易语言恢复SSDT驱动源码

系统结构:DriverEntry,驱动通信,DispatchCreateClose,驱动卸载,创建符号链接及设备,Get_KeServiceDescriptorTable_Address,ReadIntByAddr,读内存,写内存,取变量地址,DbgPrint,DbgPrintInt,memcpy,IoCreateDevice,IoCreateSymbolicLink,RtlAnsiStringToUnicodeString,RtlInitAnsiString,RtlFreeUnicodeString,IoIsWdmVersionAvailable,IoDeleteDevice,IoDeleteSymbolicLink,获取ring3传入的数组,获取ring3传入的数据,IoCompleteRequest,MmGetSystemRoutineAddress,

======程序集1
           |  |
           |  |------ _启动子程序
           |  |
           |  |------ DriverEntry
           |  |
           |  |------ 驱动通信
           |  |
           |  |------ DispatchCreateClose
           |  |
           |  |------ 驱动卸载
           |  |
           |  |------ 创建符号链接及设备
           |  |
           |  |------ Get_KeServiceDescriptorTable_Address
           |  |
           |  |------ ReadIntByAddr
           |  |
           |  |------ 读内存
           |  |
           |  |------ 写内存
           |  |
           |  |------ 取变量地址
           |  |
           |  |
======调用的Dll
           |  |
           |  |---[dll]------   DbgPrint
           |  |
           |  |---[dll]------   DbgPrintInt
           |  |
           |  |---[dll]------   _Write_Int
           |  |
           |  |---[dll]------   _Read_Int
           |  |
           |  |---[dll]------   _Write_DRIVER_OBJECT
           |  |
           |  |---[dll]------   _Read_DRIVER_OBJECT
           |  |
           |  |---[dll]------   _Write_IRP
           |  |
           |  |---[dll]------   memcpy
           |  |
           |  |---[dll]------   _Read_IRP
           |  |
           |  |---[dll]------   IoCreateDevice
           |  |
           |  |---[dll]------   IoCreateSymbolicLink
           |  |
           |  |---[dll]------   RtlAnsiStringToUnicodeString
           |  |
           |  |---[dll]------   RtlInitAnsiString
           |  |
           |  |---[dll]------   RtlFreeUnicodeString
           |  |
           |  |---[dll]------   IoIsWdmVersionAvailable
           |  |
           |  |---[dll]------   IoDeleteDevice
           |  |
           |  |---[dll]------   IoDeleteSymbolicLink
           |  |
           |  |---[dll]------   获取ring3传入的数组
           |  |
           |  |---[dll]------   获取ring3传入的数据
           |  |
           |  |---[dll]------   IoCompleteRequest
           |  |
           |  |---[dll]------   MmGetSystemRoutineAddress

调用的DLL命令:

.DLL命令 DbgPrint, , "ntoskrnl.lib", "@_DbgPrint"
    .参数 Buffer, 文本型

.DLL命令 DbgPrintInt, , "ntoskrnl.lib", "@_DbgPrint"
    .参数 Format, 文本型
    .参数 Value, 整数型

.DLL命令 _Write_Int, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, 整数型, 传址
    .参数 大小, 整数型

.DLL命令 _Read_Int, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, 整数型, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 _Write_DRIVER_OBJECT, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, DRIVER_OBJECT, 传址
    .参数 大小, 整数型

.DLL命令 _Read_DRIVER_OBJECT, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, DRIVER_OBJECT, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 _Write_IRP, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的地址, 整数型
    .参数 源变量, IRP, 传址
    .参数 大小, 整数型

.DLL命令 memcpy, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, 整数型
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 _Read_IRP, , "ntoskrnl.lib", "@_memcpy"
    .参数 目的变量, IRP, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 IoCreateDevice, 整数型, "ntoskrnl.lib", "_IoCreateDevice@28", , .
    .参数 DriverObject, 整数型
    .参数 DeviceExtensionSize, 整数型
    .参数 DeviceName, UNICODE_STRING, 传址
    .参数 DeviceType, 整数型
    .参数 DeviceCharacteristics, 整数型
    .参数 Exclusive, 逻辑型
    .参数 DeviceObject, 整数型, 传址

.DLL命令 IoCreateSymbolicLink, 整数型, "ntoskrnl.lib", "_IoCreateSymbolicLink@8"
    .参数 SymbolicLinkName, UNICODE_STRING, 传址
    .参数 DeviceName, UNICODE_STRING, 传址

.DLL命令 RtlAnsiStringToUnicodeString, 整数型, "ntoskrnl.lib", "_RtlAnsiStringToUnicodeString@12"
    .参数 DestinationString, UNICODE_STRING, 传址
    .参数 SourceString, ANSI_STRING, 传址
    .参数 AllocateDestinationString, 逻辑型

.DLL命令 RtlInitAnsiString, , "ntoskrnl.lib", "_RtlInitAnsiString@8"
    .参数 DestinationString, ANSI_STRING, 传址
    .参数 SourceString, 文本型, 传址

.DLL命令 RtlFreeUnicodeString, , "ntoskrnl.lib", "_RtlFreeUnicodeString@4"
    .参数 UnicodeString, UNICODE_STRING, 传址

.DLL命令 IoIsWdmVersionAvailable, 逻辑型, "ntoskrnl.lib", "_IoIsWdmVersionAvailable@8"
    .参数 MajorVersion, 字节型
    .参数 MinorVersion, 字节型

.DLL命令 IoDeleteDevice, , "ntoskrnl.lib", "_IoDeleteDevice@4"
    .参数 DeviceObject, 整数型

.DLL命令 IoDeleteSymbolicLink, , "ntoskrnl.lib", "_IoDeleteSymbolicLink@4"
    .参数 SymbolicLinkName, UNICODE_STRING, 传址

.DLL命令 获取ring3传入的数组, , "ntoskrnl.lib", "@_memcpy", , 2个
    .参数 目的变量, 整数型, 传址 数组
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 获取ring3传入的数据, , "ntoskrnl.lib", "@_memcpy", , 1个
    .参数 目的变量, 整数型, 传址
    .参数 源地址, 整数型
    .参数 大小, 整数型

.DLL命令 IoCompleteRequest, , "ntoskrnl.lib", "_IoCompleteRequest@8"
    .参数 Irp, 整数型
    .参数 PriorityBoost, 整数型

.DLL命令 MmGetSystemRoutineAddress, 整数型, "ntoskrnl.lib", "_MmGetSystemRoutineAddress@4"
    .参数 SystemRoutineName, UNICODE_STRING