易语言驱动读取CreateProces类型的系统回调源码

系统结构:DriverEntry,CreateDevice,DriverUnload,IoCompleteRequest,安装代码,ExReferenceCallBackBlock,ExGetCallBackBlockRoutine,ExDereferenceCallBackBlock,获取子程序,cli,sti,KeServiceDescriptorTable,获取系统地址,ReadWordDate,执行_,CALL_,取子程序内部指针,取地址字节,指针到整数_,读取驱动_,写入驱动_,读取分派_,写入分派_,写入内存_,读取内存_,写入字节_,创建字符_,转到Un字符_,释放Un字符_,完成请求_,创建设备_,创建链接_,删除设备_,删除链接_,输出调试_,关闭句柄_,获取内核地址_,PsGetProcessImageFileName,PsGetCurrentProcess,PsLookupProcessByProcessId,PsSetCreateProcessNotifyRoutine,ObDereferenceObject,

======程序集
           |  |
           |  |------ _启动子程序
           |  |
           |  |------ DriverEntry
           |  |
           |  |------ CreateDevice
           |  |
           |  |------ DriverUnload
           |  |
           |  |------ IoCompleteRequest
           |  |
           |  |------ 安装代码
           |  |
           |  |------ ExReferenceCallBackBlock
           |  |
           |  |------ ExGetCallBackBlockRoutine
           |  |
           |  |------ ExDereferenceCallBackBlock
           |  |
           |  |------ 获取子程序
           |  |
           |  |------ cli
           |  |
           |  |------ sti
           |  |
           |  |------ KeServiceDescriptorTable
           |  |
           |  |------ 获取系统地址
           |  |
           |  |------ ReadWordDate
           |  |
           |  |------ 执行_
           |  |
           |  |------ CALL_
           |  |
           |  |------ 取子程序内部指针
           |  |
           |  |------ 取地址字节
           |  |
           |  |------ 指针到整数_
           |  |
           |  |
======调用的Dll
           |  |
           |  |---[dll]------   读取驱动_
           |  |
           |  |---[dll]------   写入驱动_
           |  |
           |  |---[dll]------   读取分派_
           |  |
           |  |---[dll]------   写入分派_
           |  |
           |  |---[dll]------   写入内存_
           |  |
           |  |---[dll]------   读取内存_
           |  |
           |  |---[dll]------   写入字节_
           |  |
           |  |---[dll]------   创建字符_
           |  |
           |  |---[dll]------   转到Un字符_
           |  |
           |  |---[dll]------   释放Un字符_
           |  |
           |  |---[dll]------   完成请求_
           |  |
           |  |---[dll]------   创建设备_
           |  |
           |  |---[dll]------   创建链接_
           |  |
           |  |---[dll]------   删除设备_
           |  |
           |  |---[dll]------   删除链接_
           |  |
           |  |---[dll]------   输出调试_
           |  |
           |  |---[dll]------   关闭句柄_
           |  |
           |  |---[dll]------   获取内核地址_
           |  |
           |  |---[dll]------   PsGetProcessImageFileName
           |  |
           |  |---[dll]------   PsGetCurrentProcess
           |  |
           |  |---[dll]------   PsLookupProcessByProcessId
           |  |
           |  |---[dll]------   PsSetCreateProcessNotifyRoutine
           |  |
           |  |---[dll]------   ObDereferenceObject

调用的DLL命令:

.DLL命令 读取驱动_, 整数型, "ntoskrnl.lib", "@_memcpy"
    .参数 目标地址, 驱动类型, 传址
    .参数 源地址, 整数型
    .参数 长度, 整数型

.DLL命令 写入驱动_, 整数型, "ntoskrnl.lib", "@_memcpy"
    .参数 目标地址, 整数型
    .参数 源地址, 驱动类型, 传址
    .参数 长度, 整数型

.DLL命令 读取分派_, 整数型, "ntoskrnl.lib", "@_memcpy"
    .参数 目标地址, 分派类型, 传址
    .参数 源地址, 整数型
    .参数 长度, 整数型

.DLL命令 写入分派_, 整数型, "ntoskrnl.lib", "@_memcpy"
    .参数 目标地址, 整数型
    .参数 源地址, 分派类型, 传址
    .参数 长度, 整数型

.DLL命令 写入内存_, 整数型, "ntoskrnl.lib", "@_memcpy"
    .参数 目标地址, 整数型
    .参数 源地址, 整数型, 传址
    .参数 长度, 整数型

.DLL命令 读取内存_, 整数型, "ntoskrnl.lib", "@_memcpy"
    .参数 目标地址, 整数型, 传址
    .参数 源地址, 整数型
    .参数 长度, 整数型

.DLL命令 写入字节_, 整数型, "ntoskrnl.lib", "@_memcpy"
    .参数 目标地址, 整数型
    .参数 源地址, 字节型, 传址
    .参数 长度, 整数型

.DLL命令 创建字符_, 整数型, "ntoskrnl.lib", "_RtlInitAnsiString@8"
    .参数 目标地址, 编码字符串, 传址
    .参数 源地址, 文本型, 传址

.DLL命令 转到Un字符_, 整数型, "ntoskrnl.lib", "_RtlAnsiStringToUnicodeString@12"
    .参数 目标地址, 编码字符串, 传址
    .参数 源地址, 编码字符串, 传址
    .参数 分配目标地址, 逻辑型

.DLL命令 释放Un字符_, 整数型, "ntoskrnl.lib", "_RtlFreeUnicodeString@4"
    .参数 Unicode字符, 编码字符串, 传址

.DLL命令 完成请求_, 整数型, "ntoskrnl.lib", "@_IoCompleteRequest@8"
    .参数 分派函数, 整数型
    .参数 优先级, 整数型

.DLL命令 创建设备_, 整数型, "ntoskrnl.lib", "_IoCreateDevice@28"
    .参数 驱动句柄, 整数型
    .参数 设备长度, 整数型
    .参数 设备名称, 编码字符串, 传址
    .参数 设备类型, 整数型
    .参数 设备属性, 整数型
    .参数 设备独占, 逻辑型
    .参数 设备句柄, 整数型, 传址

.DLL命令 创建链接_, 整数型, "ntoskrnl.lib", "_IoCreateSymbolicLink@8"
    .参数 链接名, 编码字符串, 传址
    .参数 设备名, 编码字符串, 传址

.DLL命令 删除设备_, 整数型, "ntoskrnl.lib", "_IoDeleteDevice@4"
    .参数 驱动句柄, 整数型

.DLL命令 删除链接_, 整数型, "ntoskrnl.lib", "_IoDeleteSymbolicLink@4"
    .参数 链接名, 编码字符串, 传址

.DLL命令 输出调试_, 整数型, "ntoskrnl.lib", "_DbgPrint"
    .参数 格式, 文本型
    .参数 数值, 整数型

.DLL命令 关闭句柄_, 整数型, "ntoskrnl.lib", "_ZwClose@4"
    .参数 进程句柄, 整数型

.DLL命令 获取内核地址_, 整数型, "ntoskrnl.lib", "_MmGetSystemRoutineAddress@4"
    .参数 系统名称, 编码字符串

.DLL命令 PsGetProcessImageFileName, 文本型, "ntoskrnl.lib", "_PsGetProcessImageFileName@4"
    .参数 Process, 整数型

.DLL命令 PsGetCurrentProcess, 整数型, "ntoskrnl.lib", "_PsGetCurrentProcess@0", , Id

.DLL命令 PsLookupProcessByProcessId, 整数型, "ntoskrnl.lib", "_PsLookupProcessByProcessId@8"
    .参数 ProcessID, 整数型
    .参数 EProcess, 整数型, 传址

.DLL命令 PsSetCreateProcessNotifyRoutine, , "ntoskrnl.lib", "_PsSetCreateProcessNotifyRoutine@8", 公开
    .参数 NotifyRoutine, 整数型
    .参数 Remove, 逻辑型

.DLL命令 ObDereferenceObject, 整数型, "ntoskrnl.lib", "_ObDereferenceObject@4"
    .参数 pObject, 整数型