Weno estuve mirandome los privilegios que se pueden obtener con AdjustTokenPrivileges y encontré esto: http://msdn2.microsoft.com/en-us/library/bb530716(VS.85).aspx

Al parecer están todas...pues bien, además de encontrar algunos privilegios interesantes que permiten saltarse (con unos requisitos) algunas restricciones de las ACL atopé este:

SE_LOAD_DRIVER_NAME:


Pues bien, yo pensaba que los drivers (.sys) no se podían descargar sin reiniciar (me refiero a cuando no se dejan parar su servicio), es cierto?

A ver, si mal no me equivoco los driver son servicios, se pueden eliminar (si no se autoprotege como en el caso de algunos AVs) directamente eliminando la entrada del registro, pero esto tendrá efecto al reiniciar pero el driver permanecerá en memoria asta que se reinicie.

La única manera que se para parar un driver en ejecucion es parando su servicio (por ejemplo un sc stop <servicio>), pero solo algunos servicios permiten ser parados. En el caso de los ejecutables si el servicio no permite pararse siempre puedes terminar el proceso, pero como terminas el proceso de un driver? Pork k yo sepa no tienen PID ni nada, supongo que será algun proceso de sistema que lo ejecuta (supongo que el services.exe...)...

Weno pues al ver ese privilegio SE_LOAD_DRIVER_NAME me pregunté si habría alguna otra manera de forzar lo máximo posible la descarga sin tener que reiniciar de un driver cargado que no deja terminar su servicio. Pues eso, lo puse en negrita pork es basicamente mi pregunta...

Puede que con ese privilegio se pueda lograr descargar cualquier driver aunke su servicio no permita ser parado...

Obviamente estoy hablando siempre desde un usuario con privilegios de Administrador o incluso como SYSTEM (que viene siendo una cuenta Administrador del sistema, pero weno siempre hay alguna cosa que la tienes que hacer desde la misma cuenta y al estar los driver cargados como SYSTEM por eso...)

Weno a ver si alguien sabe...

Saludos

Mmm gracias...que pena 

Y no habría algún truquillo como escribirles en su zona de memoria o algo?...aunke weno no creo que se pueda pork si no me ekivoco los drivers están en Ring0 y desde Ring3 no creo que se pueda...

Saludos

claro es lo que suponía, pues gracias por las aclaraciones....

Saludos