64位环境下已签名驱动中实现加载未签名驱动

 

在64位环境下已签名驱动中实现加载未签名驱动，例如要加载路径为C:\test.sys的未签名驱动程序，步骤如下：

（1）将C:\test.sys按照内存对齐方式拷贝到内存中。

（2）对test内存映像进行重定位。

（3）修复test内存映像的导入表。

（4）获取test内存映像中入口点DrverEntry地址，之后调用IoCreateDriver创建驱动。(IoCreateDriver会调用test的DriverEntry函数，DriverEntry返回后，IoCreateDriver才返回)

 

通过这种方式加载的驱动，貌似PCHunter也检测不到，但还是有办法可以检测到该驱动的，由于IoCreateDriver会在\FileSystem对象目录下创建驱动对象test，所以只需要遍历\FileSystem对象目录就可以找到驱动对象test 。

 

附件是MemLoadDriver.sys的源代码，用wdk7600即可编译，可用于64位win系统环境中，MemLoadDriver.sys加载后会通过上述方式加载驱动C:\test.sys。