[原创]抢先DriverStudio夺取机器控制权-阿里云开发者社区

开发者社区> 大熊猫侯佩> 正文

[原创]抢先DriverStudio夺取机器控制权

简介:
+关注继续查看

 

 

[原创]抢先DriverStudio夺取机器控制权

 

 

 

 

      废话不谈,言归正传!

      大家都知道,装了DriverStudio软件(我使用的是v3.2)的系统在启动时会显示其配置画面,(如图0所示)

 

 

 

                             图 0

 

这时操作系统的其他部件还没有运行。那么显示的原理是什么?能不能早于DriverStudio而先执行其他代码呢?答案是肯定的。下面先谈谈原理吧。

      原理比较简单,详细的大家可以看网文<<Inside NT boot>>

,我这里简单说说。当引导扇区被引导后,会查找NTLDR,NTLDR

的一件非常重要的事就是将CPU从实模式转换到保护模式下。在

加载完NTDECT.COM后接下来就会将NT的核心装入内存,它们是HAL.DLLNTOSKRNL.EXE,加载完毕后,NTLDR再加载所有引导

必须的驱动程序。接下来就是我们所关心的地方:它会将HKLM/SYSTEM/Services中值为 SERVICE_BOOT_STARTDRIVER

装入,但此时不初始化。

(补充附注:

NtLdr3步动作:扫描内存中SYSTEM注册表hive文件找到所有引

导设备驱动程序,这些Driver仔注册表中通过SERVICE-BOOT-

START启动值标记。

NtLdr5步动作:加载引导驱动程序,在启动画面Starting

Windows下显示出不断更新的进度栏,该进度栏随每个驱动程

序的加载而变化。

Kernel23步动作:I/O管理器初始化……所有前面加载的

Boot-Start型驱动程序被调用以完成驱动程序相关初始化,

这时才轮到System-Start型的驱动程序被加载并初始化。

更详细的信息请参考<<Windows 2000 内部揭秘>>

)

 

那么DriverStudio是不是也是使用了这个特性呢?

运行 regedit.exe ,Services目录中找到bootcfg这个注册

项,可以看到它是一个内核驱动,并且Start类型为0。如图1

所示:

 

 

                             图1

 

为了证实这个Driver就是提供DriverStudio开机时配置功能的

驱动程序,我用一个会引起系统崩溃驱动的名字来替换它,然

后重新启动。原本该显示配置画面的地方果然发生了系统崩溃。

(如图2所示)

 

 

                            图 2

 

既然知道了原理,再来看看操作。实际上windows自身提供

了这个实现。细心的朋友可能早就知道Win32 API

CreateServicedwStartType 形参有个选项为:SERVICE_BOOT_START

  

SERVICE_BOOT_START  --  Specifies a device driver started by   the operating system loader. This value is valid only if the    service type is SERVICE_KERNEL_DRIVER or SERVICE_FILE_SYSTEM_DRIVER.

 

 

好像看起来和普通的诸如SERVICE_DEMAND_START  的用法没

什么不同嘛,结果手动编制尝试结果返回非法参数。

      为什么会这样呢?经过一番thinking之后,我猜测由

于使用

SERVICE_BOOT_START 时,是在系统引导的早期发生load

Driver事件,这时可能除了少数几个OS必须的路径以外,还

无法访问其他windows目录。为了证实,我将自己的Driver

贝到系统目录:

%root%/system32/drivers/

下,再次运行结果成功!

      下面再引出注册表中的一个与驱动程序加载相关的KEY

ServiceGroupOrder ,如图3所示:

 

 

                              图3

 

再看一下图1DriverStudio引导驱动的组名,是Boot Bus Extender,它排在启动顺序的第2位。现在我新加一个

Group:Hopy

如图4:

 

 

                               图4

 

然后将代码改写如下:

;BTmain.asm节选

.const

namesvr    db 'TryBootSvr',0

notesvr    db 'Test Drv Start at System Boot',0

namefile db 'BTdrv.sys',0

szLOG   db 'hopy',0

szSSN   db 'TBSvr2007',0       ;ServiceStartName

szpath     db 'C:/WINNT/system32/drivers/BTdrv.sys',0

 

.code

invoke  CreateService,hSCM,addr namesvr,addr notesvr,/

      SERVICE_ALL_ACCESS,SERVICE_KERNEL_DRIVER,/

      SERVICE_BOOT_START,SERVICE_ERROR_NORMAL,/

      addr szpath,addr szLOG,addr tagid,NULL,/

      NULL,NULL

 

驱动代码如下:

;BTdrv.asm节选

local status:NTSTATUS

   local pDeviceObject:PVOID

 

   mov   status, STATUS_DEVICE_CONFIGURATION_ERROR

   xor   edi,edi

   mov   [edi],eax

   jmp   $

   mov   eax,status

   ret

 

结果如我们所预料,该Driver抢在DriverStudio之前发生

蓝屏,如果将这个Driver换成带有特定功能的代码的驱动,

则可以实现超前的目的。这个留给大家去想象吧,呵呵。

 

 

 

 

                                       hopy|侯佩

                                    2007.09.16 写于中国

                                    女足惨败于巴西之后

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
js控制div颜色
#div1{width:400px;height:400px;background-color:red;} function blue(){ div1=document.getElementById('div1'); div1.
535 0
react-native多图选择、图片裁剪(支持ad/ios图片个数控制)
前言:   目前关于rn比较知名并且封装好的图片选择控件很多,不过能同时支持多图片上传,个数控制兼容iOS/Ad的却寥寥无几,而今天介绍的这款框架可以实现:图片裁剪、最大图片个数限制、拍照、本地相册等功能。
1051 0
阿里云服务器端口号设置
阿里云服务器初级使用者可能面临的问题之一. 使用tomcat或者其他服务器软件设置端口号后,比如 一些不是默认的, mysql的 3306, mssql的1433,有时候打不开网页, 原因是没有在ecs安全组去设置这个端口号. 解决: 点击ecs下网络和安全下的安全组 在弹出的安全组中,如果没有就新建安全组,然后点击配置规则 最后如上图点击添加...或快速创建.   have fun!  将编程看作是一门艺术,而不单单是个技术。
4425 0
前端div层级控制
z-index:20000;使用此属性可以控制div的层级即哪个在上哪个在下
885 0
阿里云服务器远程登录用户名和密码的查询方法
阿里云服务器远程连接登录用户名和密码在哪查看?阿里云服务器默认密码是什么?云服务器系统不同默认用户名不同
413 0
键盘控制div上下左右移动 (转)
$(function(){ $(document).keydown(function (event) { var keyCode = event.keyCode; var space = 20; var div = $('#div'); switch(keyCode){ case 37: div.
827 0
+关注
大熊猫侯佩
贪吃贪睡的大熊猫侯佩
689
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
文娱运维技术
立即下载
《SaaS模式云原生数据仓库应用场景实践》
立即下载
《看见新力量:二》电子书
立即下载