Windows内核开发-2-开始内核开发-2-

第一个驱动程序:

直接采用vs2019中的Empty WDM Driver 模块创建:

 

 

初始的项目文件夹中有一个Driver Files里面会有一个.inf的文件,没用直接删除就好,然后在源文件里面创建一个.cpp的源文件。

DriverEntry和Unload Routines

DriverEntry:

每个驱动都有一个入口点,叫做DriverEntry,就好比平常写的C/C++代码里面的main函数。DriverEntry是由一个叫做IRQL_PASSIVE_LEVEL(0)的系统进程调用出来的。DriverEntry函数原型:

NTSTATUS
DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING
RegistryPath);

代码原型里的_In _是源代码注释语言(SAL)中的一部分,用来描述函数如何使用其参数,SAL对于编译器来说可以直接忽略,但是对程序员很有帮助。

相关链接:Understanding SAL | Microsoft Docs

这里的最小的DriverEntry示例可以只返回一个状态,比如:

NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
return STATUS_SUCCESS;
}

该DriverEntry函数包含在<ntddk.h>头文件中,但是添加了头文件后仍然是编译失败的,因为编译器会把警告当成错误来报错,但是不建议删除该功能,因为有时候警告就是会导致错误诞生:

 

 

可以对应修改这些警告,比如这里将形参删除,但是这样仅对于C++好用,因为C++有函数重载,所以这里用不上。这里有一个很经典的解决办法,就是采用一个宏函数:

UNREFERENCED_PARAMETER();

这样就可以暂时解决掉前面的报错说形参没有使用了:

NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
UNREFERENCED_PARAMETER(DriverObject);
UNREFERENCED_PARAMETER(RegistryPath);

return STATUS_SUCCESS;
}

但是这样仍然不行:

 

 

可以很明显得看出,编译器没问题,但是Linker链接器出了问题,DriverEntry是一个C函数,必须用C的linker来link,但是这里我们采用的是C++的默认,所以必须给该函数设置为C的默认LInker才行

extern "C"
NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
UNREFERENCED_PARAMETER(DriverObject);
UNREFERENCED_PARAMETER(RegistryPath);

return STATUS_SUCCESS;
}

这样最简单的驱动程序的源代码就写好了,就相当于C语言中的:

#include<stdio.h>

int main()
{

return 0;
}

Unload Routines:

这是一个驱动的卸载函数,就相当于C++中类的析构函数一样,当驱动被卸载的时候就会自动调用该函数。在DriverEntry函数中创建的东西需要由Unload Routines来释放,这就非常像C++类中的构造函数和析构函数的关系了。如果没有该函数来释放驱动加载时所开辟的内容就会导致泄露,直到下次电脑重启时内核产生的泄露才会清楚。

该函数的函数指针,必须在DriverEntry给DriverEntry的参数DriverObject中的DriverUnload字段赋值才行。Unload函数和DriverEntry函数一样都需要接受一个_In _ PDRIVER_OBJECT DriverObject 参数,但是Unload函数不需要返回值,直接用void 定义就好。

比如:

#include <ntddk.h>

void SampleUnload(_In_ PDRIVER_OBJECT DriverObject)
{
UNREFERENCED_PARAMETER(DriverObject);
}

extern "C"
NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
DriverObject->DriverUnload = SampleUnload;
UNREFERENCED_PARAMETER(RegistryPath);

return STATUS_SUCCESS;
}

就是一个非常简单但是可以用的驱动了。

部署驱动程序Deploying the Driver

前面已经写好了一个驱动程序,但是我们还需要把它跑起来,驱动程序不像平时写的普通程序一样,采用IDE就可以正常使用了,需要将其加载到系统里面,通常为了避免风险,采用虚拟机来部署驱动程序。

安装驱动程序就像是在User用户态安装服务.exe一样,需要调用CreateService API或者采用现有的工具,这里采用比较常用的Sc.exe来进行部署内核驱动。

注册驱动

采用管理员权限的命令行:

sc create sample type=kernel binPath=C:\DriverTest\MyDriver3.sys

其中 sample是创建的名字,然后type表示创建的权限,binPath后面的是驱动的路径。如果没问天会弹出一个成功的标识符。

并且可以在注册表里面查到:

使用Win+R的弹出框里面输入regedit.exe,查看路径\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sample,这就是我们刚刚写好且用sc创造的驱动:

 

 

 

启动驱动

前面是注册了该驱动,还得使用它。这里也和User用户态的服务Service类似,需要采用StartService API来使用或者采用一些软件,这里也可以用Sc.exe来继续使用。

sc start sample

这里的sample就是前面注册的驱动的名字。

但是这个通常会失效,因为对于64bit位的windows系统,加载驱动必须得要有驱动的签名才行,这里为了学习方便,避开签名这个东西,可以直接把系统置为测试版本。

bcdedit /set testsigning on

如果你要生成除了Windows10以外的版本,可以在项目属性里面配置你的驱动要部署在的系统环境里面:

 

 

最后再使用前面sc来加载驱动时会看到一个关于驱动的输出:

 

 

有了这个输出就表明我们的驱动已经成功加载了,可以使用Process Explorer工具来确认是否加载成功(下载地址:https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer

 

 

这里的驱动名称是你自己的sys驱动名称。

卸载驱动

不用了将驱动程序卸下,同样的可以采用 ControlService API或者Sc.exe来处理。Sc指令:

sc stop sample

就OK了。

简单跟踪

为了确保函数有确切被调用,这里提供一种基础的跟踪办法来确保函数被使用,驱动采用KdPrint这个宏来输出类似于printf风格的文本,该宏的内容可以被内核的调试器,或者其它工具查看到。

KdPrint这个宏只在debug模式下采用,它的底层调用的其实是DbgPrint 内核Kernel API。

下面更新一下DriverEntry和Unload函数:

void SampleUnload(_In_ PDRIVER_OBJECT DriverObject)
{
UNREFERENCED_PARAMETER(DriverObject);
KdPrint(("Sample driver Unload called! \n"));
}

NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
DriverObject->DriverUnload = SampleUnload;
UNREFERENCED_PARAMETER(RegistryPath);
KdPrint(("Sample driver initialized successfully\n !"));

return STATUS_SUCCESS;
}

需要注意的是该宏函数在调用时采用了两个括号,因为它是一个宏函数,但是又显然它是可以接受任意变量的,由于宏函数不能接受可变的变量参数,所以编译器实际上调用的是DbgPrint函数。这里理解不了没关系,先这样用着就行。

重新生成驱动并加载来查看这些Print信息,这里需要采用一个内核的调试器才行,但是为了方便,先采用一个系统的内部工具:DebugView来查看。在使用DebugView之前,需要先给它在注册表里面配置内容不然用不上。

在\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\里新建一个Key(项)Key名为DebugPrintFilter,并且添加一个DWORD类型的值名为DEFAULT,这个DEFAULT要和默认的一个值区别开来,后面那个默认的值是注册表中的每一个项都有的,那个值暂时先不用管,然后给该名为DEFAULT类型为DWORD的变量赋值为8,如下图所示:

 

 

 

然后下载DebugView(DebugView - Windows Sysinternals | Microsoft Docs),并用管理员身份打开它,然后再在Capture选项中去掉Capture Win32 和Capture Global Win32,选中Capture Kernel:

 

 

这样,再使用Sc.exe来重新加载驱动就可以看到KdPrint打印的内容了。

 

 

 

总结Summary

这里明白了如何写一个驱动,以及如何再电脑上部署和查看驱动的消息,算是驱动入门了。