工具介绍
用于绕过 Windows x64 驱动签名强制的驱动加载程序
TDL (Turla Driver Loader)
用于绕过 Windows x64 驱动签名强制的驱动加载器
DSEFix 和 TDL 的区别 尽管 DSEFix 和 TDL 都利用了驱动程序漏洞的优势,但它们在使用方式上完全不同。 DSEFix 通过操作名为 g_CiEnabled (Vista/7, ntoskrnl.exe) 和/或 g_CiOptions (8+ CI.DLL) 的内核变量来实现关闭 DSE,并不需要其他任何操作。 DSEFix 的主要缺点是,在 Windows 的现代版本(8+)中, g_CiOptions 变量受到 PatchGuard(KPP)保护,这意味着 DSEFix 有可能导致蓝屏。 TDL 不修改任何内核变量,这使其对 PatchGuard 友好。它使用小型 shellcode 将您的驱动程序映射到内核模式,而不涉及 Windows 加载程序(因此不会触发 DSE 的任何部分),并执行它。这正是 TDL 的主要优势 - 无侵入性地绕过 DSE。然而,存在许多缺点:首先和最主要的 -> 您的驱动程序必须专门创建为"无驱动"模式运行,这意味着您将无法加载任何驱动程序,只能加载专门设计的驱动程序。您的驱动程序将存在于内核模式中,作为可执行代码缓冲区,不会链接到 PsLoadedModuleList,还会存在其他限制。然而,此代码将在内核模式下运行,用户模式应用程序将能够与之通信。当然,您可以加载多个驱动程序,前提是它们不冲突。
如何