Можно ли загрузить системный драйвер из памяти, не касаясь файловой системы напрямую? - PullRequest
0 голосов
/ 22 января 2020

Можно ли загрузить подписанный драйвер windows из памяти, при этом файл никогда не касается диска? Если это возможно, это тривиально для достижения или есть какие-либо препятствия для преодоления. Для пояснения, драйвер может существовать на диске в некоторый момент, но в зашифрованном состоянии.

Например, я знаю, что возможно декодировать полезную нагрузку из памяти и вставить ее в другой работающий процесс, но так как это технически это Windows «особенность». Я не уверен, насколько все просто, когда вы загружаете вещи в ядро.

Если это возможно, начисляйте бонусные очки за источники. Все, что мне удалось найти, это то, что люди называют друг друга идиотами и авторами вредоносных программ, не понимая, насколько это технически возможно / выполнимо.

Мой пример использования - обнаружение md5sum, поскольку загрузка драйверов в 64-битную windows систему они должны быть подписаны, и поэтому ха sh будет неизменным. Если вы можете загружать драйверы из памяти, тогда мониторинга файловой системы будет недостаточно для моих нужд.

1 Ответ

1 голос
/ 23 января 2020

Нет, драйверы должны иметь запись в диспетчере служб, указывающую на какой-либо файл bin. это часть реестра служб

Я знаю, что windbg может заменить образ драйвера, но это отладчик ядра, использующий файлы карт

...