前言

对于VT的介绍网上有很多详细的介绍,这里不再赘述,只需要知道它有比操作系统还高的权限,可以利用这一点进行某些操作,如内存隐藏, 无痕HOOK ,MSR HOOK, 调试或者反调试, 这里直奔主题

一、驱动基本框架

虚拟机设置里虚拟化引擎设置:

新建一个空的WDM工程，平台设置为x64平台，右键属性——>Inf2Cat——>Run Inf2Cat设置为否，删除DriverFile文件夹下的inf文件
添加两个个.cpp的源文件：DriverEntry.cpp和util.cpp，添加一个头文件def.h

def.h主要用于存放一些公共的函数或者结构体
DriverEntry.cpp主要用来编写驱动的加载及退出的代码
util.cpp 主要用来编写一些工具函数

def.h里面包含 ntifs.h