日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁(yè) > 云知道 > >

深入底層 評(píng)估Vista系統(tǒng)內(nèi)核模式安全性( 六 )

云知道


執(zhí)行首先從KiSystemStartup開(kāi)始 。Vista下的NTOSKRNL.EXE內(nèi)的一些重要部分與Windows 2003 SP1版相比，并沒(méi)有太多的改變，因此我們的重點(diǎn)為分析Vista下改變的特殊部分 。在Vista下，NTOSKRNL.EXE添加了一個(gè)新函數(shù)SepInitializeCodeIntegrity，但該函數(shù)僅僅是把CL.DLL內(nèi)的CiInitialize(關(guān)于CiInitialize會(huì)在后面的章節(jié)VI進(jìn)行討論)進(jìn)行了另外的包裝而已 。如果代碼完整性檢查開(kāi)啟，SepInitializeCodeIntegrity會(huì)調(diào)用CiInitialize，除此之外，它沒(méi)有做任何其它的事情 。
【深入底層 評(píng)估Vista系統(tǒng)內(nèi)核模式安全性】WINLOAD.EXE還負(fù)責(zé)檢查boot drivers簽名的完整性 。與WINLOAD.EXE相比，NTOSKRNL.EXE負(fù)責(zé)查證system drivers(在boot driver加載后)和運(yùn)行時(shí)加載的drivers(即：當(dāng)一個(gè)設(shè)備被插進(jìn)系統(tǒng)) 。當(dāng)完整性檢查開(kāi)啟，會(huì)使用SeValidateImageHeader(在CI.DLL內(nèi)CiValidateImageHeader函數(shù)的包裝)和SeValidateImageData(在CI.DLL內(nèi)CiValidateImageData函數(shù)的包裝)對(duì)加載的映象(image)進(jìn)行代碼完整性檢查 。只要一個(gè)執(zhí)行映射進(jìn)kernel memeory都會(huì)調(diào)用SeValidateImageHeader(通過(guò)MmCreateSection) 。當(dāng)一個(gè)內(nèi)核模塊加載時(shí)，都會(huì)調(diào)用SeValidateImageData對(duì)kernel drivers的代碼段進(jìn)行校驗(yàn) 。運(yùn)行時(shí)檢查(例如：不斷的檢查kernel drivers的代碼段是否被修改)由PatchGuard和CI.DLL進(jìn)行處理 。

推薦閱讀