[科普]简单总结“内核重载”和BufferDriverLoader的联系与区别

Tesla.Angela · 发表于 2017-6-29 21:53:17

PS：本文不是什么新技术，纯粹是对一些老知识的总结。
标题里的BufferDriverLoader，就是“无需把【驱动文件】输出到磁盘，而是直接把【映像】映射到内存并执行”的意思。

共同点：
1、“内核重载”与BufferDriverLoader都是本质上都是通过“PE加载器”，把PE文件映射到内存里。都需要经过读取文件、展开对齐、修复导入表、重定位的过程。
2、都不支持SEH，如果发生异常，即使在try...catch里，也会导致直接蓝屏。

不同点：

游客，如果您要查看本帖隐藏内容请回复

还有大家最关心的一点，能否在WIN64系统上实现“内核重载”？

游客，如果您要查看本帖隐藏内容请回复

kz丶cn · 发表于 2017-6-29 21:55:24

沙发？

zf0815zj · 发表于 2017-6-29 21:56:05

支持下。。。

zjr230506 · 发表于 2017-6-29 21:57:27

寂寞长夜学习学习

hzqst · 发表于 2017-6-29 22:04:48

本帖最后由 hzqst 于 2017-6-29 22:11 编辑

每次都要回帖好麻烦啊

补充一下：
1、x64是可以实现memload SEH的，只不过要调用某个非导出函数把需要seh的代码块加入内核维护的一个链表，非常不可靠所以一般不会有人用于正规项目，只能自己玩玩，具体见https://github.com/DarthTon/Blackbone/blob/master/src/BlackBoneDrv/Loader.c：BBMapWorker
2、x64下有pg，重载内核可行但没任何实际意义，只能做着玩儿。
3、如果只是为了躲过函数头的hook，完全可以复制函数头N个字节然后jmp回去原始内核，一般也没人会去函数内部下钩子吧。

46785131 · 发表于 2017-6-29 22:11:16

最后的才是重点呀..呵呵!~~~

brucep555 · 发表于 2017-6-29 22:33:33

顶一顶.学习下哈

tangptr@126.com · 发表于 2017-6-30 00:06:38

路过

n36437517 · 发表于 2017-6-30 06:56:44

学习学习

wtxpwh · 发表于 2017-6-30 09:14:18

围观

flac · 发表于 2017-6-30 09:26:46

谢谢分享

yimingqpa · 发表于 2017-6-30 10:07:51

看一看，学习一下.

惊雷 · 发表于 2017-6-30 13:12:51

撒娇啊回答说

3207145141 · 发表于 2017-6-30 14:52:54

学习大佬的总结.谢谢.

落笔飞花 · 发表于 2017-6-30 15:18:54

来顶帖了。。。。。。。。。。

CleanLove · 发表于 2017-6-30 18:48:31

make 支持下谢谢~~~

yyss258147 · 发表于 2017-7-1 16:51:41

拜读下

软绵绵 · 发表于 2017-7-1 17:45:32

学习学习,感谢分享

linkerrors · 发表于 2017-7-1 21:27:44

感谢ta分享!

hamman · 发表于 2017-7-2 16:49:17

看看涨姿势，谢谢！

岁月 · 发表于 2017-7-3 23:57:10

谢谢Ta大分享。

545821848 · 发表于 2017-7-9 16:12:09

x64应该可以实现的哈。

黄枫叶 · 发表于 2017-7-25 22:38:45

支持下。。。

sijin · 发表于 2017-8-27 13:35:27

谢谢分享，学习下

zt8152070 · 发表于 2017-8-28 10:57:40

学习下

mq2752639 · 发表于 2017-10-6 11:20:07

很好、很强大，这个一定得支持！！！

aoskan888 · 发表于 2017-10-19 19:31:27

想学习下。比较感兴趣

YesBacker · 发表于 2017-11-8 20:25:19

看看大神的帖子

dogbitesme · 发表于 2017-11-30 09:17:48

非常强大的技术

chaos4 · 发表于 2017-12-2 02:35:15

BUFFER加载貌似也能在ARK里看到吧?

qq569582281 · 发表于 2017-12-5 10:47:59

谢谢楼主

你坏 · 发表于 2017-12-7 19:57:45

看看为什么64位系统不能重载内核

账号		自动登录	找回密码
密码			加入我们

[科普]简单总结“内核重载”和BufferDriverLoader的联系与区别

评分