Tworzenie i uruchamianie sterowników w systemie Windows 7 x64

Przygotowanie środowiska pracy

Zacznijmy od przygotowania środowiska. Będzie nam potrzebne WDK (Windows Driver Kit), w wersji 7.1, która umożliwia tworzenie sterowników pod systemy Windows XP, Vista oraz 7. Gwoli ścisłości należy wspomnieć, że najnowszą obecnie wersją jest WDK 8, która obsługuje Windows 8, ale nie zadziała już na XP.
Jest ono dostępne do pobrania stąd: WDK 7.1. Plik ISO po pobraniu należy nagrać na płytę, lub zamontować jako wirtualny napęd w systemie. Następną wymaganą czynnością jest odpalenie instalatora z tego napędu. Podczas instalacji najlepiej jest zaznaczyć wszystkie możliwe komponenty, chyba że jesteśmy pewni, że któryś z nich się nam nie przyda.

Kompilacja przykładowego sterownika

Po zainstalowaniu WDK utwórzmy folder, gdzie będą się znajdować źródła naszego sterownika, nazwijmy go MyDriver. Niech będzie to C:\MyDriver. Należy w nim umieścić pliki:

• MyDriver.c:
  
  C/C++

  #include <ntddk.h>
  
  DRIVER_INITIALIZE DriverEntry;
  DRIVER_UNLOAD OnUnload;
  
  VOID OnUnload( IN PDRIVER_OBJECT DriverObject )
  {
      DbgPrint( "Invoked OnUnload" );
  }
  
  NTSTATUS DriverEntry( IN PDRIVER_OBJECT theDriverObject, IN PUNICODE_STRING theRegistryPath )
  {
      DbgPrint( "Hello world!" );
     
      theDriverObject->DriverUnload = OnUnload;
      return STATUS_SUCCESS;
  }
  
• SOURCES:
  
  TARGETNAME=MyDriver
  TARGETPATH=obj
  TARGETTYPE=DRIVER
  
  SOURCES=MyDriver.c
  
• MAKEFILE:
  
  !INCLUDE $(NTMAKEENV)\makefile.def

Po czym możemy już skompilować sterownik. W tym celu otwieramy Menu Start, wskazujemy kolejno Windows Driver Kits -> WDK 7600.16385.1 -> Build Environments -> Windows 7 -> x64 Free Build Environment. W oknie konsoli przechodzimy do katalogu C:\MyDriver i wpisujemy build. Powinniśmy otrzymać output o mniej więcej takiej postaci:
Nasz sterownik pojawił się teraz w lokalizacji C:\MyDriver\objfre_win7_amd64\amd64\mydriver.sys.

Podpisanie cyfrowe sterownika

Mamy sterownik, ale próba uruchomienia go w tej chwili zakończy się najprawdopodobniej otrzymaniem kodu błędu 577 (_{» WinAPI ♦} Systemowe kody błędów (500-999)). Dlaczego tak się dzieje? Otóż, od czasów Visty wszystkie sterowniki działające przy systemach x64 muszą być podpisane, aby można było je uruchomić. Taka mała niewygoda dla twórców rootkitów ;) Wiadomo jednak, że deweloper nie szejk katarski, pieniędzy łatwo wydawać nie chce. W związku z tym, stworzono coś, co nazywa się TESTSIGNING. Polega to na tym, że system zgodzi się na załadowanie wszystkich sterowników, które są podpisane jakimkolwiek certyfikatem, ale podpisane być muszą. Jak to włączyć? Potrzebne będą niestety uprawnienia administratora. Uruchamiamy cmd.exe, właśnie jako administrator, i wpisujemy następujące polecenie:


Wykonajmy teraz jeszcze jedną czynność. Teoretycznie powinna być opisana na końcu, ale żeby nie restartować komputera kilka razy, wspomniana będzie tutaj, a omówiona na końcu.
Uruchamiamy edytor rejestru i przechodzimy do klucza HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Debug Print Filter. Jeśli nie mamy go w rejestrze, należy go stworzyć. Następnie tworzymy nową wartość typu DWORD o nazwie DEFAULT i ustawiamy jej dane na 0xffffffff lub, w dziesiątkowym, na 4294967295. Następnie restartujemy komputer.

Nasz system powinien teraz obsługiwać testowe podpisywanie. Aby sprawdzić, czy to faktycznie działa, wystarczy popatrzyć na któryś z rogów pulpitu, czy znajduje się tam informacja o systemie i kompilacji. Wg MSDN'u jest to lewy dolny róg, ale w moim systemie prawy. Wygląda na to, że ktoś był nietrzeźwy ;)

Niemniej jednak, czas na wygenerowanie naszego testowego certyfikatu. Z poziomu cmd przechodzimy do katalogu C:\WinDDK\7600.16385.1\bin\amd64 i wpisujemy polecenie:

Aby sprawdzić, czy certyfikat został prawidłowo utworzony, można odpalić certmgr.msc i po lewej stronie przejść do Certyfikaty - bieżący użytkownik -> PrivateCertStore -> Certyfikaty.

Teraz pozostaje nam podpisać sterownik. Używamy w tym celu następującego polecenia:

Możemy jeszcze zweryfikować podpisanie, poprzez wykonanie następujących poleceń (z prawami administratora):

Jeśli nie wystąpiły żadne błędy, sterownik został prawidłowo podpisany i jest gotowy do użycia. No właśnie, jak go uruchomić? Generalnie, istnieje kilka metod. Jedna z nich, polega na wykorzystaniu nieudokumentowanych funkcji WinAPI (np. ZwSystemSetInformation z ntdll.dll). Pojawia się tu jednak pewien problem - pamięć sterownika może zostać poddana stronicowaniu. Próba dostępu do takiej pamięci może z kolei spowodować BSoD'a. Drugą (bezpieczną, bo sterowniki nie zostaną poddane stronicowaniu) metodą, jest użycie SCM (Service Control Manager), i właśnie tej metody użyjemy. Będziemy potrzebować dodatkowego programu. Możemy napisać go sami (przykładowy kod poniżej) lub ściągnąć z internetu (np. OSRLOADER).
Program należy skompilować z , a następnie uruchomić jako administrator.

Prawdopodobnie podczas uruchamiania nie otrzymaliśmy żadnych błędów, więc sterownik powinien działać. Można się o tym przekonać na własne oczy. Tutaj dochodzimy do miejsca, gdzie trzeba wytłumaczyć cel stworzenia odpowiednich wartości w rejestrze. Otóż, poczynając od Windows Visty i Windows Server 2008, output funkcji DbgPrint jest wyłączony. Jako że w naszym przykładowym sterowniku ta funkcja jest jedyną widoczną oznaką, że wszystko działa, należy ten output włączyć. Robimy to właśnie poprzez zmodyfikowanie rejestru.

Aby podglądnąć wynik działania tej funkcji, należy pobrać program DebugView i uruchomić go (oczywiście z prawami administratora), oraz wcisnąć Ctrl+K. Następnie uruchomić sterownik za pomocą naszego programu. W okienku DebugView powinnien się pojawić napis "Hello world!", a po zakończeniu usługi "Invoked OnUnload".

Podsumowanie

Artykuł ten ma na celu przedstawić sposób uruchomienia własnych sterowników jedynie jako ciekawostkę. Wszelkie błędy, jak również różnice w instalacji na innych systemach, można zgłaszać na forum.

Źródła

• http://msdn.microsoft.com/en-us/library/ff552275(v=vs.85).aspx
• http://www.amazon.com/Rootkits-Subverting-Windows-Greg-Hoglund/dp/0321294319