Как драйвер устройства может быть EXE, например Process Monitor

Question

Монитор процесса и проводник поставляются с EXE-файлом. Но они включают в себя драйвер. -Где это.

По Windows Internals,

Process Monitor работает путем извлечения драйвера файловой системы фильтра от его исполняемого изображения (procmon.exe) первый раз, когда вы запустите его после загрузки, установки драйвера в памяти , а затем удаление образа драйвера с диска.

Я хотел бы знать механизм детали.
Есть ли у вас какие-то коды? Где я могу их найти.
Или вы могли бы объяснить мне это.
Спасибо.

Answer 1

Последний раз, когда я посмотрел, он просто встроен в исполняемый файл в качестве ресурса. Вы можете использовать что-то вроде Resource Hacker, чтобы это увидеть. Я думаю, при запуске процесса он извлекает драйвер из раздела ресурсов и устанавливает его.

Answer 2

Исполняемый файл в Windows может содержать, помимо прочего, раздел «ресурс». Он может содержать любые двоичные данные, которые исполняемый файл может получить во время выполнения.

Хитрость заключается в том, чтобы поместить весь другой исполняемый файл (например, файл SYS для драйвера) внутри EXE в течение времени ссылки. Затем во время выполнения EXE извлекает это в файл SYS.

Затем этот драйвер может быть загружен на лету (с использованием SC-менеджера)