dt _DRIVER_OBJECT 81b7cf38
我们查看在0x034偏移DriverUnload(驱动程序卸载)的这个地方的值，这里有个DriverUnload的函数，这个偏移的地址是0xf8aae486
下面我们在这个地址这里设置一个断点，来查看这里发生了什么（这个断点用物理机上的WinDbg设置）
bp 81b7cf38
这里在和大家说明一下，系统为我们分配的地址每次都是不一样的，大家要根据自己的实际情况进行复现。
下一步，我们回到虚拟机中，F9运行OD。
这里我们的断点已经被命中，然后我们继续，这时候虚拟机也已经暂停了运行，下面我们执行单步调试，WinDbg的单步调试对话框输入p就可以了。
我们一直使用P指令，可以看到一个块领空的全部汇编语句，如下
push ecx push ebx push esi move esi, dword ptr [Lab10_01+0x780 f(f8aae780)] push edi xor edi, edi push offset Lab10_01+0x6bc(f8aae6bc) push edi mov dword ptr [ebp-4], edi call esi
这个时候我们需要指导call的这个esi究竟是什么函数
使用指令
u esi
RtlCreateRegistryKey调用,大家可以百度一下看看官方是如何定义这个函数的
有两个入参，第一个入参是edi，即RelativeTo=edi，第二个是offset Lab10_01+0x6bc(f8aae6bc)，即Path=offset Lab10_01+0x6bc(f8aae6bc)
这里的RelativeTo的值为0，接下来我们看看Path的值，这里我们先用da命令
在地址f8aae6bc处的值的ASCII是\，当然，这样对查看单个地址上的数据比较有用，如果数据很多，要查看的话，我们用dc命令
这里的Path的值就是\Registry\Machine\SOFTWARE\Policies\Microsoft，然后后面就是全0的截断符了
然后下面又是一个相同的调用nt!RtlCreateRegistryKey，edi的值没有改变还是0，我们看看f7a54640的值
push offset Lab10_01+0x640(f7a54640) push edi call esi
注意这里下面被圈红的截断符(web渗透里面叫截断符’\00’，计算机里面叫文件结束符)，这里我们得出的Path是\Registry\Machine\SOFTWARE\Policies\Microsoft\WindowsFirewall
从字面意思应该可以大概知道这个注册表是关于防火墙的
继续下面的汇编代码
还是一个nt!RtlCreateRegistryKey调用，和上面两个片段类似
edi至今未变，我们看看Path的值
这里还未出现文件结束符，说明这里还有数据没有显示出来，我们跳到最后显示这个地址继续显示
我们可以得出这次调用的Path的值是\Registry\Machine\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
这里的esi还是未变，我们看看Path的值，如上图
依旧是一次未能显示全，我们往下跳
可得出Path的值就是\Registry\Machine\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
所以应该是调用了四次nt!RtlCreateRegistryKey(书中有误)，然后依次创建的键路径在如下所示
\Registry\Machine\SOFTWARE\Policies\Microsoft \Registry\Machine\SOFTWARE\Policies\Microsoft\WindowsFirewall \Registry\Machine\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile \Registry\Machine\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
然后我们继续往下分析，下面的代码如下
mov esi, dword ptr [Lab10_01+0x788(f8aae5a8)] push 4 lea eax,[ebp-4] push eax push 4 mov edi,offset Lab10_01+0x4ee(f8aae50c) push edi push offset Lab10_01+0x5a8(f8aae788) push 0 call esi
遇到一个call函数了，这里的第一句已经改变了esi，再也不是那个nt!RtlCreateRegistryKey
我们看看这个函数是什么
是nt!RtlWriteRegistryValue，向注册表里面写入值的内核函数
这里对我们来说有意义的参数，一个是Path，这个Path的值我们查查应该是\Registry\Machine\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
，然后ValueName的值是EnableFirewall
然后下一个是ValueData的值是，这里的eax的值是[ebp-4]的值，所以我们找ebp-4的值
所以这个eax的值是0，这里的意思就是将EnableFirewall这个的值设置为了0，意义就是从内核禁止了Windows的防火墙功能
我们看看Path的值应该是\Registry\Machine\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
然后ValueName的值是EnableFirewall
最后是ValueData的值是0
所以这里还是通过内核改变注册表\Registry\Machine\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile的键EnableFireawll为0来关闭防火墙
这个程序的整体思路：程序运行之后会启动一个服务，然后通过运行一个驱动创建修改注册表的值，来关闭防火墙。
注意：\Registry\Machine的开头很怪异，，并不是我们常见的HKEY的注册表。当从内核态王文注册表时，\Registry\Machine就等同于HKEY_LICAL_MACHINE。同时我们需要知道，EnableFirewall的值为0，表示禁用Windows XP的防火墙。
希望大家可以有所收获，windbg是一个非常强大但是入手很难的工具，共勉！
