==========================================================================

http://www.whitecell.org/forums/viewthread.php?tid=851

一般这种问题，我上来都会先建议去读 MS 文档与 NT/2K 的源代码。就跟我之前的回帖一样。你前一个帖子很明显给出的是一个“调用流程”，那里不涉及到具体问题，而你后面回帖中所说的“了解了整个流程里的细节”，这里的“细节”才是关键。还有我说的“调用流程”意义不大，而不是说其没有意义。谁先开始 都是从“调用流程”入手的，但你所说的区别仅仅是一份源代码，我认为不妥，我觉得这往往这才容易误导别人。让人认为读源代码很大部分受重在流程关系中。所以我的回帖中才说“如果说读 SOURCE 区别仅是在明确调用流程的话，那意义还真不大。”而现在对 WINDOWS 的研究绝大部 分正是陷入在这块。在我看来这就是误导导致的局限。 你后面的回帖中提到的“细节”也正是我上一个回帖中要表达的意思。那里要说的就是“细节”问题。关于这个“细节”问题，在于怎么理解。我所理解的“细节”与“整体”密不可分，而这个“整体”并不是某个 OS 中的“调用流程”，而是涉及 OS 的环境，性能，方便简洁等考虑。比如“细节”处的某一行代码为什么要出现在这里，它的用意何在？是否对对系统性能有提升？还是为了方便处理而牺牲了一定的性能？比如LZ的这个问题，其实概括起来很简单，就是“完成动作”不是在调用者上下文中完成的，而是在设备栈传递时下层新建的上下文中“完成”的，返回时调用者受信得到通知。这是在了解NT DRIVER分层时就应该熟悉的概念（我在以前的回帖中也有说明）。但系统为什么要这么做？他的目的何在？回答这个问题其实也很简单，只要想一下就能明白。但这是要去想的，不管它多么简单，也是要去想的，如果光看源代码不去思考是得不到答案的。我所要说的就是这点。在弄明白调用流程后，再去看代码时要把自己摆在一个设计者的位置，如果是自己，应该会怎样处理？为什么要这样？这样做的好处是什么？不这么做会带来什么坏处？而这些是你仅读源代码的“调用流程”读不出来的。所以我所指的读源代码的“调用流程”意义不大，是与这个进行比较。不过在我来看以上的还不是“细节”，只能算是“整体”的某“部分”。我所说的“细节”还要再细化到比如某一条语句，或某个函数的标志位，都要能与“整体”或“部分”结合起来，来回贯通几次，经的起考问。不过这还是有很大的难度的，即使有源代码能读到融会贯通的还是不多。或许是天资的问题，每当我对“整体”框架有了新的认识，原来自认为熟悉的“细节”中就有多了不少疑问。不过一些阶段的成果和收益还是有的，迄今，我觉得读源代码的最大的收益是体现在自己设计的模块中。 ==============================================================================

http://www.brsbox.com/filebox/down/fc/a77089716f3bb15bcc2aa20256c0fc05

作者：Azy
日期：2009-5-31

    如果说Audio Mixer劫持（AMH）是一种较为被动的穿越，那么BEIH/F则是主动的攻击。通过BEIH/F可以穿越地上HIPS/主动防御产品加载驱动。
    该方法原理与amh是相同的，最后驱动的加载也是走ExpWorkerThread->PipDeviceActionWorker->IopLoadDriver这条路径，从而绕过了HIPS/主防产品的拦截。但触发攻击的方式完全不同。
    OS中存在一些音频驱动，它们的Start=3，并且Enum键下的值均为0。这些驱动是在系统需要的时候动态枚举并安装总线接口，然后加载相应的驱动文件。
    那么如何触发动态枚举安装接口并加载这些驱动呢？答案就是给swenum驱动发送一个特别的I/O Control Code来触发。在InputBuffer中填入欲加载驱动所在接口的GUID值，然后发I/O control Irp到swenum驱动，便可完成一次触发。内核在接到上述Irp后会扫描总线并动态进行接口安装，然后调用IoInvalidateDeviceRelations来触发最后的驱动安装。
    由于这一过程完全是人为可控，并且总线枚举的GUID信息全部存储在注册表中，因此我们可以事先篡改仿造HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW键及HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceClasses下面对应的GUID值及其它接口信息。这样一来，便可成功完成一次BEIH/F攻击。

demo download