简单说一个相对隐蔽的内核通讯

Superqaq · 发表于 2022-8-27 17:56:26

现在通讯方式很多，IO,zc表,HOOK等等
我要讲的也是IO通讯，不过是hook掉系统驱动的通讯，实现方法也很简单，
一、首先要拿到系统驱动的入口点，IoGetDeviceObjectPointer用这个函数就可以做到，然后根据DriverEntry入口点定位派遣函数地址，
详情自己看DRIVER_OBJECT结构，

二、拿到派遣函数地址后进行hook，替换成我们自己的派遣函数，记得有个分支要返回原函数，不然系统拿什么跟驱动通讯。

这只是个最简单的hook，当然漏洞百出，首先我们的驱动不能卸载，卸载了hook会奔溃，就会蓝屏，不能卸载就是个定时炸弹，
按我之前有关shellcode的帖子来说，我们在驱动加载后申请一块内存，然后向内存里面写入shellcode，然后再挂钩派遣函数，
卸载驱动，完美通讯，自己的驱动也正常卸载了。

简单教学一下，最后放个效果图吧，别想源码了，怕被倒卖，自己动手丰衣足食。
简单的派遣函数，取进程模块jz:

我hook的是beep.sys，用户层通讯：

随便取个64位进程jz：