危险漫步博客
有时候,正是那些意想不到之人,成就了无人能成之事。
文章1443 浏览13839172

简单驱动开发及逆向之驱动板的helloworld

驱动都是要加载入内核的,我们要做的很多事情也需要在内核下完成,要想在内校中实现功能就需要编写驱动模块。提到驱动可能会想到硬件,大家可能会简单地认为驱动程序是控制硬件设备的。在Windows下驱动并不单单是用来控制硬件设备的。Windows-操作系统_中的驱动程序可以创建虚拟设各,也可以与设备无关。Wmdows操作系统是一个开放式的操作系统,这个开放式并不是指其开放源代码,而是指通过其提供的接口可以很害易和方便地对其内核进行扩展。

要开发Windows下的驱动程序时,需要下载安装Windows下的驱动开发包,即WDK(Windows Driver Kit).该开发包免费提供下载,里面附带了开发驱动的头文件、帮助文档、工具及大量的文档等内容。笔者当前使用的版本是WDK 7600.16385.0。下面来编写一个简单的、与设备无关的驱动程序,名为HeIloWorld。编写驱动不再依赖VC6的开发环境,而是在记事本或任意一款文本编辑器中编写代码,新建一个文件为helloworld.c的C源码文件。代码如下:

在开发驱动时,不在使用main()函数,而是使用driverentry(),该函数是驱动程序的入口函数,其定义在WDK自带的帮助文档中查找:

在WDK的帮助文档中查找DriverEntry0时会找到非常多的关于它的定义,这里查看的是DriverEntry[WDK kemel]的定义。该函数有如下两个参数。

(1)DriverObject:该参数是一个指向DRIVF.R一OBJECT结构体(驱动埘象)的指针。

(2) RegistryPath:该参数是一个UNICODE字符串,指向此驱动负责的注册表。

在程序中使用到了第一个参数,DRIVER OBJECT结构体的定义如下:



该定义在WDK目录下的\inc\ddk\中的wdm.h头文件中,虽然在WDK的帮助文档中有该结构体的介绍,但是笔者并没有找到关于该结构体的具体定义。在该程序中用到了该结构体中的几个成员变量,分别是DriverUnload和DrivefName。DriverUnloa.d是一个用来卸载驱动的函数,卸载驱动的工作是由Windows来完成的,因此该函数是一个回调函数,这个函数用来完成对驱动资源的释放工作。该函数的定义格式如下:


DriverName是一个UNICODE SITRrNG结构体的变量,该变量指向了驱动的名称,UNICODE_STRING结构体的定义如下;

该结构体中的Buffer里保存了驱动的名称,其他两个变量里保存了驱动名称字符串的长度和最大长度。我们的程序到这里基本上介绍的差不多了,还剩下一个KdPrirn()函数没有介绍,这个函数的用法类似printf()函数的用法,这里就不做过多的介绍了。下面来准备编译连接写好的第一个驱动程序吧。

要编译驱动程序需要使用WDK提供的编译工具,在“开始”菜单的程序下可以找到安装WDK的菜单,如:“Windows Driver Kits->WDK 7600.16385.O->Build Environments->Windows XP->x86 Checked Build Environment”,除了Windows XP的以外还有Windows 2003、Windows 7等相关的编译命令行。在驱动编译的工程中也同样提供两个版本,分别是Checked版和Free版.这两个版本对应的就是Debug版和Release版,只是叫法不同而己(注:在不同平台下应使用不同的编译命令行)。

在命令行下编译需要编译脚本,编译脚本有两个,分别是“makefile”和“sources”。这两个脚本不用自己写,只要找一个改改就行。我们到WDK提供的例子程序中找个编译脚本,例如笔者在“\7600.1638 5.O\src\tIlesys\miniFilter\canc eISafe\”目录下找了这两个文件,并复制到我们写的驱动的目录下。下面来修改一下编译脚本,只需要修改“sources”文件即可,另一个文件保持原样即可。Sourceg文件修改如下:

简单解释一下,第一行是编译连接后的驱动名称,第二行是编译后的类型,第三行是需要编译连接的源代码文件。修改好后保存,就可以进行编译了。输入编译的命令buildg,如图7-1所示。

    在编译成功后会在最下面一行看到一个“ executable built”的输出,到我们的目录下去找一下编译好的驱动程序,其所在目录为“HelloWorldDrivef\objchk_ wxp_x8611386”下,那个扩展名为.sys的helloworld就是编译好的驱动文件了。.sys的文件是无法直接取击执行的,需要通过工具进行加载,这里使用的上具是一款名为”KmdManager”的EXE文件。除了要加载以外,还要查看驱动的输出,由于驱动没有界面,因此无法直接查看其输出,需要使用Dbgview工县来查看,下面具体操作一遍。打开KmdManager和Dbgview两个工具,将驱动程序拖放至KmdManager中,然后单击“Register”加载驱动,单击“Run”运行程序,然后查看Dbgview中有一串字符串,那正是在DriverEntlry()中输出的字符串。单击“Stop”按钮停止驱动。并单击“Unregistry”卸载驱动,再次观察Dbgview会看到在DriverUnload()中输出的字符串,如图712和图7-3所示。  我们逐步完成了Helloworld驱动的编写、编译连接及运行显示输出的过程。这一节的内容也主要是让人家学会如何编译连接、运行和查看驱动输出.