Перехват DriverEntry...

[sasha_s7]

ЗАДАЧА: перехватить DriverEntry при загрузке определенного драйвера...

Есть какой-то хитрый драйвер он при загрузке чего-то делает и выходит. Так вот я хочу перехватить DriverEntry еще до его старта (но уже после его размежения в памяти). Команду софтайса "bpload" не предлагайте. Не ловит айс именно этот драйвер. Как перехватить любую функцию с известным прототипом и адрессом я знаю и умею. Загвоздка в выборе момента перехвата. Как вовремя перехватить?

[IRP]

Берешь IDA смотришь первый байт этого драйвера в DriverEntry, запоминаешь.
Ставить 0xcc (int 3) первым байтом в бинарнике, правишь контрольную сумму бинарника, подсовываешь системе. Когда драйвер загрусится - айс всплывет. Правишь первый байт в DriverEntry и регистр eip. Все

[maaaaaad]

А не проще ли просто дизассемблировать все?

[Ochkarik]

вроде были какие то способы, чтобы работающий драйвер/прогу нельзя было отладить софтайсом... может этот случай?
и были так же приблуды которые не дают драйверу или проге увидеть что в системе софтайс. поищите, в форуме была похожая инфа.

эээ... а bpx никак нельзя попробовать применить? если не путаю, есть возможность аппаратной реализации остановки по адресу (софтайс int1/3 использует по умолчанию, вставляет в код). посмотрите - нельзя ли софтайс перелючить на использование отладочных регистров процессора? где то я об этом слышал краем уха... какая то возможность похожая в софтайсе была...

[aks68]

Как насчет поюзать WinDbg + bu <moduleName>!DriverEntry  ?