在 Windows 核心安全研究中，有一個常見的挑戰：許多驅動程式雖然存在漏洞，但這些漏洞所在的程式碼路徑被「硬體門檻」（Hardware-gated）擋住了。簡單來說，如果系統中沒有安裝對應的實體硬體，驅動程式可能根本不會建立設備物件（Device Object），或者在初始化時因為找不到硬體而提前結束，導致攻擊者從使用者模式（User Mode）無法透過 IOCTL 等方式觸發漏洞。
這篇文章將從工程實務角度，解釋如何透過「軟體模擬設備」來欺騙 Windows PnP（隨插即用）管理員，強行觸發驅動程式的初始化流程，從而讓原本需要特定硬體才能觸發的漏洞，在沒有硬體的情況下也能被利用。這對於 BYOVD（Bring Your Own Vulnerable Driver，攜帶漏洞驅動程式）攻擊至關重要。
什麼是 BYOVD 攻擊
BYOVD 是一種後滲透（Post-Exploitation）技術。攻擊者在取得管理員權限後，自行安裝一個具有合法數位簽章但含有已知漏洞的舊版驅動程式。由於驅動程式運行在核心模式（Kernel Mode），利用其漏洞可以達成權限提升（LPE）或直接關閉 EDR（端點偵測與回應）等安全防禦軟體。
要讓一個驅動程式成為理想的 BYOVD 候選者，除了漏洞本身要夠強大（如可任意讀寫記憶體），最關鍵的是它的「可觸發性」不能依賴於罕見的硬體環境。
驅動程式的初始化與設備物件
在 Windows 中，使用者模式程式要與驅動程式溝通，必須透過設備物件（Device Object）。如果驅動程式沒有建立設備物件，攻擊者就沒有入口。
驅動程式建立設備物件通常分為兩種模式：
第一種是無條件建立。這類驅動程式在 DriverEntry（驅動進入點）被呼叫時，就直接建立設備物件。這類驅動最簡單，只要用 sc.exe 安裝並啟動即可觸發。
第二種是條件式建立（PnP 驅動）。大多數現代驅動屬於 PnP 兼容驅動，它們的初始化邏輯不在 DriverEntry，而是在 AddDevice 回調函數中。PnP 管理員只有在偵測到匹配的硬體 ID（Hardware ID）時，才會呼叫 AddDevice。如果沒有硬體，AddDevice 就不會執行，設備物件也不會建立，漏洞路徑自然無法觸發。
突破硬體門檻的實務技巧
對於需要硬體才能啟動的 PnP 驅動，我們可以採取以下兩種策略來繞過限制：
使用 DevCon 模擬硬體 ID
DevCon 是 Windows 驅動開發套件（WDK）中的工具，它可以建立一個「軟體模擬的設備節點」。
實作流程如下：首先從驅動程式的 INF 檔案中找出它支援的硬體 ID（例如 ACPI\SAMPLEDRV7853）。接著使用 pnputil 將驅動安裝到系統儲存庫，最後用 devcon.exe 安裝一個具有該硬體 ID 的虛擬設備。
這樣做會欺騙 PnP 管理員，使其認為硬體已就緒，進而觸發該驅動程式的 AddDevice 函數。一旦 AddDevice 執行，驅動程式就會建立其功能設備物件（FDO）或控制設備物件（CDO），攻擊者隨即可以透過句柄（Handle）與其互動。
繞過 INF 檔案直接綁定註冊表
有時我們無法使用 INF 檔案（例如缺乏簽名的 .cat 檔），此時可以採取更底層的「強制替換」方案。
Windows 將驅動程式與設備的綁定資訊儲存在註冊表中（例如 SYSTEM\CurrentControlSet\Enum\ 下的設備實例 ID）。我們可以先用 sc.exe 正常載入驅動程式，然後手動修改註冊表，將某個現有設備（或透過 SetupAPI 建立的虛擬設備）的服務名稱指向我們的漏洞驅動程式。
最後重新啟動該設備，PnP 管理員會根據註冊表資訊強行載入該驅動並執行 AddDevice。這證明了 INF 檔案並非安全邊界，而僅是安裝便利性的工具。
設備堆疊與過濾驅動的特殊處理
有些驅動是「過濾驅動」（Filter Driver），它們不負責處理 IRP_MJ_CREATE（建立請求），而是將請求向下傳遞。如果我們將過濾驅動直接放在一個不支援建立請求的虛擬設備（PDO）之上，我們依然無法打開句柄。
解決方案是「重新堆疊」（Restacking）。我們可以將漏洞過濾驅動掛載到一個已知支援建立請求的設備類別上（例如磁碟驅動 Disk Drive 類別）。透過修改 UpperFilters 註冊表項並掛載一個 VHD 虛擬硬碟，我們可以強行將漏洞驅動置於設備堆疊中，從而成功開啟句柄並發送 IOCTL。
總結與限制
透過軟體模擬設備與註冊表操縱，研究人員可以將大量原本被認為「不可觸發」的驅動漏洞轉化為可利用的攻擊向量。
然而，這種方法仍有極限。如果驅動程式在程式碼中包含了「主動硬體探測」（Active Hardware Probing），例如讀取特定的 MMIO 暫存器或檢查晶片 ID（Chip ID），且在檢查失敗時直接退出，那麼單純在使用者模式模擬設備節點將無法繞過。這類情況通常需要透過 Hypervisor（虛擬機管理程序）來模擬硬體暫存器的回傳值才能突破。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。