Clase 1 — Patch diffing de ksthunk.sys y reversing inicial del filter driver¶
← Volver al Módulo 6¶
Resumen: en esta clase se arranca desde el diff entre una versión vulnerable y una versión parcheada de
ksthunk.sys/fstunc.sys, se usa BinDiff para encontrar el cambio real del parche, se interpreta el gateIsEnableDeviceUsage, y después se empieza a reconstruir el driver como código C++:DriverEntry, clases, vtables,AddDevice, device stack, dispatch de IRPs y cómo llegar al IOCTL vulnerable.