我正在尝试做的事情:

1. 用户模式应用程序将进程 ID 发送给驱动程序
2. 驱动程序获取指定进程 ID 的句柄
3. 驱动程序将打开的句柄传递给用户模式应用

我不确定这段代码是否完全有效。我对驱动比较陌生，所以我还没有设置调试，虚拟机也没有下载完成(连接慢的问题)。

从用户模式应用程序获取进程 ID 应该工作正常，它应该作为 ProcessId 存储在 PROCESS_INFO 结构中。打开的句柄存储在与要发送回用户模式应用程序的 ProcessHandle 相同的结构中。我不确定如何将数据从内核返回到用户模式，也许有人可以简要解释一下。

这是我的代码:

#include <ntifs.h>
#include <wdf.h>

DRIVER_INITIALIZE DriverEntry;

UNICODE_STRING DeviceName = RTL_CONSTANT_STRING(L"\\Device\\GetSysHandle"), SymbolicLink = RTL_CONSTANT_STRING(L"\\DosDevices\\GetSysHandle");

typedef struct _PROCESS_INFO
{
    HANDLE ProcessId;
    HANDLE ProcessHandle;
}PROCESS_INFO, *PPROCESS_INFO;

BOOLEAN GetSysHandle(PPROCESS_INFO ProcessInfo)
{
    NTSTATUS status = STATUS_ACCESS_DENIED;
    PEPROCESS eProcess = NULL;

    status = PsLookupProcessByProcessId(ProcessInfo->ProcessId, &eProcess);
    if ((!NT_SUCCESS(status)) || (!eProcess))
    {
        return FALSE;
    }
    status = ObOpenObjectByPointer(eProcess, 0, NULL, 0, 0, KernelMode, &ProcessInfo->ProcessHandle);

    if ((!NT_SUCCESS(status)) || (!ProcessInfo->ProcessHandle))
    {
        ObDereferenceObject(eProcess);
        return FALSE;
    }

    return TRUE;
}

void Unload(PDRIVER_OBJECT pDriverObject)
{
    DbgPrint("# GetSysHandle driver unloaded.");

    IoDeleteSymbolicLink(&SymbolicLink);
    IoDeleteDevice(pDriverObject->DeviceObject);
}

NTSTATUS DriverDispatch(PDEVICE_OBJECT DeviceObject, PIRP irp)
{
    PIO_STACK_LOCATION io;
    PPROCESS_INFO ProcessInfo;

    NTSTATUS status;

    io = IoGetCurrentIrpStackLocation(irp);
    irp->IoStatus.Information = 0;

    switch (io->MajorFunction)
    {
    case IRP_MJ_CREATE:
        status = STATUS_SUCCESS;
        break;
    case IRP_MJ_CLOSE:
        status = STATUS_SUCCESS;
        break;
    case IRP_MJ_READ:
        status = STATUS_SUCCESS;
        break;
    case IRP_MJ_WRITE:

        ProcessInfo = (PPROCESS_INFO)MmGetSystemAddressForMdlSafe(irp->MdlAddress, NormalPagePriority);

        if (!ProcessInfo)
        {
            status = STATUS_INSUFFICIENT_RESOURCES;
            break;
        }

        if (!GetSysHandle(ProcessInfo))
        {
            DbgPrint("# Failed to get process handle");
            status = STATUS_UNSUCCESSFUL;
            break;
        }

        status = STATUS_SUCCESS;
        irp->IoStatus.Information = sizeof(PROCESS_INFO);

        break;

    default:
        status = STATUS_INVALID_DEVICE_REQUEST;
        break;
    }

    irp->IoStatus.Status = status;

    IoCompleteRequest(irp, IO_NO_INCREMENT);
    return status;
}

NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT  DriverObject, _In_ PUNICODE_STRING RegistryPath)
{
    PDEVICE_OBJECT DeviceObject;
    ULONG i;

    DbgPrint("# GetSysHandle driver loaded");

    IoCreateDevice(DriverObject, 0, &DeviceName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &DeviceObject);
    IoCreateSymbolicLink(&SymbolicLink, &DeviceName);

    for (i = 0;i<IRP_MJ_MAXIMUM_FUNCTION;i++)
    {
        DriverObject->MajorFunction[i] = DriverDispatch;
    }

    return STATUS_SUCCESS;
}

最佳答案

首先(避免混淆):此代码适用于 Windows 和 Windows 驱动程序。

我在您的驱动程序代码中看到的最大问题是您没有在 DriverEntry 中注册 IRP 主要功能。您需要设置 MajorFunction PDRIVER_OBJECT DriverObject 的参数到调度函数。不分配这些 MajorFunctions ，驱动程序将无法知道在收到命令时调用什么函数。

为此，将案例拆分为 switch (io->MajorFunction)进入不同的调度功能。例如，IRP_MJ_WRITE将是它自己的函数，你可以这样声明它:

DRIVER_DISPATCH DispatchReadFunction;

在这种情况下，我们希望向驱动程序发出所有读取命令以运行 DispatchReadFunction 中的任何代码。功能。所以定义看起来有点像这样:

NTSTATUS DispatchReadFunction(_In_ PDEVICE_OBJECT DriverObject, _In_ PIRP Irp)
{
     NTSTATUS status = STATUS_SUCCESS;
     //Do read code here
     return status;
}

一旦我们有了 DispatchReadFunction编写的函数，您需要将其分配给 DriverObject->MajorFunction在DriverEntry像这样的功能:

DriverObject->MajorFunction[IRP_MJ_READ] = DispatchReadFunction;

最后，将 IRP_MJ_ 的剩余部分删掉并写入您需要的功能，确保将它们分配给 MajorFunction DriverObject的成员.

我的 DriverEntry函数看起来像这样(我删除了额外的功能):

NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath)
{
     NTSTATUS status;
     status = STATUS_SUCCESS;

     DriverObject->MajorFunction[IRP_MJ_READ]           = DispatchReadFunc;
     DriverObject->MajorFunction[IRP_MJ_CREATE]         = DispatchCreateFunc;
     DriverObject->MajorFunction[IRP_MJ_CLOSE]          = DispatchCloseFunc;
     DriverObject->MajorFunction[IRP_MJ_WRITE]          = DispatchWriteFunc;
     DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DispatchDevCtrlFunc;

     return status;
}

一个好的起点是 here .此链接还包括一个简单的示例(驱动程序代码和应用程​​序代码)，它可以执行您正在尝试执行的操作。

祝你好运!

关于windows - 内核模式驱动程序和 IOCTL，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/32216151/