初学驱动逆向，笔记二。

关注

VIP免费原创最新推荐文章于 2025-12-11 17:07:05 发布 1k 阅读 AI 写同款· GEO 优化 ›

逆向一个基于驱动的恶意程序本程序发现于机器狗变种病毒释放恶意程序的下载列表中:穿透还原系统后的机器狗病毒在机器启动后会从指定网址下载多个恶意程序，本程序即其中之一，其功能为通过底层键盘过滤方式盗取用户键盘输入信息。因程序使用了底层键盘过滤技术，故而可记录大部分软件的键盘输入，包括网游、QQ、邮箱的帐户输入信息等。一、原理：此程序随系统进程internat.exe启动而被执行，程序通过加载自身资源里的两个驱动来隐阅读详情

例子： [ \chapter09\StartIOTest ]

本例子的核心代码是HelloDDKStartIO处理过程。

初学驱动逆向，逆向函数还原代码，无壳无花，流程也很简单。

IDA反汇编代码：

void __stdcall HelloDDKStartIO(_DEVICE_OBJECT *DeviceObject, _IRP *Irp)

event= _KEVENT ptr -1Ch
timeout= _LARGE_INTEGER ptr -0Ch
oldirql= byte ptr -4
DeviceObject= dword ptr  8
Irp= dword ptr  0Ch

push    ebp
mov     ebp, esp

sub     esp, 1Ch
push    offset Format     // "Enter HelloDDKStartIO\n"
call    _DbgPrint         // KdPrint(("Enter HelloDDKStartIO\n"));
add     esp, 4               // 申请空间
lea     eax, [ebp+oldirql]   // 取地址
push    eax                  // Irql
call    ds:__imp__IoAcquireCancelSpinLock@4    // IoAcquireCancelSpinLock(oldirql);
mov     ecx, [ebp+DeviceObject]
mov     edx, [ebp+Irp]
cmp     edx, [ecx+14h]        //