新農(nóng)村建設(shè)評(píng)論網(wǎng)站,延安網(wǎng)站建設(shè)電話(huà),網(wǎng)站建設(shè)的er圖怎么畫(huà),好姑娘在線觀看完整視頻高清一、目標(biāo)#xff1a;遍歷系統(tǒng)中所有已加載驅(qū)動(dòng) 在內(nèi)核中#xff0c;每一個(gè)已加載的模塊#xff08;exe / dll / sys#xff09;都會(huì)有一個(gè) _LDR_DATA_TABLE_ENTRY 結(jié)構(gòu)體描述它。 對(duì)于驅(qū)動(dòng)來(lái)說(shuō)#xff1a;會(huì)把“當(dāng)前驅(qū)動(dòng)對(duì)應(yīng)的那個(gè) _LDR_DATA_TABLE_ENTRY 的地址” 存放在…一、目標(biāo)遍歷系統(tǒng)中所有已加載驅(qū)動(dòng)在內(nèi)核中每一個(gè)已加載的模塊exe / dll / sys都會(huì)有一個(gè)_LDR_DATA_TABLE_ENTRY結(jié)構(gòu)體描述它。對(duì)于驅(qū)動(dòng)來(lái)說(shuō)會(huì)把“當(dāng)前驅(qū)動(dòng)對(duì)應(yīng)的那個(gè) _LDR_DATA_TABLE_ENTRY 的地址” 存放在 DriverObject-DriverSection 中。 DriverObject-DriverSection當(dāng)前驅(qū)動(dòng)自己的 _LDR_DATA_TABLE_ENTRY_LDR_DATA_TABLE_ENTRY并不是孤立存在的, 它的第一個(gè)成員InLoadOrderLinks表明這個(gè)結(jié)構(gòu)被設(shè)計(jì)成“可掛入鏈表的節(jié)點(diǎn)”。換句話(huà)說(shuō)每一個(gè)模塊的_LDR_DATA_TABLE_ENTRY都和其它模塊的_LDR_DATA_TABLE_ENTRY通過(guò)LIST_ENTRY相互連接二、遍歷的本質(zhì)遍歷代碼做的事情只有三步拿到當(dāng)前驅(qū)動(dòng)的_LDR_DATA_TABLE_ENTRY通過(guò)它的InLoadOrderLinks.Flink找到“下一個(gè)節(jié)點(diǎn)”再?gòu)倪@個(gè)節(jié)點(diǎn)還原出下一個(gè)模塊的 _LDR_DATA_TABLE_ENTRY遍歷驅(qū)動(dòng)完整代碼#includentddk.htypedefstruct_LDR_DATA_TABLE_ENTRY{LIST_ENTRY InLoadOrderLinks;LIST_ENTRY InMemoryOrderLinks;LIST_ENTRY InInitializationOrderLinks;PVOID DllBase;PVOID EntryPoint;ULONG SizeOfImage;UNICODE_STRING FullDllName;UNICODE_STRING BaseDllName;ULONG Flags;USHORT LoadCount;USHORT TlsIndex;LIST_ENTRY HashLinks;PVOID SectionPointer;ULONG CheckSum;ULONG TimeDateStamp;PVOID LoadedImports;PVOID EntryPointActivationContext;PVOID PatchInformation;LIST_ENTRY ForwarderLinks;LIST_ENTRY ServiceTagLinks;LIST_ENTRY StaticLinks;PVOID ContextInformation;ULONG OriginalBase;LARGE_INTEGER LoadTime;}LDR_DATA_TABLE_ENTRY,*PLDR_DATA_TABLE_ENTRY;// 卸載函數(shù)VOIDDriverUnload(PDRIVER_OBJECT DriverObject){DbgPrint((mydriver) 驅(qū)動(dòng)程序停止運(yùn)行了。 );}NTSTATUSDriverEntry(PDRIVER_OBJECT DriverObject,PUNICODE_STRING RegistryPath){DbgPrint((mydriver) DRIVER_OBJECT 地址%p ,DriverObject);DbgPrint((mydriver) 驅(qū)動(dòng)名稱(chēng)%wZ ,DriverObject-DriverName);DbgPrint((mydriver) 模塊基址%p ,DriverObject-DriverStart);DbgPrint((mydriver) 模塊大小0x%X ,DriverObject-DriverSize);DbgPrint((mydriver) -------開(kāi)始遍歷模塊------- );// DriverSection 通常指向當(dāng)前驅(qū)動(dòng)自身的 LDR_DATA_TABLE_ENTRYPLDR_DATA_TABLE_ENTRY first(PLDR_DATA_TABLE_ENTRY)DriverObject-DriverSection;if(firstNULL){DbgPrint((mydriver) DriverSection 為空無(wú)法遍歷。 );DriverObject-DriverUnloadDriverUnload;returnSTATUS_SUCCESS;}// 用 LIST_ENTRY 來(lái)做鏈表遍歷PLIST_ENTRY headfirst-InLoadOrderLinks;PLIST_ENTRY curhead-Flink;inti0;while(cur!head){// 從 LIST_ENTRY* 還原回 LDR_DATA_TABLE_ENTRY*PLDR_DATA_TABLE_ENTRY ldrCONTAINING_RECORD(cur,LDR_DATA_TABLE_ENTRY,InLoadOrderLinks);if(ldr-FullDllName.Length!0){DbgPrint((mydriver) [%d] %wZ ,i,ldr-FullDllName);// DbgPrint((mydriver) Base: %wZ , ldr-BaseDllName);// DbgPrint((mydriver) BaseAddr: %p , ldr-DllBase);// DbgPrint((mydriver) Size: 0x%X , ldr-SizeOfImage);}curcur-Flink;}DbgPrint((mydriver) -------遍歷結(jié)束------- );DriverObject-DriverUnloadDriverUnload;returnSTATUS_SUCCESS;}