如何識別驅動程序可執行文件？

如何確定給定的exe或dll或sys文件是否實際上是驅動程序？我的意思是區分驅動程序和正常可執行文件的區別？如何識別驅動程序可執行文件？

2012-03-23 CodeWarrior

駕駛員的圖像始終標記爲IMAGE_SUBSYSTEM_NATIVE（IMAGE_OPTIONAL_HEADER.Subsystem - See the Microsoft Portable Executable specification），而應用程序的圖像通常標記爲IMAGE_SUBSYSTEM_WINDOWS_GUI或IMAGE_SUBSYSTEM_WINDOWS_CUI。

來源

2012-04-10 12:01:39 mox

正是我在找的東西。我希望我能夠投票贊成，但我沒有足夠的代表... – CodeWarrior 2012-04-11 16:45:48

您可以在下次投票... :-)謝謝。 – mox 2012-04-12 08:03:49

正常的可執行程序在用戶模式下運行，而驅動程序在內核模式下運行。正常的可執行文件通常與桌面交互，而驅動程序無法與桌面交互（沒有用戶界面）。正常的可執行程序與Windows API交互，而驅動程序無法與Windows API交互。

來源

2012-04-09 19:44:34 mox

@mox - 這是正確的，但是它意味着使用調試器/十六進制編輯器/其他PE頭讀取工具。相反，您可以始終查看該文件的依賴關係（使用Dependency Walker），如果該文件依賴於NTOSKRNL.EXE，則很可能是驅動程序。

來源

2012-04-11 13:09:11 MrBry

其實我想編寫一個列出給定文件夾中所有驅動程序文件的工具。我想我應該在我的問題上更具體。不管怎麼說，多謝拉。 – CodeWarrior 2012-04-11 16:49:27

@CodeWarrior：不幸的是，除了使用外部「工具」外，沒有其他方法可以檢測到要檢測的屬性（驅動程序）。我使用和開發的一個:-)是PeStudio（http://www.winitor.com）。 – mox 2012-04-12 07:57:41

@CodeWarrior：點擊Enter提前！此外，像autocheck.exe等應用程序是沒有驅動程序，但仍然被檢測爲「本機」。這使得分類工作不容易！ – mox 2012-04-12 08:02:13

如何識別驅動程序可執行文件？

回答

相關問題