[测试]WIN64全平台支持的在内核里加载驱动（支持XP～WIN11）
如果需要购买这个PoC的源码，请查看这里。注意：部分PoC使用了知名的泄露证书（比如：“HT SRL”等）进行签名，微软在最新的系统上已经将这些证书拉黑。如果您发现驱动无法加载，请使用没有被微软拉黑的证书给驱动重新进行签名，或使用signtool工具移除驱动的签名后再关闭DSE进行测试。WIN32版：http://www.m5home.com/bbs/thread-9499-1-1.html加载dld64.sys（主驱动）后，它会在内核里加载t64.sys（测试用的HelloWorld驱动）。如果t64.sys有数字签名，则使用系统API进行驱动加载；如果t64.sys没有数字签名，则使用自制的PE-LOADER进行驱动加载（好处是不需要关闭DSE，不会被映像回调拦截，坏处是某些情况下可能会加载失败）。这个功能的应用价值在于，可以相对无风险地给驱动增加新功能。做过BOOT驱动开发的人都知道，有些时候尽管经过了测试部门的详细测试，但是当大面积部署到客户机的时候，还是引起了很多蓝屏并使得系统无法启动，导致损失了客户。如果把驱动做成loader+plugin的模式，那么常驻客户机的只有一个无实际功能、不怎么需要更新的loader驱动，plugin驱动则动态下发按需加载。即使plugin驱动有bug，那么顶多也就蓝屏一次，重启后不再加载它即可。至于怎么在内核里联网下载plugin驱动，可以参考这个帖子。
偷偷的问一句！是否用的tdx socket+peloader
页:
[1]