枚舉與刪除映像回調

? ? 映像回調可以攔截?RING3?和?RING0?的映像加載。某些游戲保護會用此來攔截黑名單中的驅動加載，比如?XUETR、WIN64AST?的驅動。同理，在反游戲保護的過程中，也可以攔截游戲驅動的加載。

? ? 跟進程/線程回調類似，映像回調也存儲在數組里。這個數組的“符號名”是PspLoadImageNotifyRoutine。我們可以在?PsSetLoadImageNotifyRoutine?中找到它：

實現的代碼如下：

?

ULONG64 FindPspLoadImageNotifyRoutine() { ULONG64 i=0,pCheckArea=0; UNICODE_STRING unstrFunc; RtlInitUnicodeString(&unstrFunc, L"PsSetLoadImageNotifyRoutine"); pCheckArea = (ULONG64)MmGetSystemRoutineAddress (&unstrFunc); DbgPrint("PsSetLoadImageNotifyRoutine: %llx",pCheckArea); for(i=pCheckArea;i<pCheckArea+0xff;i++) { if(*(PUCHAR)i==0x48 && *(PUCHAR)(i+1)==0x8d && *(PUCHAR)(i+2)==0x0d) //lea rcx,xxxx { LONG OffsetAddr=0; memcpy(&OffsetAddr,(PUCHAR)(i+3),4); return OffsetAddr+7+i; } } return 0; }void EnumLoadImageNotify() { int i=0; BOOLEAN b; ULONG64 NotifyAddr=0,MagicPtr=0; ULONG64 PspLoadImageNotifyRoutine=FindPspLoadImageNotifyRoutine(); DbgPrint("PspLoadImageNotifyRoutine: %llx",PspLoadImageNotifyRoutine); if(!PspLoadImageNotifyRoutine) return; for(i=0;i<8;i++) { MagicPtr=PspLoadImageNotifyRoutine+i*8; NotifyAddr=*(PULONG64)(MagicPtr); if(MmIsAddressValid((PVOID)NotifyAddr) && NotifyAddr!=0) { NotifyAddr=*(PULONG64)(NotifyAddr & 0xfffffffffffffff8); DbgPrint("[LoadImage]%llx",NotifyAddr); } } }

?

?

?

?

?

執行結果如下：

????用這三種回調（CreateProcess、CreateThread、LoadImage）來做監控其實并不怎么靠譜，因為系統里存在一個開關，叫做?PspNotifyEnableMask，如果它的值被設置為?0，那么所有的相關操作都不會經過回調。換句話說，如果?PspNotifyEnableMask等于?0，那么所有的進程、線程、映像回調都會失效。不過這個變量并沒有在導出函數中直接出現，所以找到它略難。

宋孖健，13

總結

以上是生活随笔為你收集整理的Win64 驱动内核编程-31.枚举与删除映像回调的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。