当前位置：首页 > news >正文

新手也能看懂的Windows驱动逆向：从RCTF赛题MyDriver2到Inline Hook实战解析

news 2026/4/21 20:18:11

Windows驱动逆向入门：从CTF赛题到Inline Hook实战

第一次拿到一个.sys驱动文件时，很多人会下意识地把它当作普通exe来处理。这种直觉其实很有价值——逆向工程的核心就是找到熟悉的切入点。去年我在分析某个安全产品时，就遇到了类似的场景：一个看似复杂的驱动模块，最终发现其核心逻辑可以简化为几个关键函数和数据结构。今天我们就以RCTF赛题MyDriver2为例，带大家体验一次完整的驱动逆向之旅。

1. 驱动逆向的准备工作

驱动逆向和普通应用逆向最大的区别在于运行环境。驱动运行在内核态，直接与硬件和操作系统核心交互。不过对于静态分析来说，我们暂时不需要搭建内核调试环境。以下是新手必备的工具清单：

反编译工具：IDA Pro（主力）、Ghidra（免费替代）
调试器：WinDbg Preview（微软官方工具）
辅助工具：
- PEView（查看PE结构）
- DriverView（查看已加载驱动）
- DbgView（内核日志查看）

提示：初学者可以先从静态分析入手，等熟悉了驱动结构再尝试动态调试

驱动文件通常包含以下几个关键部分：

驱动入口点（DriverEntry）
设备对象和符号链接
分发函数（Dispatch Routines）
回调函数和过滤逻辑

2. 从数据区寻找突破口

打开MyDriver2.sys文件，我们首先关注数据区。在IDA的"Segments"窗口中找到.data段，这里通常存放着全局变量和初始化数据。本案例中，两个关键数据引起了注意：

qword_16310 db 58h dup(?) qword_16390 db 80h dup(?)

这两个缓冲区的大小很有特点：0x58(88)和0x80(128)字节。在逆向工程中，这种"不规整"的大小往往是重要线索。我们可以用以下方法追踪它们的引用：

在IDA中右键点击变量名，选择"Jump to xref"
查看所有读写该位置的反汇编代码
重点关注循环操作和异或(XOR)运算

很快我们发现了sub_113C8函数中的关键逻辑：

do { *v3 ^= v1; ++v3; } while ((signed __int64)v3 < (signed __int64)qword_16390);

这是一个典型的异或解密循环，v1是密钥，v3指针从qword_16310开始，直到qword_16390结束。这种模式在CTF逆向题中非常常见。

3. 逆向加密算法

深入分析sub_113C8函数，我们发现它执行了以下操作：

从sub_11DF0复制0x22字节代码到临时缓冲区
分配内存并执行这段代码
计算结果用于后续解密

sub_11DF0函数的逻辑其实很简单：

return a2 & 0xF0F0F0F0F0F0F0F0ui64 ^ a1 & 0x0F0F0F0F0F0F0F0Fui64;

这是一个位掩码操作，我们可以用Python模拟这个过程：

def calculate_key(a1, a2): return (a2 & 0xF0F0F0F0F0F0F0F0) ^ (a1 & 0x0F0F0F0F0F0F0F0F)

通过静态分析，我们确定了输入参数：

a1 = 0xCCC12345
a2 = 0x54321CCC

计算结果dword_16414 = 0x5C3113C5，这个值将成为解密密钥。

4. 编写解密脚本

有了密钥和加密算法，我们可以还原原始数据。以下是完整的Python解密脚本：

from pwn import * # 计算密钥 key = 0x54321CCC & 0xF0F0F0F0F0F0F0F0 ^ 0xCCC12345 & 0x0F0F0F0F0F0F0F0F print(f"Calculated key: {hex(key)}") # 第一段数据解密 enc_data1 = [ 0x5C5813A25C6E1395, 0x5C5413885C5413B3, 0x5C5013A95C57139A, 0x5C0213F75C6E13A2, 0x5C4913B15C1F13F6, 0x13B1 ] dec_data1 = b'' for block in enc_data1: dec_data1 += p64(block ^ (key | (key << 32))) print(f"First stage decrypted: {dec_data1}") # 第二段数据解密 enc_data2 = [ 0x6105664765377470, 0x733A416D730C2011, 0x6E285F096C166D36, 0x6F5C686D6531690B, 0x780002726A5F58, 0x67005F00500074, 0x4D006500760069, 0x6C0066005F0065, 0x32005F00670061, 0x74002E00330033, 0x5F005000740078, 0x65007600690067, 0x66005F0065004D, 0x5F00670061006C, 0x2E003300330032, 0x50007400780074 ] dec_data2 = b'' for block in enc_data2: dec_data2 += p64(block) print(f"Second stage data: {dec_data2}") # 最终异或解密 flag = [] for i, byte in enumerate(dec_data2): flag.append(byte ^ dec_data1[i % 42]) print(bytes(flag))

运行脚本后，我们得到了flag：RCTF{A_simple_Inline_hook_Drv}

5. Inline Hook技术解析

这个题目名为"A_simple_Inline_hook_Drv"，那么什么是Inline Hook？它与普通Hook有何不同？

Inline Hook原理：

直接修改目标函数的机器码
通常以JMP指令覆盖原函数开头
跳转到自定义处理函数
执行完自定义逻辑后再返回原函数

与传统Hook技术对比：

特性	Inline Hook	IAT Hook
修改位置	函数体内部	导入表
检测难度	较难	较易
适用范围	任意函数	仅DLL函数
稳定性风险	较高	较低

在驱动开发中，Inline Hook常用于：

文件系统过滤
网络流量监控
行为监控与拦截

一个典型的Inline Hook实现步骤：

// 1. 备份原函数头 memcpy(original_bytes, target_function, HOOK_LENGTH); // 2. 构造跳转指令 BYTE jmp_code[HOOK_LENGTH] = { 0xE9 }; // JMP指令 *(DWORD*)(jmp_code + 1) = (DWORD)hook_function - (DWORD)target_function - 5; // 3. 修改内存保护 VirtualProtect(target_function, HOOK_LENGTH, PAGE_EXECUTE_READWRITE, &old_protect); // 4. 写入跳转指令 memcpy(target_function, jmp_code, HOOK_LENGTH); // 5. 恢复内存保护 VirtualProtect(target_function, HOOK_LENGTH, old_protect, &old_protect);

注意：在内核模式下使用Inline Hook需要特别小心，错误的Hook可能导致系统蓝屏

6. 驱动逆向的进阶技巧

掌握了基础分析方法后，可以尝试以下进阶技巧：

符号恢复：
- 使用PDB文件恢复符号
- 通过字符串和函数特征推测原始符号名
上下文关联分析：
- 结合设备名、IOCTL码分析功能
- 追踪IRP分发函数调用链
动态分析技巧：
- 使用WinDbg设置断点
```
bp MyDriver!DriverEntry
```
- 监控IRP处理
```
!devobj 设备对象地址
```
反反调试技巧：
- 识别和绕过ObRegisterCallbacks
- 处理DebugPort清零