# 内核驱动逆向参考

> 覆盖 Windows/Linux 内核驱动逆向、Rootkit 分析、C/C++ 二进制模式识别。

---

## Windows 驱动逆向

### 驱动类型

| 类型 | 特征 | 分析重点 |
|------|------|---------|
| WDM (Windows Driver Model) | 老式驱动，手动管理 IRP | DriverEntry → 设备创建 → Dispatch 例程 |
| KMDF (Kernel Mode Driver Framework) | 现代框架，事件驱动 | EvtDriverDeviceAdd → Queue → I/O 回调 |
| WDF (Windows Driver Foundation) | KMDF + UMDF 统称 | 看 WdfDriverCreate 调用 |
| Minifilter | 文件系统过滤驱动 | FltRegisterFilter → Pre/Post 回调 |

### WDM 驱动分析流程

```text
1. 找 DriverEntry（入口点）
   - IDA 自动识别，或搜索 IoCreateDevice / IoCreateSymbolicLink

2. 找设备名和符号链接
   - IoCreateDevice → DeviceName（如 \Device\MyDriver）
   - IoCreateSymbolicLink → SymLink（如 \DosDevices\MyDriver）

3. 找 Dispatch 例程
   - DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DispatchIoctl
   - 这是用户态通过 DeviceIoControl 调用的入口

4. 分析 IOCTL 处理
   - switch(IoControlCode) 分发不同功能
   - IOCTL 编码：CTL_CODE(DeviceType, Function, Method, Access)
   - Method: METHOD_BUFFERED / METHOD_IN_DIRECT / METHOD_OUT_DIRECT / METHOD_NEITHER

5. 找漏洞
   - 用户可控缓冲区未验证长度 → 溢出
   - METHOD_NEITHER 直接使用用户指针 → 任意读写
   - 未检查 IOCTL 权限 → 非特权用户可调用
```

### IOCTL 编码解析

```python
# 解析 IOCTL code
def decode_ioctl(code):
    device_type = (code >> 16) & 0xFFFF
    access = (code >> 14) & 0x3
    function = (code >> 2) & 0xFFF
    method = code & 0x3
    
    methods = {0: "BUFFERED", 1: "IN_DIRECT", 2: "OUT_DIRECT", 3: "NEITHER"}
    access_types = {0: "ANY", 1: "READ", 2: "WRITE", 3: "READ|WRITE"}
    
    return f"DevType=0x{device_type:X} Func=0x{function:X} Method={methods[method]} Access={access_types[access]}"

# 示例
decode_ioctl(0x80002034)
# DevType=0x8000 Func=0x80D Method=BUFFERED Access=ANY
```

### IDA 插件

| 插件 | 用途 | 链接 |
|------|------|------|
| **Driver Buddy Reloaded** | 自动识别 IOCTL、Dispatch、设备名 | https://github.com/VoidSec/DriverBuddyReloaded |
| **WinDbg + IDA** | 内核调试 + 静态分析配合 | 内置 |
| **FLIRT/Lumina** | 识别 WDK 库函数 | IDA 内置 |

### 参考文章

- [Windows Drivers RE Methodology (VoidSec)](https://voidsec.com/windows-drivers-reverse-engineering-methodology/) — 最完整的 WDM 驱动逆向方法论
- [Driver Reversing 101](https://eversinc33.com/posts/driver-reversing.html) — WDM vs KMDF 对比
- [Methodology of Reversing Vulnerable Killer Drivers](https://whiteknightlabs.com/2025/10/28/methodology-of-reversing-vulnerable-killer-drivers/) — 漏洞驱动分析

---

## Linux 内核模块逆向

### LKM (Loadable Kernel Module) 结构

```text
关键函数：
- init_module / module_init → 模块加载时执行
- cleanup_module / module_exit → 模块卸载时执行

关键结构：
- struct file_operations → 字符设备的 open/read/write/ioctl
- struct net_device_ops → 网络设备操作
- struct block_device_operations → 块设备操作
```

### 分析流程

```text
1. 确认是内核模块
   file module.ko → "ELF 64-bit ... relocatable"（注意是 relocatable 不是 executable）

2. 找 init/exit 函数
   readelf -s module.ko | grep -E "init_module|cleanup_module"
   或在 .modinfo section 找模块信息

3. 找 file_operations 结构
   搜索 register_chrdev / cdev_add / misc_register
   → 找到 fops 结构体 → 定位 ioctl/read/write 处理函数

4. 分析 ioctl 处理
   unlocked_ioctl / compat_ioctl 函数
   → switch(cmd) 分发

5. 找 Rootkit 行为
   - 修改 sys_call_table → syscall hook
   - 修改 /proc 文件系统 → 隐藏进程/文件
   - 注册 netfilter hook → 隐藏网络连接
   - 修改 VFS 层 → 隐藏文件
```

### Rootkit 常见技术

| 技术 | 特征 | 检测方法 |
|------|------|---------|
| syscall table hook | 修改 `sys_call_table` 条目 | 对比内存中的表与磁盘上的 vmlinux |
| VFS hook | 修改 `file_operations` 函数指针 | 检查 fops 指针是否指向内核代码段外 |
| Netfilter hook | `nf_register_net_hook` | 遍历 netfilter hook 链表 |
| kprobe/ftrace hook | 注册 kprobe 或 ftrace 回调 | 检查 ftrace 注册列表 |
| eBPF rootkit | 加载恶意 BPF 程序 | `bpftool prog list` |
| DKOM | 直接修改内核对象（进程链表） | 遍历 task_struct 链表对比 /proc |

### 工具

| 工具 | 用途 |
|------|------|
| `crash` | 内核 dump 分析 |
| `volatility3` | 内存取证（Linux profile） |
| `dmesg` / `journalctl` | 内核日志 |
| `lsmod` / `/proc/modules` | 已加载模块列表 |
| `modinfo` | 模块元信息 |
| `strace` | 系统调用跟踪（用户态视角） |

---

## C/C++ 逆向模式识别

### C 语言常见模式

| 源码模式 | 反汇编特征 |
|---------|-----------|
| `if-else` | `cmp` + `jcc`（条件跳转） |
| `switch-case` | 跳转表（`jmp [rax*8 + table]`）或连续 `cmp` |
| `for` 循环 | `cmp` + `jl/jle` + 循环体 + `inc/add` + `jmp` 回跳 |
| `while` 循环 | 条件判断在循环顶部 |
| `do-while` | 条件判断在循环底部 |
| 函数指针调用 | `call rax` 或 `call [reg+offset]` |
| `struct` 访问 | `[reg+固定偏移]`（如 `[rdi+0x10]`） |
| `malloc` + 使用 | `call malloc` → 返回值存入寄存器 → 后续用该寄存器+偏移访问 |
| 字符串比较 | `call strcmp` 或 `repe cmpsb` |

### C++ 特有模式

| 源码模式 | 反汇编特征 |
|---------|-----------|
| **虚函数调用** | `mov rax, [rcx]`（取 vtable）→ `call [rax+offset]`（调用虚函数） |
| **构造函数** | 分配内存 → 写入 vtable 指针 → 初始化成员 |
| **析构函数** | 清理成员 → 可能调用 `operator delete` |
| **this 指针** | 第一个参数（rcx/rdi）是对象指针 |
| **继承** | vtable 中包含父类虚函数 + 子类覆盖 |
| **多重继承** | 对象内有多个 vtable 指针（偏移不同） |
| **RTTI** | vtable 前面有 `type_info` 指针 |
| **异常处理** | `__cxa_throw` / `_CxxThrowException` |
| **STL 容器** | `std::vector`: `{begin, end, capacity}` 三指针结构 |
| **std::string** | 小字符串优化（SSO）：短串内联，长串堆分配 |

### vtable 逆向方法

```text
1. 找 vtable
   - 搜索连续的函数指针数组（在 .rodata 或 .rdata 段）
   - 构造函数中 `mov [rcx], offset vtable` 写入 vtable 指针

2. 确定类层次
   - vtable 前 -8 偏移处通常是 RTTI 指针（如果未 strip）
   - 多个 vtable 共享前几个条目 → 继承关系

3. 标注虚函数
   - vtable[0] 通常是析构函数（或 deleting destructor）
   - 后续按偏移标注：vtable[1] = func1, vtable[2] = func2...

4. IDA 中操作
   - 在 vtable 地址创建 struct（每个字段是函数指针）
   - 对 `call [rax+offset]` 添加注释标明调用的虚函数
```

### 结构体恢复

```text
方法 1：从访问模式推断
  mov eax, [rdi+0x00]  → field_0: int/ptr (4/8 bytes)
  mov ecx, [rdi+0x08]  → field_8: int/ptr
  movss xmm0, [rdi+0x10] → field_10: float

方法 2：从 sizeof 推断
  call malloc(0x30) → 结构体大小 0x30 (48 bytes)
  
方法 3：从构造函数推断
  构造函数会初始化所有字段 → 字段类型和偏移一目了然

方法 4：用 IDA 的 "Create struct" 功能
  选中访问模式 → Edit → Struct → Create struct from selection
```

---

## 常见编译器特征

| 编译器 | 识别特征 |
|--------|---------|
| MSVC | `_security_cookie` 检查、`__fastcall` 调用约定、Rich Header |
| GCC | `__stack_chk_fail`、`-fstack-protector`、`.note.GNU-stack` |
| Clang/LLVM | 类似 GCC 但优化模式不同、`__asan_*`（如果开了 sanitizer） |
| MinGW | GCC 特征 + Windows API 调用 |
| AOSP Clang | Android 特有的 `__android_log_print`、PGO 标记 |

### 优化级别识别

| 优化级别 | 特征 |
|---------|------|
| -O0 | 大量冗余 mov、每个变量都在栈上、函数不内联 |
| -O1 | 基本优化、部分变量在寄存器 |
| -O2 | 循环展开、函数内联、尾调用优化 |
| -O3 / -Os | 激进内联、向量化（SIMD）、代码难读 |
| PGO | 热路径优化、冷代码分离到 `.text.cold` |
| LTO | 跨模块内联、全局死代码消除 |

---

## 内核调试环境

### Windows

```text
调试器：WinDbg Preview
连接方式：网络调试（推荐）或串口

被调试机设置：
bcdedit /debug on
bcdedit /dbgsettings net hostip:192.168.x.x port:50000

调试机连接：
WinDbg → File → Attach to Kernel → Net → Port:50000 Key:xxx

常用命令：
!analyze -v          # 自动分析崩溃
lm                   # 列出已加载模块
!drvobj \Driver\xxx  # 查看驱动对象
dt nt!_DRIVER_OBJECT # 显示结构体
bp module!function   # 下断点
```

### Linux

```text
调试器：GDB + QEMU 或 kgdb

QEMU 内核调试：
qemu-system-x86_64 -kernel bzImage -s -S ...
gdb vmlinux -ex "target remote :1234"

常用命令：
info threads         # 内核线程
lx-symbols           # 加载内核符号（需要 scripts/gdb/）
p init_task          # 查看 init 进程
lx-dmesg             # 内核日志
```

---

## Agent 动作锚点（Issue #65 U–AV）

与 `references/nonpe-format-cookbook.md` §5 对齐（短表，不替代上文流程）：

| ID | 动作 | Evidence |
|----|------|----------|
| AG | `DriverEntry` 短 → 扫 `MajorFunction` 非空槽，优先 DEVICE_CONTROL/CREATE | `E-driver-irp-handlers` |
| AH | 建立 IOCTL 控制码 → handler 表与 METHOD_* | `E-driver-ioctl` |
| AI | 疑 BYOVD：对照公开脆弱驱动列表；记名/哈希/签名与调用意图；**不写 exploit 步骤** | `E-driver-byovd` |

## 参考资源

| 资源 | 说明 | 链接 |
|------|------|------|
| VoidSec 驱动逆向方法论 | Windows WDM 驱动完整分析流程 | https://voidsec.com/windows-drivers-reverse-engineering-methodology/ |
| Elastic Rootkit 系列 | Linux Rootkit 分类+检测 | https://security-labs.elastic.co/security-labs/linux-rootkits-1-hooked-on-linux |
| Driver Buddy Reloaded | IDA 驱动分析插件 | https://github.com/VoidSec/DriverBuddyReloaded |
| LOLDrivers | 已知漏洞驱动列表 | https://www.loldrivers.io/ |
| Windows Driver Samples | 微软官方驱动示例 | https://github.com/microsoft/Windows-driver-samples |
| Linux Kernel Module Programming | 内核模块开发教程 | https://sysprog21.github.io/lkmpg/ |
| Trail of Bits - Devirtualizing C++ | vtable 逆向方法 | https://blog.trailofbits.com/2017/02/13/devirtualizing-c-with-binary-ninja/ |