windows内核Api的学习
windows内核api就是ntoskrnl.exe导出的函数。我们能够跟调用应用层的api一样，调用内核api。
只是内核api须要注意的是。假设函数导出了。而且函数文档化（也就是能够直接在msdn上搜索到）。ExFreePool函数导出。而且文档化，那么我们能够直接调用。导出了未文档化，那么我们就要声明。什么叫文档化和未文档化呢？大家来看一个函数：
UCHAR *PsGetProcessImageFileName(IN PEPROCESS Process);
文档化：就是如果函数导出了，而且在msdn上能够搜索到。
就是文档化我们调用文档化的函数就是直接调用。
未文档化：就是如果函数已经导出了。可是在msdn上没有搜到。就是未文档化函数我们要调用它，就得自己手动声明。
内核编程就跟应用层一样，都是api的调用。都是Hook，都是反Hook，一样的编程思维。它们本质的差别仅仅是在于一个先后顺序。比方看图-什么叫本质的差别:顺序掉
从ring3到SSDT层主体实现函数的调用顺序：
OpenProcesss-->ntdll!ZwOpenProcess-->ntos!ZwOpenProcess-->ntos!NtOpenProcess-->后面。假设你以内核层和应用的角度去理解，那么就是openprocess一直调用到NtOpenProcess还有后面。
演示样例代码：
KernelApiCode.c
#include <ntifs.h>
#include <ntimage.h>
//调用功能号
#define SystemModuleInformation 11
#define SystemProcessesAndThreadsInformation 5
// 系统进程信息结构体
typedef struct _SYSTEM_PROCESSES
{
ULONG NextEntryDelta;
ULONG ThreadCount;
ULONG Reserved[6];
LARGE_INTEGER CreateTime;
LARGE_INTEGER UserTime;
LARGE_INTEGER KernelTime;
UNICODE_STRING ProcessName; //进程的名称
KPRIORITY BasePriority;
ULONG ProcessId; //进程的PID
ULONG InheritedFromProcessId;
ULONG HandleCount;
ULONG Reserved2[2];
VM_COUNTERS VmCounters;
IO_COUNTERS IoCounters;
} _SYSTEM_PROCESSES, *PSYSTEM_PROCESSES;
// 系统模块信息结构体节点
typedef struct _SYSTEM_MODULE_INFORMATION
{
ULONG Reserved[2];
ULONG Base; //模块的基址
ULONG Size; //模块的大小
ULONG Flags;
USHORT Index;
USHORT Unknown;
USHORT LoadCount;
USHORT ModuleNameOffset;
CHAR ImageName[256]; //模块的名称
} SYSTEM_MODULE_INFORMATION, *PSYSTEM_MODULE_INFORMATION;
//模块链结构
typedef struct _tagSysModuleList
{
ULONG ulCount;
SYSTEM_MODULE_INFORMATION smi[1];
} MODULES, *PMODULES;
//ZwQuerySystemInformation函数导出了，可是未文档化。所以要手动声明
NTSTATUS __stdcall ZwQuerySystemInformation(
ULONG_PTR SystemInformationClass, //调用功能号
PVOID SystemInformation, //信息结构体
ULONG SystemInformationLength, //信息结构体的字节长度
PULONG ReturnLength //返回的实际长度
);
//在驱动层遍历进程
VOID EnumProcessList()
{
//声明变量
NTSTATUS status;
ULONG NeededSize,i;
PVOID pBuffer = NULL; //用来指向缓冲区
PSYSTEM_PROCESSES pInfo = NULL; //指向SYSTEM_PROCESSES的指针
__try
{
//获取存放系统的进程和线程信息的实际字节长度
status = ZwQuerySystemInformation(
SystemProcessesAndThreadsInformation,
NULL,
0,
&NeededSize);
if (status != STATUS_INFO_LENGTH_MISMATCH)
{
//长度不匹配
DbgPrint("!= STATUS_INFO_LENGTH_MISMATCH");
return;
}
//依据获取的NeededSize申请非分页内存
pBuffer = ExAllocatePool(NonPagedPool, NeededSize);
if (pBuffer != NULL)
{
DbgPrint("NeededSize:%d\r\n", NeededSize);
//使用5号功能来获取系统的进程和线程的信息
status = ZwQuerySystemInformation(
SystemProcessesAndThreadsInformation, //SystemProcessesAndThreadsInformation = 5
pBuffer,
NeededSize,
NULL);
//假设调用成功
if (NT_SUCCESS(status))
{
DbgPrint("ZwQuerySystemInformation() success\r\n");
//指针类型转换
pInfo = (PSYSTEM_PROCESSES)pBuffer;
while (TRUE)
{
//PID=0，系统的
if (pInfo->ProcessId == 0)
{
DbgPrint("PID %5d System Idle Process\r\n", pInfo->ProcessId);
}
else
{ //打印进程的PID和进程的名称
DbgPrint("PID %5d %ws\r\n", pInfo->ProcessId, pInfo->ProcessName.Buffer);//这里是unicode
}
//假设没有下一个就结束
if (pInfo->NextEntryDelta == 0)
{
break;
}
//遍历下一个
pInfo = (PSYSTEM_PROCESSES)(((PUCHAR)pInfo) + pInfo->NextEntryDelta);
}
}
}
}
//异常的处理
__except(EXCEPTION_EXECUTE_HANDLER)
{
//输出异常信息code
DbgPrint("%08x\r\n", GetExceptionCode());
}
//释放申请的非分页内存资源
if (pBuffer != NULL)
{
ExFreePool(pBuffer);
pBuffer = NULL;
}
}
//驱动层遍历系统模块
VOID GetKernelModuleInfo()
{
//变量的声明
NTSTATUS status;
ULONG NeededSize, i;
PVOID pBuffer = NULL; //用来指向缓冲区
PMODULES pModuleList = NULL; //指向MODULES指针
__try
{
//获取存放系统模块信息结构体的缓冲区的大小
status = ZwQuerySystemInformation(
SystemModuleInformation,
NULL,
0,
&NeededSize);
if (status != STATUS_INFO_LENGTH_MISMATCH)
{
DbgPrint("!= STATUS_INFO_LENGTH_MISMATCH");
return;
}
//依据NeededSize的大小，申请非分页内存的大小
pBuffer = ExAllocatePool(NonPagedPool, NeededSize);
if (pBuffer)
{
//调用功能号11来获取系统的模块的信息
status=ZwQuerySystemInformation(
SystemModuleInformation, //SystemModuleInformation = 11
pBuffer,
NeededSize,
NULL);
if (NT_SUCCESS(status))
{
//指针类型转换
pModuleList = (PMODULES)pBuffer;
//遍历系统的模块的信息
for (i = 0; i< pModuleList->ulCount; i++)
{
//打印系统模块的基址、模块的大小、模块的名称
DbgPrint("0x%08X:%d:%s\r\n", pModuleList->smi[i].Base, pModuleList->smi[i].Size, pModuleList->smi[i].ImageName);
}
}
}
}
__except(EXCEPTION_EXECUTE_HANDLER)
{
//打印异常的代码
DbgPrint("%08x\r\n", GetExceptionCode());
}
//释放申请的非分页内存资源
if (pBuffer)
{
ExFreePool(pBuffer);
pBuffer = NULL;
}
}
/*
*创建注冊表
*SafeKey注冊表的路径
*Reg_Type注冊表的键值类型
*ValueName注冊表的键值的名称
*Value注冊表的键值的值
*/
BOOLEAN Safe_CreateValueKey(PWCHAR SafeKey, ULONG_PTR Reg_Type, PWCHAR ValueName, PWCHAR Value)
{
//声明变量
OBJECT_ATTRIBUTES objectAttributes;
UNICODE_STRING RegUnicodeString, Unicode_ValueName;
NTSTATUS ntStatus;
HANDLE hRegister;
ULONG_PTR ulValue_DWORD;
ULONG_PTR ulResult = 0;
BOOLEAN bRetOK = FALSE;
//WCHAR字符串转UNICODE_STRING字符串
RtlInitUnicodeString(&Unicode_ValueName, ValueName); //键值的名称
RtlInitUnicodeString(&RegUnicodeString, SafeKey); //注冊表的路径
//初始化objectAttributes
InitializeObjectAttributes(
&objectAttributes,
&RegUnicodeString, //注冊表的路径
OBJ_CASE_INSENSITIVE, //对大写和小写敏感
NULL,
NULL
);
//打开注冊表
ntStatus = ZwCreateKey(
&hRegister, //返回注冊表的句柄
KEY_ALL_ACCESS, //注冊表的权限
&objectAttributes,
0,
NULL,
REG_OPTION_NON_VOLATILE,
&ulResult
);
if (NT_SUCCESS(ntStatus))
{
bRetOK = TRUE;
//依据传入參数Reg_Type来实现各种功能
//调用ZwSetValueKey函数来设置注冊表的
switch (Reg_Type)
{
case REG_SZ:
{
ZwSetValueKey(
hRegister,
&Unicode_ValueName, //键值的名称
0,
Reg_Type, //键值的类型
Value, //键值的值
wcslen(Value)*2
);
DbgPrint("REG_SZ--注冊表创建成功!\n");
break;
}
case REG_EXPAND_SZ:
{
ZwSetValueKey(
hRegister,
&Unicode_ValueName, //键值的名称
0,
Reg_Type, //键值的类型
Value, //键值的值
wcslen(Value)*2
);
DbgPrint("REG_EXPAND_SZ--注冊表创建成功!\n");
break;
}
case REG_DWORD:
{
ulValue_DWORD = sizeof(REG_DWORD);
ZwSetValueKey(
hRegister,
&Unicode_ValueName, //键值的名称
0,
Reg_Type, //键值的类型
&Value,
sizeof(ulValue_DWORD) //键值的值
);
DbgPrint("REG_DWORD--注冊表创建成功!\n");
break;
}
}
//关闭句柄
ZwClose(hRegister);
}
return bRetOK;
}
//******************************************************************************************************************************
//驱动卸载例程函数
VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
{
DbgPrint("卸载完毕!\n");
}
//驱动入口函数DriverEntry
NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath)
{
//设置驱动的卸载例程函数
DriverObject->DriverUnload = DriverUnload;
//遍历系统的进程
EnumProcessList();
//遍历系统的驱动模块
GetKernelModuleInfo();
//创建注冊表
Safe_CreateValueKey(L"\\Registry\\Machine\\SYSTEM\\CurrentControlSet\\Services\\", REG_DWORD, L"Start", (PWCHAR)0x3);
Safe_CreateValueKey(L"\\Registry\\Machine\\SYSTEM\\CurrentControlSet\\Services\\", REG_SZ, L"Start_String", L"Hi~ i am agp");
return STATUS_SUCCESS;
}
makefile文件：
# # DO NOT EDIT THIS FILE!!! Edit .\sources. if you want to add a new source # file to this component. This file merely indirects to the real make file # that is shared by all the driver components of the Windows NT DDK # !INCLUDE $(NTMAKEENV)\makefile.def
sources文件
TARGETNAME=KernelApiCode
TARGETPATH=obj
TARGETTYPE=DRIVER
# Additional defines for the C/C++ preprocessor
C_DEFINES=$(C_DEFINES)
SOURCES=KernelApiCode.c\
drvversion.rc
整理好的代码和文档的下载地址：http://download.csdn.net/detail/qq1084283172/8862791
AGP讲课资料整理和学习
