驱动开发：内核监视LoadImage映像回调

驱动,开发,内核,监视,loadimage,映像,回调 · 浏览次数 : 443

小编点评

## PsSetLoadImageNotifyRoutine 常用于注册LoadImage映像监视本章将深入探索 PsSetLoadImageNotifyRoutine 常用于注册LoadImage映像监视的功能。该函数允许注册进程和线程在模块加载时自动执行特定回调函数，并将回调函数传递给内核。 **PsSetLoadImageNotifyRoutine 函数参数：** * `FullImageName`：包含模块全路径的字符串。 * `ModuleStyle`：模块类型，取值为 0 或 1。 * `ImageInfo`：包含模块信息结构体的指针。 **实现模块加载监听功能的步骤：** 1. **注册回调函数：** 使用 PsSetLoadImageNotifyRoutine 注册回调函数，并在回调函数中处理模块加载的信息。 2. **获取模块信息：** 通过 `GetDriverEntryByImageBase` 获取当前进程详细参数，并通过 `ImageInfo` 获取模块信息结构体。 3. **处理模块加载事件：** 在回调函数中判断 `ModuleStyle`，根据不同类型处理模块加载过程。 4. **返回处理结果：** 在回调函数中返回处理结果，例如日志记录、通知内核或其他操作。 **完整代码片段：** ```c++ VOID MyLySharkLoadImageNotifyRoutine(PUNICODE_STRING FullImageName, HANDLE ModuleStyle, PIMAGE_INFO ImageInfo) { PVOID pDrvEntry; // 验证地址可用性 if (FullImageName != NULL && MmIsAddressValid(FullImageName)) { // 模块类型为零，获取加载主进程名 UCHAR *load_name = GetCurrentProcessName(); // 获取加载模块信息 pDrvEntry = GetDriverEntryByImageBase(ImageInfo >ImageBase); // 打印加载信息 DbgPrint("[LyShark SYS加载] 模块名称:%wZ --> 装载基址:%p --> 镜像长度: %d --> 装载主进程: %s \\", FullImageName, pDrvEntry, ImageInfo >ImageSize, load_name); } else if (ModuleStyle != 0) { // 模块类型为非零，获取加载主进程名 UCHAR *load_name = GetCurrentProcessName(); // 获取加载模块信息 pDrvEntry = GetDriverEntryByImageBase(ImageInfo >ImageBase); // 打印加载信息 DbgPrint("[LyShark DLL加载] 模块名称:%wZ --> 装载基址:%p --> 镜像长度: %d --> 装载主进程: %s \\", FullImageName, pDrvEntry, ImageInfo >ImageSize, load_name); } } ``` **总结：** PsSetLoadImageNotifyRoutine 是一个强大的回调注册函数，可以方便地监听模块加载事件并处理相关信息。通过该函数，我们可以实现对模块的实时监控和动态处理，为系统性能优化提供 invaluable 的帮助。

正文

在笔者上一篇文章《驱动开发：内核注册并监控对象回调》介绍了如何运用ObRegisterCallbacks注册进程与线程回调，并通过该回调实现了拦截指定进行运行的效果，本章LyShark将带大家继续探索一个新的回调注册函数，PsSetLoadImageNotifyRoutine常用于注册LoadImage映像监视，当有模块被系统加载时则可以第一时间获取到加载模块信息，需要注意的是该回调函数内无法进行拦截，如需要拦截则需写入返回指令这部分内容将在下一章进行讲解，本章将主要实现对模块的监视功能。

监视模块加载与卸载需要费别使用两个函数，这两个函数的参数传递都是自己的回调地址。

PsSetLoadImageNotifyRoutine 设置回调
PsRemoveLoadImageNotifyRoutine 移除回调

此处MyLySharkLoadImageNotifyRoutine回调地址必须有三个参数传递组成，其中FullImageName代表完整路径，ModuleStyle代表模块类型，一般来说ModuleStyle=0表示加载SYS驱动，如果ModuleStyle=1则表示加载的是DLL，最后一个参数ImageInfo则是映像的详细参数结构体。

VOID MyLySharkLoadImageNotifyRoutine(PUNICODE_STRING FullImageName, HANDLE ModuleStyle, PIMAGE_INFO ImageInfo)

那么如何实现监视映像加载呢，来看如下完整代码片段，首先PsSetLoadImageNotifyRoutine注册回调，当有模块被加载则自动执行MyLySharkLoadImageNotifyRoutine回调函数，其内部首先判断ModuleStyle得出是什么类型的模块，然后再通过GetDriverEntryByImageBase拿到当前进程详细参数并打印输出。

// 署名权
// right to sign one's name on a piece of work
// PowerBy: LyShark
// Email: me@lyshark.com
#include <ntddk.h>
#include <ntimage.h>

// 未导出函数声明
PUCHAR PsGetProcessImageFileName(PEPROCESS pEProcess);

// 获取到镜像装载基地址
PVOID GetDriverEntryByImageBase(PVOID ImageBase)
{
	PIMAGE_DOS_HEADER pDOSHeader;
	PIMAGE_NT_HEADERS64 pNTHeader;
	PVOID pEntryPoint;
	pDOSHeader = (PIMAGE_DOS_HEADER)ImageBase;
	pNTHeader = (PIMAGE_NT_HEADERS64)((ULONG64)ImageBase + pDOSHeader->e_lfanew);
	pEntryPoint = (PVOID)((ULONG64)ImageBase + pNTHeader->OptionalHeader.AddressOfEntryPoint);
	return pEntryPoint;
}

// 获取当前进程名
UCHAR* GetCurrentProcessName()
{
	PEPROCESS pEProcess = PsGetCurrentProcess();
	if (NULL != pEProcess)
	{
		UCHAR *lpszProcessName = PsGetProcessImageFileName(pEProcess);
		if (NULL != lpszProcessName)
		{
			return lpszProcessName;
		}
	}
	return NULL;
}

// 设置自己的回调函数
VOID MyLySharkLoadImageNotifyRoutine(PUNICODE_STRING FullImageName, HANDLE ModuleStyle, PIMAGE_INFO ImageInfo)
{
	PVOID pDrvEntry;

	// MmIsAddress 验证地址可用性
	if (FullImageName != NULL && MmIsAddressValid(FullImageName))
	{
		// ModuleStyle为零表示加载sys
		if (ModuleStyle == 0)
		{
			// 得到装载主进程名
			UCHAR *load_name = GetCurrentProcessName();
			pDrvEntry = GetDriverEntryByImageBase(ImageInfo->ImageBase);
			DbgPrint("[LyShark SYS加载] 模块名称:%wZ --> 装载基址:%p --> 镜像长度: %d --> 装载主进程: %s \n", FullImageName, pDrvEntry, ImageInfo->ImageSize, load_name);
		}
		// ModuleStyle非零表示加载DLL
		else
		{
			// 得到装载主进程名
			UCHAR *load_name = GetCurrentProcessName();
			pDrvEntry = GetDriverEntryByImageBase(ImageInfo->ImageBase);
			DbgPrint("[LyShark DLL加载] 模块名称:%wZ --> 装载基址:%p --> 镜像长度: %d --> 装载主进程: %s \n", FullImageName, pDrvEntry, ImageInfo->ImageSize, load_name);
		}
	}
}

VOID UnDriver(PDRIVER_OBJECT driver)
{
	PsRemoveLoadImageNotifyRoutine((PLOAD_IMAGE_NOTIFY_ROUTINE)MyLySharkLoadImageNotifyRoutine);
	DbgPrint("[LyShark.com] 驱动卸载完成...");
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark.com \n");

	PsSetLoadImageNotifyRoutine((PLOAD_IMAGE_NOTIFY_ROUTINE)MyLySharkLoadImageNotifyRoutine);
	DbgPrint("[LyShark.com] 驱动加载完成...");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

运行这个驱动程序，则会输出被加载的驱动详细参数。