Скачать Первый бой – он трудный самый!бесплатно

В консоли Syser'а находим пункт «Tools», а в нем – «Quick Driver Loader». В появившемся диалоговом окне указываем путь к драйверу CALL-the-BSOD.sys (Driver File Name). Имя сервиса (Service Name) загрузчик подставит самостоятельно. Нажимаем «Install» (установка) и «Start» (внимание: установку драйвера достаточно выполнить всего один раз и затем просто давить «Start», а когда нам надоест с ним экспериментировать – сказать «Uninstall» для удаления сервиса из системы, но впрочем, можно и не говорить, это всего лишь запись в реестре, которая никому не мешает).

Но мы сильно забегаем вперед. После нажатия кнопки «Start» отладчик появляется на экране, послушно остановившись на функции KeBugCheckEx. Если теперь нажать «x» для выхода из отладчика, передавая управления функции KeBugCheckEx, система немедленно рухнет, отображая следующий BSOD (смотри рисунок), то есть свершится то, что произошло бы, если бы отладчик не был установлен и сконфигурирован.

Обратившись к NTDDK, мы узнаем, что номер 1Eh принадлежит BugCheck-коду KMODE_EXCEPTION_NOT_HANDLED, сигнализирующему об ошибке доступа к памяти. Первый аргумент функции KeBugCheckEx содержит код исключения, в данном случае равный C0000005h (STATUS_ACCESS_VIOLATION – нарушение доступа). Второй аргумент (равный F75DF2AFh) – адрес дефективной машинной инструкции, до которой можно «дотянуться» командой «u *(esp+(4*3))» – дизассемблировать содержимое указателя, лежащего в третьем двойном слове относительно регистра-указателя вершины стека.

Если команда введена правильно, мы увидим код драйвера-убийцы, который мы только что компилировали, линковали и загружали через «Quick Driver Loader». Все ясно! Машинная команда MOV EAX, [EAX] (где EAX, как мы помним, равен нулю) обращается к нулевой ячейке памяти. Процессор генерирует исключение, подхватываемое ядром и после непродолжительных мытарств попадающее под трибунал KeBugCheckEx.

На регистры, отображаемые отладчиком в левом верхнем окне, лучше не смотреть. EAX там равен не нулю, а черт знает чему, а все потому, что с момента вызова исключения прошло слишком много времени, и регистровый контекст был изменен. А потому, возвращаться назад в драйвер нам нельзя. Точнее – можно, но для этого потребуется совершить слишком большое количество телодвижений, а мы тут не акробатикой занимаемся, а хакерством. Не будем крутить попой! Будем думать головой!