Win64 驱动内核编程-31.枚举与删除映像回调

枚举与删除映像回调

    映像回调可以拦截 RING3 和 RING0 的映像加载。某些游戏保护会用此来拦截黑名单中的驱动加载，比如 XUETR、WIN64AST 的驱动。同理，在反游戏保护的过程中，也可以拦截游戏驱动的加载。

    跟进程/线程回调类似，映像回调也存储在数组里。这个数组的“符号名”是PspLoadImageNotifyRoutine。我们可以在 PsSetLoadImageNotifyRoutine 中找到它：

实现的代码如下：

 

ULONG64 FindPspLoadImageNotifyRoutine()
{
ULONG64	i=0,pCheckArea=0;
UNICODE_STRING	unstrFunc;
RtlInitUnicodeString(&unstrFunc, L"PsSetLoadImageNotifyRoutine");
pCheckArea = (ULONG64)MmGetSystemRoutineAddress (&unstrFunc);
DbgPrint("PsSetLoadImageNotifyRoutine: %llx",pCheckArea);
for(i=pCheckArea;i

 

 

 

 

 

执行结果如下：

    用这三种回调（CreateProcess、CreateThread、LoadImage）来做监控其实并不怎么靠谱，因为系统里存在一个开关，叫做 PspNotifyEnableMask，如果它的值被设置为 0，那么所有的相关操作都不会经过回调。换句话说，如果 PspNotifyEnableMask等于 0，那么所有的进程、线程、映像回调都会失效。不过这个变量并没有在导出函数中直接出现，所以找到它略难。

宋孖健，13