Можно конечно вписать 0xCC в нужное место с помощью хексредактора, но тут есть ряд неудобств. Во-первых, нужно будет востанавливать оригинальный байт, а во-вторых у меня драйвер с изменённым байтом отказался загружаться, наверно нужно исправить контрольную сумму в заголовке? Дополнительная трата времени... Но можно поступить иначе.
Дизассемблируем ntkrnlpa.exe (или ntoskrnl.exe), находим там неэкспортируемую функцию IopLoadDriver, запоминаем/записываем адресс. В моём случае - 0049DEE4.
Прокручиваем листинг вниз, ищем примерно такой код:
PAGE:0049E546 0C4 push [ebp+Object]
PAGE:0049E54C 0C8 push edi
PAGE:0049E54D 0CC call dword ptr [edi+2Ch]
PAGE:0049E550 0C4 cmp eax, ebx
PAGE:0049E552 0C4 mov ecx, [ebp+var_98]
PAGE:0049E558 0C4 mov [ebp+var_54], eax
PAGE:0049E55B 0C4 mov [ecx], eax
PAGE:0049E55D 0C4 jge short loc_49E566
PAGE:0049E55F 0C4 mov [ebp+var_54], 0C0000365h
call dword ptr [edi+2Ch] - это переход на точку входа в загружаемого драйвера, значит находим смещение этого кода относительно начала функции IopCallDriver. В моём сулучае: 0x0049E54D - 0x0049DEE4 = 0x669. И ставим в windbg точку останова:
bp IopLoadDriver+0x669
Когда windbg останавливаеться на этой точке - нажимаем F11, и попадаем на EP драйвера =)
Конечно подразумеваеться что установленны корректные отладочне символы.
Вместо выполнения "сложных" арифметических операций (0x0049E54D - 0x0049DEE4 = 0x669) можно пойти в Options -> General -> Disassembly и поставить галочку "Function Offsets", тогда IDA выдаст что-то такое:
IopLoadDriver(x,x,x,x)+662 0C4 push [ebp+Object]
IopLoadDriver(x,x,x,x)+668 0C8 push edi
IopLoadDriver(x,x,x,x)+669 0CC call dword ptr [edi+2Ch]
IopLoadDriver(x,x,x,x)+66C 0C4 cmp eax, ebx
IopLoadDriver(x,x,x,x)+66E 0C4 mov ecx, [ebp+var_98]
IopLoadDriver(x,x,x,x)+674 0C4 mov [ebp+var_54], eax
IopLoadDriver(x,x,x,x)+677 0C4 mov [ecx], eax
IopLoadDriver(x,x,x,x)+679 0C4 jge short loc_49E566
IopLoadDriver(x,x,x,x)+67B 0C4 mov [ebp+var_54], 0C0000365h
