驱动开发笔记

保护驱动

Hidden保护驱动 gayhub:https://github.com/JKornev/hidden

进程保护

进程保护通过ObRegisterCallbacks进程线程对象回调实现。在进程对象Pre回调中获取打开进程句柄的进程ID(PsGetCurrentProcessId())以及被打开的进程ID(PsGetProcessId(OperationInformation->Object))，根据规则决定是否放行。需要注意的是，未初始化的进程可以打开任何进程，当csrss打开进程时，即初始化完成。

还可添加线程对象打开回调做更加完善的处理。

当决定不放行时，根据Operation判断句柄是打开还是复制，然后抹去Parameters联合体中的打开权限，改为SYNCHRONIZE | PROCESS_QUERY_LIMITED_INFORMATION
详情：https://docs.microsoft.com/zh-cn/windows-hardware/drivers/ddi/wdm/ns-wdm-_ob_pre_operation_information#

文件隐藏

文件隐藏通过Minifilter实现，在IRP_MJ_CREATE的Pre函数中根据打开的文件名称是否存在于规则中，决定是否设置为STATUS_NO_SUCH_FILE

在IRP_MJ_DIRECTORY_CONTROL中，Pre里请求如果为查询IRP_MN_QUERY_DIRECTORY选项，则返回FLT_PREOP_SUCCESS_WITH_CALLBACK调用Post函数。

在Post函数中，会在文件查询时根据不同情况抹去要查询的文件，从而实现文件隐藏。

注册表隐藏

注册表隐藏通过CmRegisterCallbackEx注册表回调实现，在回调中根据其参2的标识类型REG_NOTIFY_CLASS，对不同的查询操作做不同的隐藏、拒绝操作。