ,
                    NULL,
                    REG_DWORD,
                    ( const  unsigned  char   * )( & Start),
                     4  );

         if  ( Regrt  !=  ERROR_SUCCESS ) 
        {
             return   false ;
        }
        
        Regrt  =  RegSetValueEx (        
                    RegKey,
                     " Type " ,
                    NULL,
                    REG_DWORD,
                    ( const  unsigned  char   * )( & Type),
                     4  );

         if  ( Regrt  !=  ERROR_SUCCESS ) 
        {
             return   false ;
        }

         // 还记得前面隐藏进程时，我们进程ID是从注册表中取的
         // 下面就是把进程ID写入注册表，不会影响驱动的加载

        ProcessID = GetCurrentProcessId();    

        Regrt  =  RegSetValueEx (
                    RegKey,
                     " ProcessID " ,
                    NULL,
                    REG_DWORD,
                    ( const  unsigned  char   * )( & ProcessID),
                     4  );

         if  ( Regrt  !=  ERROR_SUCCESS ) 
        {
             return   false ;
        }        
        
        CloseHandle( RegKey );


        ZwLoadDriver  =  (DWORD) GetProcAddress ( 
                            GetModuleHandle(  " ntdll.dll "  ), 
                             " ZwLoadDriver "  );

        RtlInitUnicodeString  =  (DWORD) GetProcAddress( 
                                GetModuleHandle(  " ntdll.dll "  ), 
                                 " RtlInitUnicodeString "  );
        
        _asm
        {
            pushad
            push RegServicePath
            lea edi, RegService 
            push edi
            call RtlInitUnicodeString     // 装载UNICODE字符

            lea edi, RegService
            push edi
            call ZwLoadDriver    
            popad
        }

         return   true ;

}

请注意上面这段代码中加载驱动时所使用的注册表路径格式是：
“//Registry//Machine//System//CurrentControlSet//Services//neverdeath”
而不是：
“HKEY_LOCAL_MACHINE//SYSTEM//CurrentControlSet//Services//neverdeath”
也许你已经想到了那么卸载驱动会不会就是函数“ZwUnloadDriver”？自己试一下不就知道了：）