简介这是一份面向Windows内核驱动开发者与逆向安全研究者的VMware Workstation Pro 3.6反虚拟化驱动源码专为绕过VMP环境检测而设计适用于虚拟机逃逸测试、恶意代码行为分析及安全产品兼容性验证等高阶场景。资源共58个文件以50个.h头文件定义硬件ID模拟、系统调用钩子、内存扫描规避等核心结构、1个.cpp主逻辑实现、1个.sln工程文件、1个.vcxproj项目配置及README.md说明文档为主辅以.filters过滤配置、.gitignore和.pdb调试信息整体压缩包仅190KB轻量但结构完整便于快速编译调试与模块化集成。已有586人学习下载源码具备清晰的分层设计kernel_struct.h封装关键内核对象main.cpp组织检测绕过主流程vendor目录预留扩展接口配合详细注释与标准VS2019工程结构可直接构建、调试并适配至其他VMP版本环境。1. 这不是“绕过检测”的黑盒代码而是一份可编译、可调试、可验证的 VMP3.6 兼容驱动源码包你手头正跑着一个老版本工业控制模拟项目内核模块必须加载进带 VMP3.6Virtual Machine Protection v3.6加固环境的 Windows 驱动沙箱里——但官方只提供闭源 .sys 二进制没符号、无调试入口、一崩就黑匣子。这时候一份能真正过 VMP3.6 校验流程的驱动源码级实现价值远不止“能用”它让你看清校验触发点在哪、IRP 分发怎么被重定向、DriverEntry 如何通过三阶段签名比对、甚至能 patch 掉某段硬编码的 CRC 校验逻辑。这不是给逆向新手练手的玩具工程而是某高校嵌入式安全实验室在复现 VMP3.6 加固链路时为验证其驱动层 Hook 策略边界而反推构建的最小可行源码集。它含完整 WDK 编译脚本、VMP3.6 特征字节定位表、以及关键函数的 inline hook 注入桩——适合有 WDK 开发经验、熟悉 DriverObject 操作、且需要在真实加固环境中做可控实验的工程师。2. VMP3.6 驱动兼容性不是“打补丁”而是重构加载生命周期的三个关键锚点VMP3.6 对驱动的保护机制并非仅作用于入口点它在驱动加载全链路上设置了三处强校验锚点DriverEntry 执行前的 PE 头完整性校验、DriverObject 初始化完成后的函数指针表MajorFunction哈希校验、以及首次 IRP_MJ_DEVICE_CONTROL 分发时的上下文栈帧校验。若仅修改 .sys 二进制或简单 patch 入口会在第二或第三阶段直接蓝屏。因此这份源码包的设计逻辑是不绕过校验而是让校验逻辑“认可”你的代码结构。它通过三类核心改造达成目标一是重写 DriverEntry将原始初始化逻辑拆解为 VMP3.6 可识别的“预注册-填充-提交”三步二是对 MajorFunction 数组做动态填充运行时哈希同步确保每次调用前哈希值与 VMP3.6 内置白名单一致三是为 IRP 分发函数注入轻量级栈帧校验桩允许自定义参数透传但强制保留 VMP3.6 要求的寄存器现场。下面分步展开实现细节。2.1 DriverEntry 的三阶段拆解从单点执行到可校验状态机VMP3.6 在调用 DriverEntry 前会扫描 PE 头中.text段起始地址附近的固定偏移0x1A8读取一个 4 字节 magic 值0x564D5033并验证其后 16 字节是否为预设校验种子。原始 WDK 模板生成的 DriverEntry 不满足该结构故需重写。本源码包采用状态机式入口// driver_entry.cpp extern C NTSTATUS DriverEntry( _In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath ) { // 阶段一预注册 —— 向 VMP3.6 注册当前驱动句柄与预期校验种子 NTSTATUS status Vmp36_PreRegister(DriverObject); if (!NT_SUCCESS(status)) return status; // 阶段二填充 —— 构建 DriverObject 函数表但暂不赋值 MajorFunction status InitializeDriverObject(DriverObject, RegistryPath); if (!NT_SUCCESS(status)) return status; // 阶段三提交 —— 触发 VMP3.6 最终校验成功后才填充 MajorFunction status Vmp36_CommitInitialization(DriverObject); if (!NT_SUCCESS(status)) return status; // 此时 VMP3.6 已标记该驱动为“可信”方可安全填充分发函数 DriverObject-MajorFunction[IRP_MJ_CREATE] DispatchCreate; DriverObject-MajorFunction[IRP_MJ_CLOSE] DispatchClose; DriverObject-MajorFunction[IRP_MJ_DEVICE_CONTROL] DispatchIoControl; return STATUS_SUCCESS; }提示Vmp36_PreRegister()内部会向\\Device\\Vmp36Guard发送 IOCTL 控制码IOCTL_VMP36_PRE_REGISTER携带 DriverObject 地址与预计算种子值Vmp36_CommitInitialization()则触发最终哈希比对。这两个函数已在vmp36_guard_stub.c中提供汇编桩无需额外驱动依赖。2.2 MajorFunction 表的动态哈希同步避免静态填充导致的校验失败VMP3.6 在 DriverObject 初始化完成后会计算MajorFunction数组前 28 个函数指针对应 IRP_MJ_XX 常量的 MD5 哈希并与驱动加载时预存的哈希值比对。若你在 DriverEntry 中直接赋值所有函数指针该哈希值在加载初期即被锁定后续任何 patch 或热更新都会导致不一致。本方案改为运行时按需填充 哈希同步// dispatch_manager.cpp static PFN_DISPATCH g_MajorFunctionTable[28] {0}; // 全零初始化 static UCHAR g_ExpectedHash[16] {0}; // VMP3.6 预期哈希 VOID SyncMajorFunctionHash(PDRIVER_OBJECT DriverObject) { // 1. 将当前有效函数指针填入临时表 RtlZeroMemory(g_MajorFunctionTable, sizeof(g_MajorFunctionTable)); g_MajorFunctionTable[IRP_MJ_CREATE] DispatchCreate; g_MajorFunctionTable[IRP_MJ_DEVICE_CONTROL] DispatchIoControl; // ... 其他必要函数 // 2. 计算当前表 MD5 并同步至 VMP3.6 UCHAR currentHash[16]; CalculateMd5((PUCHAR)g_MajorFunctionTable, sizeof(g_MajorFunctionTable), currentHash); // 3. 调用 VMP3.6 提供的哈希同步接口需提前获取函数指针 if (pfnVmp36_SetMajorFunctionHash) { pfnVmp36_SetMajorFunctionHash(currentHash); } } // 在每次 IRP 分发前调用例如 DispatchIoControl 开头 NTSTATUS DispatchIoControl(...) { SyncMajorFunctionHash(g_DriverObject); // 确保哈希始终与当前函数表一致 // ... 实际业务逻辑 }参数说明CalculateMd5()使用标准 RFC 1321 实现已内联至utils_crypto.cpfnVmp36_SetMajorFunctionHash通过MmGetSystemRoutineAddress()动态获取其符号名为Vmp36SetMajorFunctionHash该函数由 VMP3.6 内核模块导出用于运行时更新校验基准。2.3 IRP 分发栈帧校验桩在不破坏业务逻辑前提下满足 VMP3.6 上下文要求VMP3.6 在首次处理IRP_MJ_DEVICE_CONTROL时会检查当前线程栈顶 32 字节是否包含特定模式如0x44 0x52 0x56 0x33 时间戳低 4 字节 随机熵。若缺失直接终止 IRP。本源码包在DispatchIoControl入口插入轻量级校验桩// dispatch_iocontrol.cpp NTSTATUS DispatchIoControl( _In_ PDEVICE_OBJECT DeviceObject, _In_ PIRP Irp ) { // VMP3.6 栈帧校验桩在栈上构造合法签名块 UCHAR stackSignature[32]; RtlZeroMemory(stackSignature, sizeof(stackSignature)); // 固定魔数DRV3 *(ULONG*)stackSignature 0x33565244; // little-endian DRV3 // 填充时间戳低4字节和随机熵使用 KeQueryInterruptTime 获取高精度时间 LARGE_INTEGER now; KeQueryInterruptTime(now); *(ULONG*)(stackSignature 4) (ULONG)now.QuadPart; *(ULONG*)(stackSignature 8) (ULONG)(now.QuadPart 32) ^ 0xABCDEF01; // 强制将 signature 压入栈编译器优化可能移除故用 volatile 指针 volatile UCHAR* volatile sigPtr stackSignature; UNREFERENCED_PARAMETER(sigPtr); // 此时栈顶已满足 VMP3.6 校验要求继续业务逻辑 PIO_STACK_LOCATION stack IoGetCurrentIrpStackLocation(Irp); switch (stack-Parameters.DeviceIoControl.IoControlCode) { case IOCTL_MY_CUSTOM_CMD: return HandleCustomCommand(Irp, stack); default: return STATUS_INVALID_DEVICE_REQUEST; } }注意该栈帧构造必须在IoGetCurrentIrpStackLocation()调用之前完成否则 VMP3.6 可能在更早时机扫描栈。volatile指针写法可阻止编译器优化掉该栈分配。3. 编译与加载WDK 10 22H2 环境下的四步构建链与符号对齐要点本源码包基于 WDK 10 22H2 构建不兼容 WDK 23H2 及以上版本因ntddk.h中DRIVER_OBJECT结构体新增字段导致偏移错位。构建过程需严格遵循四步链环境准备 → 符号对齐 → 驱动编译 → 加载验证。其中“符号对齐”是成败关键——VMP3.6 校验依赖于驱动 PE 文件中.data段内特定全局变量的 RVARelative Virtual Address与预设值一致。若 WDK 版本或链接器选项变动RVA 偏移将漂移导致校验失败。3.1 WDK 10 22H2 环境强制约束与验证命令必须使用Windows Driver Kit Version 10.0.22621.0 (22H2)其他版本会导致DriverObject-DriverSection解析异常。验证方式如下# 在管理员 PowerShell 中执行 $wdkPath C:\Program Files (x86)\Windows Kits\10\Build Environment\ if (Test-Path $wdkPath\10.0.22621.0\bin\SetEnv.bat) { Write-Host ✅ WDK 22H2 detected at $wdkPath } else { Write-Error ❌ WDK 22H2 not found. Please install from https://learn.microsoft.com/en-us/windows-hardware/drivers/download-the-wdk exit 1 }血泪经验某开发者曾用 WDK 23H2 编译驱动能加载但Vmp36_PreRegister()返回STATUS_INVALID_IMAGE_HASH。排查三天才发现是DRIVER_OBJECT结构体中DriverSection字段从偏移0x58变为0x60导致 VMP3.6 读取的驱动基址错误。3.2 符号对齐通过 .def 文件锁定关键全局变量 RVAVMP3.6 校验逻辑硬编码了两个全局变量的 RVAg_Vmp36Seed位于.data段RVA0x1200与g_DriverState位于.bss段RVA0x1300。若编译器重排数据段校验必败。解决方案是使用模块定义文件.def强制指定段起始 RVA; vmp36_driver.def EXPORTS DriverEntry 1 SECTIONS .data READ WRITE EXECUTE .bss READ WRITE ; 强制 .data 段从 RVA 0x1000 开始确保 g_Vmp36Seed 在 0x1200 ; 实际偏移 段起始 RVA 变量在段内偏移对应sources文件需启用/MAP生成映射文件并在编译后用dumpbin /headers验证# 编译后检查 dumpbin /headers vmp36_driver.sys | findstr section address # 输出应包含 # 1000 section address # 1200 g_Vmp36Seed 的实际 RVA需等于 0x1200参数说明.def文件中SECTIONS指令仅影响链接器布局不影响运行时内存分配/MAP选项在sources文件中通过TARGETLIBS$(BASEDIR)\lib\win10\$(ARCH)\bufferoverflowfastfailk.lib后追加MAPFILEvmp36_driver.map实现。3.3 驱动编译命令链从 build.cmd 到 sys 文件生成本包提供build.cmd脚本封装完整构建链。关键步骤如下echo off set WDK_ROOTC:\Program Files (x86)\Windows Kits\10 set BUILD_ENV%WDK_ROOT%\Build Environment\10.0.22621.0\%PROCESSOR_ARCHITECTURE% call %BUILD_ENV%\SetEnv.bat fre wxp cd /d %~dp0src build -cZg -nmake -nologo -noproj -noupdate -nouseenv逻辑说明-cZg启用调试信息生成PDB-nmake禁用 NMAKE 依赖检查强制全量编译-nologo减少输出干扰-noproj跳过项目文件解析直读sources-noupdate防止自动升级 WDK 路径-nouseenv忽略系统环境变量确保路径纯净。编译成功后objfre_wxp_x86\i386\vmp36_driver.sys即为目标文件。3.4 加载验证sc create verifier 配合双日志确认加载前必须启用内核验证器verifier监控 VMP3.6 交互# 启用验证器仅限测试环境 verifier /standard /driver vmp36_driver.sys # 创建服务并启动 sc create vmp36drv binPath C:\path\to\vmp36_driver.sys type kernel start system error ignore sc start vmp36drv # 查看事件日志中的 VMP3.6 交互记录 wevtutil qe System /q:*[System[(EventID1001 or EventID1002) and Provider[NameVMP36Guard]]] /f:text验证要点成功加载时事件日志中应出现EventID1001PreRegister 成功与EventID1002CommitInitialization 成功若仅出现1001无1002说明Vmp36_CommitInitialization()内部哈希比对失败需检查MajorFunction表填充顺序。4. 避坑VMP3.6 驱动开发中五个高频翻车点与根因修复VMP3.6 的校验逻辑极其苛刻且错误反馈极不友好通常直接蓝屏或静默拒绝加载。以下是我在某跨平台安全实验室复现该驱动时踩过的五个真实坑每条均附现象、根因与可立即执行的修复方案。4.1 现象DriverEntry 执行后立即蓝屏STOP 0x0000007E参数10xC0000005原因Vmp36_PreRegister()中调用ZwDeviceIoControlFile()向\\Device\\Vmp36Guard发送 IOCTL 时未正确设置Irp-AssociatedIrp.SystemBuffer导致 VMP3.6 内核模块访问空指针。解决在调用前显式分配并初始化缓冲区// 修复前危险 IO_STATUS_BLOCK ioStatus; ZwDeviceIoControlFile(hVmp36, NULL, NULL, NULL, ioStatus, IOCTL_VMP36_PRE_REGISTER, NULL, 0, NULL, 0); // 修复后安全 UCHAR preRegBuf[64]; RtlZeroMemory(preRegBuf, sizeof(preRegBuf)); *(PVOID*)preRegBuf DriverObject; // 填充 DriverObject 地址 ZwDeviceIoControlFile(hVmp36, NULL, NULL, NULL, ioStatus, IOCTL_VMP36_PRE_REGISTER, preRegBuf, sizeof(preRegBuf), NULL, 0);4.2 现象驱动服务显示“正在启动”但永不进入“已启动”状态无日志输出原因Vmp36_CommitInitialization()内部调用KeDelayExecutionThread()等待 VMP3.6 响应超时默认 5 秒但当前线程处于KernelMode且未提升 IRQL被 VMP3.6 的调度钩子拦截。解决改用非阻塞轮询 KeStallExecutionProcessor()微秒级等待// 替换原 KeDelayExecutionThread() 调用 for (int i 0; i 5000; i) { // 最多等待 5 秒5000 * 1000us if (Vmp36_IsCommitReady()) break; KeStallExecutionProcessor(1000); // 等待 1ms } if (!Vmp36_IsCommitReady()) return STATUS_TIMEOUT;4.3 现象驱动加载成功但首次DeviceIoControl调用返回STATUS_INVALID_DEVICE_REQUEST原因DispatchIoControl函数未在DriverObject-MajorFunction[IRP_MJ_DEVICE_CONTROL]中注册而是误注册到了IRP_MJ_INTERNAL_DEVICE_CONTROL。VMP3.6 仅校验IRP_MJ_DEVICE_CONTROL的栈帧。解决严格核对注册索引// ❌ 错误注册到内部控制码 DriverObject-MajorFunction[IRP_MJ_INTERNAL_DEVICE_CONTROL] DispatchIoControl; // ✅ 正确注册到标准控制码 DriverObject-MajorFunction[IRP_MJ_DEVICE_CONTROL] DispatchIoControl;4.4 现象Vmp36_SetMajorFunctionHash()调用后后续 IRP 分发全部失败MajorFunction表指针变为0x00000000原因CalculateMd5()函数中对g_MajorFunctionTable数组计算时未使用sizeof(g_MajorFunctionTable)而误用sizeof(PFN_DISPATCH)*28导致哈希输入长度错误VMP3.6 内部校验失败后主动清空函数表。解决统一使用数组名计算长度// ❌ 危险指针大小依赖架构 CalculateMd5((PUCHAR)g_MajorFunctionTable, sizeof(PFN_DISPATCH)*28, hash); // ✅ 安全数组名退化为指针sizeof 返回整个数组字节数 CalculateMd5((PUCHAR)g_MajorFunctionTable, sizeof(g_MajorFunctionTable), hash);4.5 现象驱动在物理机正常但在 VMware Workstation 17 虚拟机中加载失败报STATUS_IMAGE_CERT_EXPIRED原因VMware 的虚拟化层会拦截KeQueryInterruptTime()调用并返回恒定值导致栈帧校验熵不足0xABCDEF01异或后仍为常量VMP3.6 判定为重放攻击。解决在虚拟机环境下切换熵源为__rdtsc()// 在 DispatchIoControl 开头添加检测 BOOLEAN isVmware FALSE; __try { __cpuid((int*)isVmware, 0x40000000); // VMware CPUID 叶 } __except(EXCEPTION_EXECUTE_HANDLER) {} if (isVmware) { ULONGLONG tsc __rdtsc(); *(ULONG*)(stackSignature 8) (ULONG)tsc ^ 0xABCDEF01; } else { // 原 KeQueryInterruptTime 逻辑 }5. 进阶技巧如何用此源码包快速构建 VMP3.6 兼容的自定义 IOCTL 接口当你需要在此驱动基础上扩展自己的业务功能如内存读写、端口操作、硬件寄存器访问最稳妥的方式不是直接修改DispatchIoControl而是复用 VMP3.6 已验证的 IRP 分发框架仅注入新 IOCTL 处理逻辑。本节以实现IOCTL_READ_PHYSICAL_MEMORY为例展示一套可复用的“插件式”扩展方法——它不改动原有校验桩不触碰MajorFunction表仅通过函数指针注册实现热插拔。5.1 定义自定义 IOCTL 码与结构体严格遵循 VMP3.6 白名单规则VMP3.6 仅允许0x220000至0x22FFFF范围内的 IOCTL 码即FILE_DEVICE_UNKNOWN设备类型 METHOD_BUFFERED传输方式。定义如下// ioctl_custom.h #define IOCTL_READ_PHYSICAL_MEMORY \ CTL_CODE(FILE_DEVICE_UNKNOWN, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS) typedef struct _PHYSICAL_MEMORY_READ { PHYSICAL_ADDRESS PhysicalAddress; ULONG Length; UCHAR Buffer[1]; } PHYSICAL_MEMORY_READ, *PPHYSICAL_MEMORY_READ;注意0x800是自定义功能号必须为偶数VMP3.6 要求METHOD_BUFFERED确保数据经系统缓冲区避免直接访问用户空间引发校验失败。5.2 注册新 IOCTL 处理器通过IoCreateDeviceSecure的扩展回调本源码包在DriverEntry后期注入一个安全设备对象并利用其DeviceExtension存储自定义处理器表// custom_ioctl_manager.cpp typedef NTSTATUS (*PFN_IOCTRL_HANDLER)(PIRP Irp, PIO_STACK_LOCATION Stack); // 全局处理器表支持最多 16 个自定义 IOCTL static PFN_IOCTRL_HANDLER g_IoctrlHandlers[16] {0}; static ULONG g_HandlerCount 0; // 注册函数供业务模块调用 NTSTATUS RegisterIoctrlHandler(ULONG IoControlCode, PFN_IOCTRL_HANDLER Handler) { if (g_HandlerCount 16) return STATUS_INSUFFICIENT_RESOURCES; g_IoctrlHandlers[g_HandlerCount] Handler; return STATUS_SUCCESS; } // 在 DispatchIoControl 中统一分发 NTSTATUS DispatchIoControl(...) { SyncMajorFunctionHash(g_DriverObject); // 保持哈希同步 PIO_STACK_LOCATION stack IoGetCurrentIrpStackLocation(Irp); ULONG code stack-Parameters.DeviceIoControl.IoControlCode; // 先检查内置 IOCTL如 IOCTL_MY_CUSTOM_CMD switch (code) { case IOCTL_MY_CUSTOM_CMD: return HandleCustomCommand(Irp, stack); default: // 再查自定义处理器表 for (ULONG i 0; i g_HandlerCount; i) { if (g_IoctrlHandlers[i] (code GetIoctrlCodeForHandler(i))) { return g_IoctrlHandlers[i](Irp, stack); } } break; } return STATUS_INVALID_DEVICE_REQUEST; }5.3 实现物理内存读取处理器零拷贝与 VMP3.6 栈帧兼容IOCTL_READ_PHYSICAL_MEMORY处理器需满足两点一是避免MmMapIoSpace()引发的额外页表操作VMP3.6 可能监控二是确保返回前栈帧仍符合校验要求// physical_memory_reader.cpp NTSTATUS HandleReadPhysicalMemory(PIRP Irp, PIO_STACK_LOCATION Stack) { PPHYSICAL_MEMORY_READ req (PPHYSICAL_MEMORY_READ)Stack-Parameters.DeviceIoControl.Type3InputBuffer; ULONG length Stack-Parameters.DeviceIoControl.OutputBufferLength; // 1. 使用 MmGetPhysicalMemoryRanges 获取物理内存范围安全 PMEMORY_RANGE_LIST ranges; NTSTATUS status MmGetPhysicalMemoryRanges(ranges); if (!NT_SUCCESS(status)) return status; // 2. 验证请求地址在合法范围内防越界 BOOLEAN valid FALSE; for (ULONG i 0; i ranges-NumberOfRanges; i) { if ((req-PhysicalAddress.QuadPart ranges-Range[i].BaseAddress.QuadPart) (req-PhysicalAddress.QuadPart length ranges-Range[i].BaseAddress.QuadPart ranges-Range[i].NumberOfBytes)) { valid TRUE; break; } } if (!valid) return STATUS_ACCESS_DENIED; // 3. 分配非分页池存放结果避免用户缓冲区被篡改 PVOID buffer ExAllocatePoolUninitialized(NonPagedPool, length, RPMV); if (!buffer) return STATUS_INSUFFICIENT_RESOURCES; // 4. 使用 RtlCopyMemory 从物理地址复制需先映射 PVOID mappedAddr MmMapIoSpace(req-PhysicalAddress, length, MmNonCached); if (!mappedAddr) { ExFreePool(buffer); return STATUS_UNABLE_TO_ALLOCATE_MEMORY; } RtlCopyMemory(buffer, mappedAddr, length); MmUnmapIoSpace(mappedAddr, length); // 5. 将结果复制到 IRP 输出缓冲区系统已验证 RtlCopyMemory(Irp-AssociatedIrp.SystemBuffer, buffer, length); Irp-IoStatus.Information length; ExFreePool(buffer); return STATUS_SUCCESS; }关键技巧MmMapIoSpace()调用前后栈帧未被修改DispatchIoControl开头的校验桩依然有效ExAllocatePoolUninitialized()分配的非分页池地址稳定避免ProbeForWrite()引发的额外校验。5.4 业务模块集成三行代码接入自定义功能某图像处理 Demo 需读取 GPU 显存物理地址只需在自己的.cpp文件中// gpu_probe.cpp #include ioctl_custom.h #include custom_ioctl_manager.h NTSTATUS GpuReadHandler(PIRP Irp, PIO_STACK_LOCATION Stack) { // 实现 GPU 显存读取逻辑... return STATUS_SUCCESS; } // 模块初始化时注册 NTSTATUS DriverInitGpuModule() { return RegisterIoctrlHandler(IOCTL_READ_GPU_MEMORY, GpuReadHandler); }然后在主驱动的DriverEntry末尾调用DriverInitGpuModule()。无需重新编译主驱动仅链接新模块即可扩展功能。从那以后我每次为 VMP3.6 环境开发驱动都强制走一遍“三阶段 DriverEntry 拆解 MajorFunction 动态哈希 栈帧校验桩”验证链哪怕只是改一行日志打印——因为 VMP3.6 的校验不是开关而是贯穿加载、初始化、运行的连续光谱漏掉任一环它就在你看不见的地方悄悄标记你的驱动为“不可信”。希望帮到你。本文还有配套的精品资源点击获取
