zwSetSystemInformation加载驱动API调用源码

万胜

zwSetSystemInformation函数是个未公开的函数，调用38号会加载驱动

对应的第二个参数为SYSTEM_LOAD_AND_CALL_IMAGE结构体

第三个参数为SYSTEM_LOAD_AND_CALL_IMAGE结构体的长度

1. #include <Windows.h>
   
2. #include <stdio.h>
   
3. 
   
4. #define NT_SUCCESS(Status) ((NTSTATUS)(Status) >= 0)
   
5. 
   
6. #define SystemLoadAndCallImage        38
   
7. 
   
8. typedef struct _UNICODE_STRING {
   
9.         USHORT Length;
   
10.         USHORT MaximumLength;
    
11.         PVOID  Buffer;
    
12. }UNICODE_STRING, *PUNICODE_STRING;
    
13. 
    
14. //typedef unsigned long        NTSTATUS;
    
15. 
    
16. typedef struct _SYSTEM_LOAD_AND_CALL_IMAGE{
    
17.         UNICODE_STRING ModuleName;
    
18. } SYSTEM_LOAD_AND_CALL_IMAGE,*PSYSTEM_LOAD_AND_CALL_IMAGE;
    
19. 
    
20. //声明三个函数的原型
    
21. typedef DWORD (CALLBACK* ZWSETSYSTEMINFORMATION)(DWORD, PVOID, LONG );
    
22. ZWSETSYSTEMINFORMATION ZwSetSystemInformation;
    
23. //typedef DWORD (CALLBACK* RTLINITUNICODESTRING)(PUNICODE_STRING, PCWSTR);
    
24. //RTLINITUNICODESTRING RtlInitUnicodeString;
    
25. typedef DWORD (CALLBACK* RTLANSISTRINGTOUNICODESTRING)(PVOID, PVOID, DWORD);
    
26. RTLANSISTRINGTOUNICODESTRING RtlAnsiStringToUnicodeString;
    
27. 
    
28. int main(int argc, char* argv)
    
29. {
    
30.         SYSTEM_LOAD_AND_CALL_IMAGE gregsImage;
    
31.         UNICODE_STRING TmpBuff;
    
32. 
    
33.         char szDrvFullPath[256];
    
34.         int iBufflen;
    
35. 
    
36.         //手工加载这三个函数
    
37.         //if (!(RtlInitUnicodeString = (RTLINITUNICODESTRING)GetProcAddress(GetModuleHandle("ntdll.dll"),"RtlInitUnicodeString")))
    
38.         //{
    
39.         //        printf("GetProcAddrss error:%d\n", GetLastError());
    
40.         //        exit(-1);
    
41.         //}
    
42.         if (!(RtlAnsiStringToUnicodeString = (RTLANSISTRINGTOUNICODESTRING)GetProcAddress(GetModuleHandle("ntdll.dll"),"RtlAnsiStringToUnicodeString")))
    
43.         {
    
44.                 printf("GetProcAddrss error:%d\n", GetLastError());
    
45.                 exit(-1);
    
46.         }
    
47.         if (!(ZwSetSystemInformation = (ZWSETSYSTEMINFORMATION)GetProcAddress(GetModuleHandle("ntdll.dll"),"ZwSetSystemInformation")))
    
48.         {
    
49.                 printf("GetProcAddrss error:%d\n", GetLastError());
    
50.                 exit(-1);
    
51.         }
    
52. 
    
53.         //ring 0 访问磁盘时要用\\??\\%s 的方式, 以前出错时少了一个?
    
54.         iBufflen = sprintf(szDrvFullPath, "\\??\\%s", "c:\\aaa.sys");
    
55.         szDrvFullPath[iBufflen] = 0;
    
56. 
    
57.         TmpBuff.Buffer = (PVOID)szDrvFullPath;
    
58.         TmpBuff.Length = iBufflen;
    
59. 
    
60.         RtlAnsiStringToUnicodeString(&amp;(gregsImage.ModuleName), &amp;TmpBuff, 1);
    
61.         if (NT_SUCCESS(ZwSetSystemInformation(SystemLoadAndCallImage, &amp;gregsImage, sizeof(SYSTEM_LOAD_AND_CALL_IMAGE))))
    
62.         {
    
63.                 printf("drive %s was loaded....", szDrvFullPath);
    
64.         }
    
65.         else
    
66.         {
    
67.                 printf("dirve load error...");
    
68.         }
    
69.         getchar();
    
70.         return 1;
    
71. }
    

复制代码

其中，aaa.sys的代码为：

1. #include <ntddk.h>
   
2. 
   
3. DRIVER_UNLOAD Unload;
   
4. 
   
5. VOID Unload( __in  struct _DRIVER_OBJECT *DriverObjec t)
   
6. {
   
7.         KdPrint(("unload ....."));
   
8. }
   
9. 
   
10. NTSTATUS DriverEntry( __in  PDRIVER_OBJECT DriverObject, __in  PUNICODE_STRING RegistryPath )
    
11. {
    
12.         DriverObject->DriverUnload = Unload;
    
13.         KdPrint(("dirver entry...."));
    
14.         return STATUS_SUCCESS;
    
15. }

复制代码

将生成的aaa.sys放到C盘根目录，运行ring 3的程序。