易语言驱动编写模板源码

系统结构:DriverUnload,DispatchCreate,DispatchClose,DispatchDeviceControl,DriverEntry,SDK_Hook,SDK_初始化Hook,SDK_取原始函数地址,SSDT_HOOK,Get_KeServiceDescriptorTable_ServiceTableBase_Address,Write_SSDT,ReadIntByAddr,Call,CALL_,GetProcAddressAddress,GetIntAddress,SYSCALL_INDEX,Get_Func_Address,NewZwOpenProcess,NewZwTerminateProcess,DbgPrint,DbgPrintInt,DbgPrintString,strlen,IoCreateDevice,IoCreateSymbolicLink,RtlAnsiStringToUnicodeString,RtlInitAnsiString,RtlFreeUnicodeString,IoIsWdmVersionAvailable,IoDeleteDevice,IoDeleteSymbolicLink,IoCompleteRequest,MmGetSystemRoutineAddress,ExAllocatePool,ExFreePool,

======驱动入口
           |  |
           |  |------ _启动子程序
           |  |
           |  |------ DriverUnload
           |  |
           |  |------ DispatchCreate
           |  |
           |  |------ DispatchClose
           |  |
           |  |------ DispatchDeviceControl
           |  |
           |  |------ DriverEntry
           |  |
           |  |------ SDK_Hook
           |  |
           |  |------ SDK_初始化Hook
           |  |
           |  |------ SDK_取原始函数地址
           |  |
           |  |------ SSDT_HOOK
           |  |
           |  |
======辅助
           |  |
           |  |------ Get_KeServiceDescriptorTable_ServiceTableBase_Address
           |  |
           |  |------ Write_SSDT
           |  |
           |  |------ ReadIntByAddr
           |  |
           |  |------ Call
           |  |
           |  |------ CALL_
           |  |
           |  |------ GetProcAddressAddress
           |  |
           |  |------ GetIntAddress
           |  |
           |  |------ SYSCALL_INDEX
           |  |
           |  |------ Get_Func_Address
           |  |
           |  |
======Fake函数
           |  |
           |  |------ NewZwOpenProcess
           |  |
           |  |------ NewZwTerminateProcess
           |  |
           |  |
======调用的Dll
           |  |
           |  |---[dll]------   DbgPrint
           |  |
           |  |---[dll]------   DbgPrintInt
           |  |
           |  |---[dll]------   DbgPrintString
           |  |
           |  |---[dll]------   strlen
           |  |
           |  |---[dll]------   _Write_Int
           |  |
           |  |---[dll]------   _Read_Int
           |  |
           |  |---[dll]------   _Write_String
           |  |
           |  |---[dll]------   _Read_String
           |  |
           |  |---[dll]------   _Write_DRIVER_OBJECT
           |  |
           |  |---[dll]------   _Read_DRIVER_OBJECT
           |  |
           |  |---[dll]------   _Write_IRP
           |  |
           |  |---[dll]------   _Read_IRP
           |  |
           |  |---[dll]------   IoCreateDevice
           |  |
           |  |---[dll]------   IoCreateSymbolicLink
           |  |
           |  |---[dll]------   RtlAnsiStringToUnicodeString
           |  |
           |  |---[dll]------   RtlInitAnsiString
           |  |
           |  |---[dll]------   RtlFreeUnicodeString
           |  |
           |  |---[dll]------   IoIsWdmVersionAvailable
           |  |
           |  |---[dll]------   IoDeleteDevice
           |  |
           |  |---[dll]------   IoDeleteSymbolicLink
           |  |
           |  |---[dll]------   IoCompleteRequest
           |  |
           |  |---[dll]------   MmGetSystemRoutineAddress
           |  |
           |  |---[dll]------   _Read_SSDT
           |  |
           |  |---[dll]------   ExAllocatePool
           |  |
           |  |---[dll]------   ExFreePool

  

调用的DLL命令:

.DLL命令 DbgPrint, , "ntoskrnl.lib", "@_DbgPrint"
    .参数 Buffer, 文本型

.DLL命令 DbgPrintInt, , "ntoskrnl.lib", "@_DbgPrint"
    .参数 Format, 文本型
    .参数 Value, 整数型

.DLL命令 DbgPrintString, , "ntoskrnl.lib", "@_DbgPrint"
    .参数 Format, 文本型
    .参数 Value, 文本型

.DLL命令 strlen, 整数型, "ntoskrnl.lib", "@_strlen"
    .参数 buffer, 文本型

.DLL命令 _Write_Int, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, 整数型, 传址
    .参数 大小, 整数型

.DLL命令 _Read_Int, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, 整数型, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 _Write_String, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, 文本型, 传址
    .参数 大小, 整数型

.DLL命令 _Read_String, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, 文本型, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 _Write_DRIVER_OBJECT, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, DRIVER_OBJECT, 传址
    .参数 大小, 整数型

.DLL命令 _Read_DRIVER_OBJECT, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, DRIVER_OBJECT, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 _Write_IRP, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, IRP, 传址
    .参数 大小, 整数型

.DLL命令 _Read_IRP, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, IRP, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 IoCreateDevice, 整数型, "ntoskrnl.lib", "_IoCreateDevice@28", , .
    .参数 DriverObject, 整数型, , PDRIVER_OBJECT
    .参数 DeviceExtensionSize, 整数型
    .参数 DeviceName, UNICODE_STRING, 传址
    .参数 DeviceType, 整数型
    .参数 DeviceCharacteristics, 整数型
    .参数 Exclusive, 逻辑型
    .参数 DeviceObject, 整数型, 传址, PDEVICE_OBJECT*

.DLL命令 IoCreateSymbolicLink, 整数型, "ntoskrnl.lib", "_IoCreateSymbolicLink@8"
    .参数 SymbolicLinkName, UNICODE_STRING, 传址
    .参数 DeviceName, UNICODE_STRING, 传址

.DLL命令 RtlAnsiStringToUnicodeString, 整数型, "ntoskrnl.lib", "_RtlAnsiStringToUnicodeString@12"
    .参数 DestinationString, UNICODE_STRING, 传址
    .参数 SourceString, ANSI_STRING, 传址
    .参数 AllocateDestinationString, 逻辑型

.DLL命令 RtlInitAnsiString, , "ntoskrnl.lib", "_RtlInitAnsiString@8"
    .参数 DestinationString, ANSI_STRING, 传址
    .参数 SourceString, 文本型, 传址

.DLL命令 RtlFreeUnicodeString, , "ntoskrnl.lib", "_RtlFreeUnicodeString@4"
    .参数 UnicodeString, UNICODE_STRING, 传址

.DLL命令 IoIsWdmVersionAvailable, 逻辑型, "ntoskrnl.lib", "_IoIsWdmVersionAvailable@8"
    .参数 MajorVersion, 字节型
    .参数 MinorVersion, 字节型

.DLL命令 IoDeleteDevice, , "ntoskrnl.lib", "_IoDeleteDevice@4"
    .参数 DeviceObject, 整数型

.DLL命令 IoDeleteSymbolicLink, , "ntoskrnl.lib", "_IoDeleteSymbolicLink@4"
    .参数 SymbolicLinkName, UNICODE_STRING, 传址

.DLL命令 IoCompleteRequest, , "ntoskrnl.lib", "_IoCompleteRequest@8"
    .参数 Irp, 整数型
    .参数 PriorityBoost, 整数型

.DLL命令 MmGetSystemRoutineAddress, 整数型, "ntoskrnl.lib", "_MmGetSystemRoutineAddress@4"
    .参数 SystemRoutineName, UNICODE_STRING

.DLL命令 _Read_SSDT, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, SSDT, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 ExAllocatePool, 整数型, "ntoskrnl.lib", "_ExAllocatePool@8"
    .参数 a, 整数型
    .参数 size, 整数型

.DLL命令 ExFreePool, 整数型, "ntoskrnl.lib", "_ExFreePool@4"
    .参数 addr, 整数型