Скачать Уроки практической магиибесплатно

Напишем простой драйвер, обращающийся к памяти по нулевому указателю (что категорически недопустимо) и, как следствие, вызывающий BSOD, с которым мы и будем сражаться.

Исходный ассемблерный текст простейшего драйвера-убийцы приведен ниже:

.686
.model flat, stdcall

extern DbgPrint:PROC
.code

DriverEntry proc
push offset to_die
; вывод предупредительного сообщения
CALL DbgPrint
pop eax

XOR EAX, EAX
; обнуляем регистр EAX
MOV EAX, [EAX]
; здесь выскакивает BSOD

push offset happy
; если вы читаете этот текст,
CALL DbgPrint
; значит, вы еще живы :)
pop eax

mov eax, 0C0000182h
; STATUS_DEVICE_CONFIGURATION_ERROR
; RET
; Four-F says
RETN 8
; <- haron says
DriverEntry endp

.data
to_die DB "*] prepare to die! [*",0Dh,0Ah,0
happy DB "*] welcome to life [*",0Dh,0Ah,0

end DriverEntry

Для его сборки нам понадобится NTDDK (который можно бесплатно скачать с серверов Microsoft), а также командный файл, в котором переменная окружения ntoskrnl содержит полный путь к библиотеке ntoskrnl.lib (зависящий от того, куда инсталлятор установил NTDDK). Как видно, мыщъх использует путь, отличный от пути по умолчанию (C:\Program Files\) и потому нуждающийся в коррекции. В противном случае собрать драйвер не получится. На всякий случай, готовый драйвер CALL-the-BSOD.sys прилагается к статье.

@ECHO OFF
REM устанавливаем необходимые переменные окружения
SET FILE_NAME=CALL-the-BSOD
SET ntoskrnl=D:\NTDDK\libchk\i386\ntoskrnl.lib

REM удаляем результаты предыдущей сборки
IF EXIST %FILE_NAME%.obj DEL %FILE_NAME%.obj

REM транслируем ассемблерный листинг
ml /nologo /c /coff %FILE_NAME%.asm
IF NOT EXIST %FILE_NAME%.obj GOTO err

REM линкуем сгенерированный .obj файл
link /nologo /driver /base:0x10000 /align:32
/out:%FILE_NAME%.sys /subsystem:native
%FILE_NAME%.obj %ntoskrnl%
GOTO end

:err
ECHO -ERR!

:end