1.驱动加载
驱动加载的程序还是使用普通的驱动加载即可.但是64位(win7),微软推出了两种新的方式.
1.DSE
2.KPP
DSE: 这个机制是 驱动强制签名,也就是说你编写的驱动,都要进行签名...在编写的64为内核驱动, 如果我们的系统是安全模式启动,则没有DSE保护.也就是说不用签名.
现在有工具可以直接去使用.
?
第一个选项是,点击之后,你的系统启动则是在安全模式启动....第二个选项是, 点击之后,你的驱动可以添加一个测试签名.
3.注意的问题
如果进行了上面来了两个步骤,我们的驱动还是不能加载,那么这也是一个坑. 微软说了,在PE文件中,你的驱动必须有签名检查....三丶SSDT表的寻找,以及SSDT加密
我们知道 ring3 -> ring0 会通过SSDT表进行中专,
其EIP 会存放在 msr寄存器中. ...SSDT加密算法是 模块首地址 + 当前表中的地址>>4 .我们要计算地址的时候.只需要将SSDT表中的内容的函数地址<<4位加上模块首地址即可.