找回密码
 加入我们

QQ登录

只需一步,快速开始

搜索
查看: 2205|回复: 2

[测试]WIN64全平台支持的在内核里加载驱动(支持XP~WIN11)

[复制链接]

854

主题

2629

回帖

2

精华

管理员

此生无悔入华夏,  长居日耳曼尼亚。  

积分
36102
发表于 2022-3-31 07:03:43 | 显示全部楼层 |阅读模式
如果需要购买这个PoC的源码,请查看这里
注意:部分PoC使用了知名的泄露证书(比如:“HT SRL”等)进行签名,微软在最新的系统上已经将这些证书拉黑。如果您发现驱动无法加载,请使用没有被微软拉黑的证书给驱动重新进行签名,或使用signtool工具移除驱动的签名后再关闭DSE进行测试。

加载dld64.sys(主驱动)后,它会在内核里加载t64.sys(测试用的HelloWorld驱动)。如果t64.sys有数字签名,则使用系统API进行驱动加载;如果t64.sys没有数字签名,则使用自制的PE-LOADER进行驱动加载(好处是不需要关闭DSE,不会被映像回调拦截,坏处是某些情况下可能会加载失败)

这个功能的应用价值在于,可以相对无风险地给驱动增加新功能。做过BOOT驱动开发的人都知道,有些时候尽管经过了测试部门的详细测试,但是当大面积部署到客户机的时候,还是引起了很多蓝屏并使得系统无法启动,导致损失了客户。如果把驱动做成loader+plugin的模式,那么常驻客户机的只有一个无实际功能、不怎么需要更新的loader驱动,plugin驱动则动态下发按需加载。即使plugin驱动有bug,那么顶多也就蓝屏一次,重启后不再加载它即可。至于怎么在内核里联网下载plugin驱动,可以参考这个帖子
64.png

64.zip

98.08 KB, 下载次数: 839

1

主题

116

回帖

0

精华

金牌会员

积分
854
发表于 2022-3-31 08:50:14 | 显示全部楼层
偷偷的问一句!是否用的tdx socket+peloader

点评

八仙过海各显神通  发表于 2022-4-2 14:19
您需要登录后才可以回帖 登录 | 加入我们

本版积分规则

快速回复 返回顶部 返回列表