Win64 驱动内核编程-31.枚举与删除映像回调

最新推荐文章于 2022-10-20 19:11:34 发布

原创

最新推荐文章于 2022-10-20 19:11:34 发布 · 2.1k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#驱动 #枚举与删除映像回调 #宋孖健 #13

本文介绍了Win64驱动内核编程中的映像回调技术，用于拦截RING3和RING0的映像加载。通过示例代码展示了如何在PsSetLoadImageNotifyRoutine中实现映像回调，并提到了系统中的开关PspNotifyEnableMask，当其值为0时，所有相关回调将失效。此外，还提及了这一技术在反游戏保护中的应用。

枚举与删除映像回调

映像回调可以拦截 RING3 和 RING0 的映像加载。某些游戏保护会用此来拦截黑名单中的驱动加载，比如 XUETR、WIN64AST 的驱动。同理，在反游戏保护的过程中，也可以拦截游戏驱动的加载。

跟进程/线程回调类似，映像回调也存储在数组里。这个数组的“符号名”是PspLoadImageNotifyRoutine。我们可以在 PsSetLoadImageNotifyRoutine 中找到它：

实现的代码如下：

ULONG64 FindPspLoadImageNotifyRoutine()
{
ULONG64	i=0,pCheckArea=0;
UNICODE_STRING	unstrFunc;
RtlInitUnicodeString(&unstrFunc, L"PsSetLoadImageNotifyRoutine");
pCheckArea = (ULONG64)MmGetSystemRoutineAddress (&unstrFunc);
DbgPrint("PsSetLoadImageNotifyRoutine: %llx",pCheckArea);
for(i=pCheckArea;i<pCheckArea+0xff;i++)
{
if(*(PUCHAR)i==0x48 && *(PUCHAR)(i+1)==0x8d && *(PUCHAR)(i+2)==0x0d)	//lea rcx,xxxx
{
LONG OffsetAddr=0;
memcpy(&OffsetAddr,(PUCHAR)(i