64位系统下7行代码隐藏驱动，不触发PG。

zjh7272

思路来源是CSDN的一位大佬，不过他的文章中只提到了关键函数，没有贴出代码，于是乎，自己动手~

1. extern "C" NTSYSAPI NTSTATUS NTAPI ZwQuerySystemInformation(ULONG SystemInformationClass, PVOID SystemInformation, ULONG SystemInformationLength, PULONG ReturnLength);
   
2. 
   
3. typedef struct _KLDR_DATA_TABLE_ENTRY {
   
4.     LIST_ENTRY InLoadOrderLinks;
   
5.     PVOID ExceptionTable;
   
6.     ULONG ExceptionTableSize;
   
7.     PVOID GpValue;
   
8.     ULONG UnKnow;
   
9.     PVOID DllBase;
   
10.     PVOID EntryPoint;
    
11.     ULONG SizeOfImage;
    
12.     UNICODE_STRING FullDllName;
    
13.     UNICODE_STRING BaseDllName;
    
14.     ULONG Flags;
    
15.     USHORT LoadCount;
    
16.     USHORT __Unused5;
    
17.     PVOID SectionPointer;
    
18.     ULONG CheckSum;
    
19.     PVOID LoadedImports;
    
20.     PVOID PatchInformation;
    
21. } KLDR_DATA_TABLE_ENTRY, *PKLDR_DATA_TABLE_ENTRY;
    
22. 
    
23. typedef struct _SYSINFO {
    
24.     ULONG U;
    
25.     PVOID X[2];
    
26.     PVOID BaseAddress;
    
27.     PVOID Size;
    
28. } SYSINFO, *PSYSINFO;
    
29. 
    
30. typedef VOID(*_MiProcessLoaderEntry)(IN PKLDR_DATA_TABLE_ENTRY DataTableEntry, IN LOGICAL Insert);
    
31. 
    
32. VOID HideDriver(PDRIVER_OBJECT DriverObject, ULONG Offset) {
    
33.     ULONG NeededSize;
    
34.     PSYSINFO SysInfo = (PSYSINFO)&SysInfo;
    
35.     ZwQuerySystemInformation(11, NULL, 0, &NeededSize);
    
36.     SysInfo = (PSYSINFO)ExAllocatePool(PagedPool, NeededSize);
    
37.     ZwQuerySystemInformation(11, SysInfo, NeededSize, NULL);
    
38.     _MiProcessLoaderEntry MiProcessLoaderEntry = (_MiProcessLoaderEntry)((PUCHAR)SysInfo->BaseAddress + Offset);
    
39.     MiProcessLoaderEntry((PKLDR_DATA_TABLE_ENTRY)DriverObject->DriverSection, 0);
    
40. }

复制代码

其中HideDriver函数就是主要代码啦，一共7行（诚实的楼主）。

第二个参数是版本偏移（其实就是硬编码= =我自己通过IDA找出来的）
Win7 32位是 0x761D7 ，Win7 64位是 0x16A1D0 ，Win10 64位是 0x18AD8 。

我根据多份系统样品的IDA分析，这个常量应该是不会变的，其中Win10的截至1809Preview（build 17713）暂未改变。

结构体KLDR_DATA_TABLE_ENTRY来自百度。
结构体SYSINFO为自创，网上找的定位ntoskrnl基址的代码都太繁琐或者兼容性差，so我自己改了一下~
在卸载驱动之前必须恢复隐藏，也就是再调用一次函数，第二个参数由0改成1。
我这个方法隐藏驱动后一切正常，不触发PG，可以与应用层通信，也可以FltRegisterFilter等。

但如果按照原文中说的执行DriverObject->DriverSection = NULL后会出问题（在MajorFunction[IRP_MJ_DEVICE_CONTROL]函数中执行的），
不知道是不是我注册了MiniFilter导致的-_-...

--------------------------------------------
好了，本小白继续去钻研WSK去了(⊙o⊙)…