驅動的加載有幾種方式，查看CreateService就可以知道。
1、SERVICE_BOOT_START?=?0x00000000，被系統loader加載，這類驅動是最早加載的。驅動文件必須放在C:\Windows\System32\drivers目錄下，因為此時系統只能讀注冊表，不能打開文件，不能打出調試信息。看了下面的分析就清楚了。
2、SERVICE_SYSTEM_START?=?0x00000001，系統初始化完成后才加載的

3、SERVICE_DEMAND_START?=?0x00000003，手動加載

(本文作者附注:原文作者可能是通過sc create service的方式加載legend驅動，對于wdm類型--即支持Pnp的驅動也通過nt!MmLoadSystemImage加載驅動)

環境：win7?32bit，
目標：攔截hookport.sys
方法：
通常攔截驅動，可以在nt!MmLoadSystemImage下斷點。
1、顯示驅動全名并顯示驅動基址：
bp?nt!MmLoadSystemImage".if(1){!ustr?poi(esp+4);?dd?poi(esp+0x18);}.else{gc;}"
poi(esp+0x18)就是保存驅動基址的指針ImageBaseAddress
2、nt!MmLoadSystemImage返回后，dd?ImageBaseAddress，顯示的就是驅動基址
3、給驅動起點函數下斷點
bp?驅動基址+poi(poi(驅動基址+0x3c)+?驅動基址+0x28)
4、運行，就停在驅動的起點函數

NTSTATUS
MmLoadSystemImage?(
????IN?PUNICODE_STRING?ImageFileName,
????IN?PUNICODE_STRING?NamePrefix?OPTIONAL,
????IN?PUNICODE_STRING?LoadedBaseName?OPTIONAL,
????IN?BOOLEAN?LoadInSessionSpace,
????OUT?PVOID?*ImageHandle,
????OUT?PVOID?*ImageBaseAddress
????)


但是hookport.sys就不能用上面的方法來，因為它的加載類型是SERVICE_BOOT_START，如下圖：

通過研究系統，可以用下面的斷點：
下斷點bp?nt!PnpInitializeBootStartDriver".if(1){!ustr?poi(esp+8);}.else{gc;}"，此時可以顯示驅動的注冊表信息

斷下來后，在nt!IopInitializeBuiltinDriver里面找第一個call????dword?ptr?[eax]，

下斷點即可，跟進去就是驅動的入口點了

其實可以計算??INIT:007A79CF?????????????????call????dword?ptr?[eax]??與nt的rva,直接下斷點就可以了??bp?nt基址+0x003A79CF

kd> sxe ld:hookport.sys kd> g nt!DbgLoadImageSymbols+0x47: 83a55fa6 cc int 3 kd> lmvm hookport start end module name 8f263000 8f284e80 hookport (deferred) kd> bp 8f263000+poi(poi(8f263000+3c)+8f263000 +28)kd> g

總結

以上是生活随笔為你收集整理的windbg拦截驱动加载的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。