[经验]一种可能引发KERNEL_SECURITY_CHECK_FAILURE蓝屏的编码方式

Tesla.Angela

早在XP时代，写驱动代码没什么限制，一些人在调用PsSetCreateProcessNotify之类的函数的时，喜欢把回调函数指向一片可以执行的BUFFER。
但是到了WIN10时代，就没这出戏唱啦。当系统检查到系统回调（类似CreateProcessNotify、CreateThreadNotify）的地址不在代码地址分段的时候，就会引发这个蓝屏。
测试：在任意WIN64系统上，你把『驱动里任意一个函数的地址』、『任意NonPagedPool类型地址』『任意PagedPool类型地址』分别打印一下，你会发现地址的区别是非常明显的，它们不在同一个4GB里。
由于这个变化，导致我教程里一个做法就需要修改了：

游客，如果您要查看本帖隐藏内容请回复

补充知识：AMD64地址划分（来自MIAMD.H）。

1. /*++
   
2. 
   
3.     Virtual Memory Layout on the AMD64 is:
   
4. 
   
5.                  +------------------------------------+
   
6. 0000000000000000 | User mode addresses - 8tb minus 64k|
   
7.                  |                                    |
   
8.                  |                                    |
   
9. 000007FFFFFEFFFF |                                    | MM_HIGHEST_USER_ADDRESS
   
10.                  +------------------------------------+
    
11. 000007FFFFFF0000 | 64k No Access Region               | MM_USER_PROBE_ADDRESS
    
12. 000007FFFFFFFFFF |                                    |
    
13.                  +------------------------------------+
    
14. 
    
15.                                    .
    
16.                  +------------------------------------+
    
17. FFFF080000000000 | Start of System space              | MM_SYSTEM_RANGE_START
    
18.                  +------------------------------------+
    
19. FFFFF68000000000 | 512gb four level page table map.   | PTE_BASE
    
20.                  +------------------------------------+
    
21. FFFFF70000000000 | HyperSpace - working set lists     | HYPER_SPACE
    
22.                  | and per process memory management  |
    
23.                  | structures mapped in this 512gb    |
    
24.                  | region.                            | HYPER_SPACE_END
    
25.                  +------------------------------------+     MM_WORKING_SET_END
    
26. FFFFF78000000000 | Shared system page                 | KI_USER_SHARED_DATA
    
27.                  +------------------------------------+
    
28. FFFFF78000001000 | The system cache working set       | MM_SYSTEM_CACHE_WORKING_SET
    
29.                  | information resides in this        |
    
30.                  | 512gb-4k region.                   |
    
31.                  |                                    |
    
32.                  +------------------------------------+
    
33.                                    .
    
34.                                    .
    
35. Note the ranges below are sign extended for > 43 bits and therefore
    
36. can be used with interlocked slists.  The system address space above is NOT.
    
37.                                    .
    
38.                                    .
    
39.                  +------------------------------------+
    
40. FFFFF80000000000 |                                    | MM_KSEG0_BASE
    
41.                  | Mappings initialized by the loader.| MM_KSEG2_BASE
    
42.                  +------------------------------------+
    
43. FFFFF90000000000 | win32k.sys                         |
    
44.                  |                                    |
    
45.                  | Hydra configurations have session  |
    
46.                  | data structures here.              |
    
47.                  |                                    |
    
48.                  | This is a 512gb region.            |
    
49.                  +------------------------------------+
    
50.                  |                                    | MM_SYSTEM_SPACE_START
    
51. FFFFF98000000000 | System cache resides here.         | MM_SYSTEM_CACHE_START
    
52.                  |  Kernel mode access only.          |
    
53.                  |  1tb.                              |
    
54.                  |                                    | MM_SYSTEM_CACHE_END
    
55.                  +------------------------------------+
    
56. FFFFFA8000000000 | Start of paged system area.        | MM_PAGED_POOL_START
    
57.                  |  Kernel mode access only.          |
    
58.                  |  128gb.                            |
    
59.                  +------------------------------------+
    
60.                  | System mapped views start just     |
    
61.                  | after paged pool.  Default is      |
    
62.                  | 104MB, can be registry-overridden. |
    
63.                  | 8GB maximum.                       |
    
64.                  |                                    |
    
65.                  +------------------------------------+
    
66. FFFFFAA000000000 | System PTE pool.                   | MM_LOWEST_NONPAGED_SYSTEM_START
    
67.                  |  Kernel mode access only.          |
    
68.                  |  128gb.                            |
    
69.                  +------------------------------------+
    
70. FFFFFAC000000000 | NonPaged pool.                     | MM_NON_PAGED_POOL_START
    
71.                  |  Kernel mode access only.          |
    
72.                  |  128gb.                            |
    
73.                  |                                    |
    
74. FFFFFADFFFFFFFFF |  NonPaged System area              | MM_NONPAGED_POOL_END
    
75.                  +------------------------------------+
    
76.                                    .
    
77.                                    .
    
78.                                    .
    
79.                                    .
    
80.                  +------------------------------------+
    
81. FFFFFFFF80000000 |                                    |
    
82.                  | Reserved for the HAL. 2gb.         |
    
83. FFFFFFFFFFFFFFFF |                                    | MM_SYSTEM_SPACE_END
    
84.                  +------------------------------------+
    
85. 
    
86. --*/

复制代码

CleanLove

沙发~谢谢分享~~

3207145141

学习一下.

zjr230506

WIN10屁事越来越多

brucep555

顶一顶

liwen930723

最近刚好遇到这个蓝屏代码，我来看看是不是这个原因

flac

感谢分享，学习新知识

NOW刘

还是看看了=-=

黄枫叶

看看

basketwill

学习了

hanfengyuxue

WIN10越来越难搞

hzqst

找个空隙插jmp做中转就好了

kz丶cn

哇~这让我想起了beep~

chaos4

回复看看..

sc12345

谢谢楼主分享！

tea524

谢谢楼主

nightstalkerx

学习一下

337505993

学习~~~~~~~~~~~~~~~~

neticafe

学习一下.补充能量

bj6688

win10 怎么能替换系统文件.

lpmjknj

学习一下

819773925

看看是啥黑科技

yxxyyf

啥东东

yxxxxxxx

学习

2254649642

来看看那        

sheriwvg

谢谢楼主

Undefined

学习一下补充内容