chaos的专栏

RtlInitUnicodeString 函数的原型是：VOID WINAPI RtlInitUnicodeString( _Inout_ PUNICODE_STRING DestinationString, _In_opt_ PCWSTR SourceString);UnicodeString结构体：typedef struct _LSA_UNICO

//// Define the major function codes for IRPs.//#define IRP_MJ_CREATE                   0x00#define IRP_MJ_CREATE_NAMED_PIPE        0x01#define IRP_MJ_CLOSE                    0x02#def

编译过程就不用说了，进入目录直接输入bld。把scanner.sys 和 sanner.inf放在一起，右键scanner.inf选择安装。安装完成后并没有运行，还需要一条命令：net start scanner。卸载方法：先停止服务：net stop scanner然后输入下面的命令：RUNDLL32.EXE SETUPAPI.DLL,InstallH

导入表注入dll其实就是给程序的导入表添加一个dll和相应函数，程序在被载入时，系统会自动加载该dll，从而实现dll注入。我在驱动实现修改导入表的方法就是使用PsSetLoadImageNotifyRoutine函数创建回调，在回调中修改导入表。修改导入表的过程如下：1，申请一块内存，将原来的导入表和自己添加的项拷贝到这块内存。2，修改pe头的导入表偏移，使其指向新导入表。经