发现加载和卸载的内核模式驱动程序的足迹

Question

背景：Windows 系统存在易受攻击的内核模式驱动程序，可以将其加载到系统中用于各种目的。加载的内核模式驱动程序会在系统中留下痕迹。例如，视频游戏的反作弊软件会在系统的各个部分寻找易受攻击的驱动程序痕迹，因为它们被用于作弊。反作弊软件使用的逻辑可能（或已经）被反rootkit工具或rootkit本身使用。

我想知道加载然后卸载驱动程序后留下的痕迹。根据我的研究，我在 Windows NT 内核中发现了这两个地方，卸载的驱动程序会在这些地方留下痕迹：

1. PiDDBCacheTable
2. MmUnloadedDrivers

（只是让您知道，这些是未记录的数据结构） 他们还能在哪里留下痕迹？不自己对Windows内核进行逆向工程，我能学会吗？

Answer 1

据我所知，ExpCovUnloadedDrivers 是另一个检测卸载驱动程序的函数。但据我所知，只有使用代码覆盖率的驱动程序才会被添加到此列表中。