遍历windows驱动

怼烎@ 2023-10-12 05:57 9阅读 0赞

驱动都存在

\\\\Driver 或者 \\\\FileSystem 目录对象里 我们只需要遍历这两个目录就可以遍历windows所有驱动

知识点

\\\\Driver  \\\\FileSystem (dt \_OBJECT\_DIRECOTRY)都属于 ObpDirectoryObjectType(window内核全局变量) 对象

其他对象全局变量 可以参考 作者:潘爱民 书名:windows内核原理与实现 的 2.4图

一个目录对象 含有37个DirectoryEnTry 对象(dt \_OBJECT\_DIRECTORY\_ENTRY)

\_OBJECT\_DIRECTORY\_ENTRY 里的Object 指向的就是 驱动的 DriverObject( dt \_DRIVER\_OBJECT)

具体内容看代码

VOID init()

\{

UNICODE\_STRING vDriverName = \{ 0 \};

RtlInitUnicodeString(&vDriverName, L"\\\\Driver");

POBJECT\_DIRECTORY vPObjectDirectory;

NTSTATUS vStatus;

vStatus = ObReferenceObjectByName(

&vDriverName,

OBJ\_CASE\_INSENSITIVE | OBJ\_KERNEL\_HANDLE,

NULL,

0,

(POBJECT\_TYPE)0x869d0040,

KernelMode,

NULL,

(PVOID \*)&vPObjectDirectory

);

if (NT\_SUCCESS(vStatus))

\{

KdPrint(("成功"));

for (ULONG vI = 0; vI < NUMBER\_HASH\_BUCKETS; vI++)

\{

PDRIVER\_OBJECT vDriverObject = NULL;

POBJECT\_DIRECTORY\_ENTRY vObjectDirectoryEntry = NULL;

vObjectDirectoryEntry = vPObjectDirectory->HashBuckets\[vI\];

while (vObjectDirectoryEntry && MmIsAddressValid((PVOID)vObjectDirectoryEntry))

\{

vDriverObject = (PDRIVER\_OBJECT)vObjectDirectoryEntry->Object;

if (MmIsAddressValid((PVOID)vDriverObject))

\{

if (MmIsAddressValid(&vDriverObject->DriverName))

\{

if (wcsstr(vDriverObject->DriverName.Buffer, L"PCHunter32") != NULL)

\{

KdPrint(("\\r\\n\\r\\n找到了\\r\\n\\r\\n"));

RtlInitUnicodeString(&vDriverObject->DriverName, L"\\Driver\\text32");

\}

KdPrint(("名:%wZ\\r\\n", &vDriverObject->DriverName));

\}

\}

vObjectDirectoryEntry = vObjectDirectoryEntry->ChainLink;

\}

\}

ObDereferenceObject(vPObjectDirectory);

\}

else

KdPrint(("vStatus = 0x%08X\\r\\n", vStatus));

RtlInitUnicodeString(&vDriverName, L"\\\\FileSystem");

vStatus = ObReferenceObjectByName(

&vDriverName,

OBJ\_CASE\_INSENSITIVE | OBJ\_KERNEL\_HANDLE,

NULL,

0,

(POBJECT\_TYPE)0x869d0040,

KernelMode,

NULL,

(PVOID \*)&vPObjectDirectory

);

if (NT\_SUCCESS(vStatus))

\{

KdPrint(("成功"));

for (ULONG vI = 0; vI < NUMBER\_HASH\_BUCKETS; vI++)

\{

PDRIVER\_OBJECT vDriverObject = NULL;

POBJECT\_DIRECTORY\_ENTRY vObjectDirectoryEntry = NULL;

vObjectDirectoryEntry = vPObjectDirectory->HashBuckets\[vI\];

while (vObjectDirectoryEntry && MmIsAddressValid((PVOID)vObjectDirectoryEntry))

\{

vDriverObject = (PDRIVER\_OBJECT)vObjectDirectoryEntry->Object;

if (MmIsAddressValid((PVOID)vDriverObject))

\{

if (MmIsAddressValid(&vDriverObject->DriverName))

\{

KdPrint(("名:%wZ\\r\\n", &vDriverObject->DriverName));

\}

\}

vObjectDirectoryEntry = vObjectDirectoryEntry->ChainLink;

\}

\}

ObDereferenceObject(vPObjectDirectory);

\}

else

KdPrint(("vStatus = 0x%08X\\r\\n", vStatus));

\}

![923483-20160926162529063-316904492.jpg][]jpg 改 rar

转载于:https://www.cnblogs.com/kuangke/p/5909655.html

[923483-20160926162529063-316904492.jpg]: https://images2015.cnblogs.com/blog/923483/201609/923483-20160926162529063-316904492.jpg

发表评论取消回复

表情：

评论列表（有 0 条评论，9人围观）

还没有评论，来说两句吧...

相关阅读

相关遍历windows驱动

驱动都存在 \\\\Driver 或者 \\\\FileSystem 目录对象里我们只需要遍历这两个目录就可以遍历windows所有驱动知识点 \\\\

怼烎@/ 2023年10月12日 05:57/ 0 赞/ 10 阅读

相关前序遍历、中序遍历、后序遍历、层次遍历

public class Tree { public static void main(String[] args) { TreeN

布满荆棘的人生/ 2022年10月27日 00:30/ 0 赞/ 321 阅读

相关 js数组遍历、对象遍历、字符串遍历

[2019独角兽企业重金招聘Python工程师标准>>> ][2019_Python_] ![hot3.png][] 数组遍历 for \--使用变量将数组长度缓

男娘i/ 2022年10月02日 00:49/ 0 赞/ 331 阅读

相关 windows 遍历目录批处理

@echo off set work\_path=E:\\apktool1.5.2\\es\_apk\\es\_s E: cd %work\_path%

梦里梦外;/ 2022年09月17日 11:28/ 0 赞/ 276 阅读

相关 windows文件遍历

// 文件遍历用到了WIN32 API中的FindFirstFile、FindNextFile和FindClose函数。 // FindFirstFi

小鱼儿/ 2022年09月17日 01:51/ 0 赞/ 202 阅读

相关 Windows进程遍历

// 进程遍历：获取计算机系统上运行的所有进程的信息，包括用户进程和系统进程。 // 进程遍历的方式有很多： // 1.通过进程快照。 // 2

淩亂°似流年/ 2022年09月15日 12:39/ 0 赞/ 228 阅读

相关 java遍历之数组遍历,list遍历,set遍历,map遍历，stream遍历,Enumeration遍历

1.\_遍历方式其实遍历的就两种,对象和数组.只是哪个遍历适用于哪个而已 1. for 2. for增强 3. foreach 4. 迭代(Iterable)

迈不过友情╰/ 2022年09月11日 06:19/ 0 赞/ 361 阅读

相关 windows 遍历文件夹

下面是msdn 关于文件管理板块的链接 [https://msdn.microsoft.com/en-us/library/windows/desktop/aa364229

ゝ一世哀愁。/ 2022年06月11日 06:30/ 0 赞/ 376 阅读

相关 Windows提高_1.2遍历进程、遍历模块

进程什么是进程？通俗的来讲，进程就是一个运行中的程序，最少包含一个虚拟空间，通常是 4 GB大小，一组提供数据和代码的模块，通产是 d

阳光穿透心脏的1/2处/ 2021年12月09日 16:39/ 0 赞/ 220 阅读

相关数组遍历。对象遍历。字符串遍历

数组遍历 for for(var i=0;i<arr.length;i++)\{ ...... \} forEach arr.forEach(

墨蓝/ 2021年11月29日 13:48/ 0 赞/ 580 阅读