Загрузка драйвера из ядра

Можно ли из ядра загрузить драйвер (то есть один драйвер загружает другой)? Какие есть способы кроме ZwLoadDriver (не хочу создавать ключ реестра).

 

попробуй ZwSetSystemInformation

 

эти флаги?

SystemLoadImage, // 26 N Y
SystemUnloadImage, // 27 N Y
SystemLoadAndCallImage, // 38 N Y

 

Угу, zwsetsysteminformation + SystemLoadImage
Примеры в инете есть, use google

 

Хорошо. есть ещё вопрос. Как я понимаю, ядро всегда загружается по одному и тому же адресу. Могут ли меняться адреса функций ntoskrnl.exe при различных событиях (обновление системы, установка новых драйверов и т.д.). То есть могу ли я, скажем, один раз (во время инсталяции дрова) определить адреса нужных мне фунекций и намертво прошить их в дров. насколько стоит на это надеяться?

 

нет конечно.

 

хм.. Я имею ввиду на конкретном компьютере. Неужели ntdll и kernel32 загружаеются всегда по одинаковым адресам, а ntoskrnl постоянно по разным?

При загрузке:

Код (Text):

1. NTSTATUS __stdcall DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING pRegistryPath)
2. {
3.     SYSTEM_LOAD_AND_CALL_IMAGE  ImageInfo = {InitUnicodeString(L"\\??\\c:\\test_driver.sys")};
4.     NTSTATUS status;
5.  
6.     pDriverObject->DriverUnload = DriverUnload;
7.  
8.     status = ZwSetSystemInformation(SystemLoadAndCallImage,&ImageInfo,sizeof(SYSTEM_LOAD_AND_CALL_IMAGE));
9.     DbgPrint("%08X",status);
10.  
11. return STATUS_SUCCESS;
12. }

вылазит ошибка STATUS_NO_MEMORY = 0xC0000017.
обычным способом test_driver.sys грузится нормально.

 

не всегда, но и полагатся на это не нужно.

 

По разным. Проверял

 

ядро может буть чуток изменено, зависит напрямую от сервиспаков.

 

ZwSetSystemInformation нужно использовать с большой осторожностью, только в случае если понимаешь все ее минусы, в свое время убил кучу времени в непонтках, почему падает драйвер на строках по виду на 100 процентов корректных. Для ОФИЦИАЛЬНОГО так сказать софта ее не нужно использовать не вкоем случае. Я ее использовал только для загрузки драйвера, который снимал SSDT хуки, а потом с помощью ZwLoadDriver уже грузил полноценный драйвер.