目录
1 实验要求
2 编写过程
2.1 确立整体架构
2.1.1 入口函数——DriverEntry
2.1.2 自定义创建设备函数——CreateDevice
2.1.3 卸载函数——DriverUnLoad
2.1.4 IRP派遣函数
2.1.5 DUMP函数
3. 收获
4. 完整代码
正文
1 实验要求
2 编写过程
2.1 确立整体架构
2.1.1 入口函数——DriverEntry
（1）作用
- 初始化Driver_Object驱动对象， 注册调用函数入口包括DriverUnload，MajorFunction的相关IRP派遣函数IRP_MJ_CREATE、IRP_MJ_CLOSE、IRP_MJ_READ、IRP_MJ_WRITE
- 创建设备对象
（2）初学者会遇到的问题
- 当源文件为CPP格式时，DriverEntry没有使用extern "C"声明，导致错误error MSB3030: 无法复制文件“D:\D_DRIVER\NT_Driver层次结构\x64\Win7Debug\NT_Driver层次结构.sys”，原因是找不到该文件。
- NTSTATUS的定义，主要是NT_SUCCESS
2.1.2 自定义创建设备函数——CreateDevice
（1）作用
- 创建指定设备名和符号链接名的设备对象
- IoCreateSymbolicLink将符号链接和设备名联系起来
- 设置设备对象的Flags值DO_BUFFERED_IO和设备拓展对象中的deviceName和symbolicName，用于卸载函数等其他地方
（2）初学者会遇到的问题
◆在初始化设备拓展结构体时，将其中的deviceName（类型为UNICODE_STRING）设置为devName（类型为UNICODE_STRING），用了RtlCopyUnicodeString复制函 数，结果复制失败。原因是DeviceExtension的deviceName为空，而它的类型UNICODE_STRING是一种结构体
typedef struct _UNICODE_STRING {
USHORT Length;
USHORT MaximumLength;
#ifdef MIDL_PASS
[size_is(MaximumLength / ), length_is((Length) / ) ] USHORT * Buffer;
#else // MIDL_PASS
_Field_size_bytes_part_(MaximumLength, Length) PWCH Buffer;
#endif // MIDL_PASS
} UNICODE_STRING;
RtlCopyUnicodeString函数不会修改MaximumLength和Buffer，也就是说当MaximumLength小于源字符串的长度，那只能截取源字符串MaximumLength长度的字符了。
对于解决方法，可以直接将devName赋值给结构体的deviceName，如下（不安全，因为如果devName内存释放了Buffer存储的地址就不合法了，而结构体的deviceName继续引用就会出问题）；
2.1.3 卸载函数——DriverUnLoad
（1）作用
- 删除设备对象以及对应的符号链接
（2）初学者会遇到的问题
- 定义卸载函数时未按照系统规定的函数指针类型定义，VOID DriverUnLoad(PDRIVER_OBJECT pDriverObject)，要注意到函数的返回值是VOID（大写），形参类型是PDRIVER_OBJECT。
2.1.4 IRP派遣函数
（1）作用
- 处理IRP
（2）初学者会遇到的问题
- 未认识到IRP派遣函数函数的原型是NTSTATUS DefaultDispatchRoutine(PDEVICE_OBJECT pDeviceObject, PIRP pIrp);函数名可以改变。
2.1.5 DUMP函数
（1）作用
- 显示调试信息
（2）初学者会遇到的问题
- KdPrint对驱动对象或设备对象地址的显示，其调用为KdPrint(("Driver Address:%#010x\n",pDriverObject));;用显示16进制的地址，8位加上0x总共10位，容易搞错
- UNICODE_STRING的输出，KdPrint(("Driver HardwareDatabase:%S\n", pDriverObject->HardwareDatabase->Buffer));容易忽略Buffer域
3. 收获
- 当你看着书，跟着书一步一步的走，你会觉得什么都掌握，但是当你开始打开IDE编码的时候会突然无从下手。重要的细节不经过实际的编码是掌握不牢的。
- 就我自己的编码方法，我会把程序的整个框架先写出来，写接口，再写步骤注释，最后再按照注释完整写出代码，整个过程会清晰很多。
- 编码的时候，不要一边盯着书，不会的要自己尽力回忆，再不会则写个注释标记一下，等所有东西写完之后再去看书检查，效果会更好，而且比较容易记录错误。
4. 完整代码
#include <NTDDK.h>
//设备拓展结构体
typedef struct {
PDEVICE_OBJECT pDeviceObject; //指向自己
UNICODE_STRING deviceName; //设备名
UNICODE_STRING symbolicName; //符号链接
PDEVICE_OBJECT attachDevice; //下层设备对象
}DeviceExtension, *PDeviceExtension;
//DUMP函数
void dump(PDRIVER_OBJECT pDriverObject)
{
KdPrint(("------------------------------------------------------\n"));
KdPrint(("Begin dump"));
//打印调试信息
KdPrint(("Driver Address:%#010x\n",pDriverObject));
KdPrint(("Driver Name:%S\n", pDriverObject->DriverName.Buffer));
KdPrint(("Driver HardwareDatabase:%S\n", pDriverObject->HardwareDatabase->Buffer));
PDEVICE_OBJECT pDeviceObject = pDriverObject->DeviceObject;
KdPrint(("Driver first device:%#010x\n", pDeviceObject));
for (int i = ; NULL != pDeviceObject; pDeviceObject = pDeviceObject->NextDevice,++i)
{
KdPrint(("the %d device\n", i));
KdPrint(("Device AttachedDevice:%#010x\n", pDeviceObject->AttachedDevice));
KdPrint(("Device NextDevice:%#010x\n", pDeviceObject->NextDevice));
KdPrint(("Device StackSize:%d\n", pDeviceObject->StackSize));
KdPrint(("Device's DriverObject:%#010x\n", pDeviceObject->DriverObject));
}
KdPrint(("dump over\n"));
KdPrint(("------------------------------------------------------\n"));
}
//创建设备对象
NTSTATUS CreateDevice(PDRIVER_OBJECT pDriverObject, UNICODE_STRING &linkName, UNICODE_STRING &devName)
{
NTSTATUS status;
PDEVICE_OBJECT pDeviceObject;
PDeviceExtension pDevExt;
//创建设备对象
status = IoCreateDevice(pDriverObject, sizeof(DeviceExtension), &devName, FILE_DEVICE_UNKNOWN, , FALSE, &pDeviceObject);
if (!NT_SUCCESS(status))
{
return status;
}
//创建符号链接
status = IoCreateSymbolicLink(&linkName, &devName);
if (!NT_SUCCESS(status))
{
//删除设备对象
IoDeleteDevice(pDeviceObject);
return status;
}
//设置设备对象
pDeviceObject->Flags |= DO_BUFFERED_IO;
pDevExt = (PDeviceExtension)(pDeviceObject->DeviceExtension);
pDevExt->deviceName = devName;
pDevExt->symbolicName = linkName;
pDevExt->pDeviceObject = pDeviceObject;
return STATUS_SUCCESS;
}
//返回值不能为NTSTATUS，为VOID
VOID DriverUnLoad(PDRIVER_OBJECT pDriverObject)
{
KdPrint(("Leave\n"));
//删除设备对象
//删除符号链接
PDEVICE_OBJECT pcurDevice, pNextDevice;
pcurDevice = pDriverObject->DeviceObject;
while (NULL != pcurDevice)
{
PDeviceExtension pDevExt = (PDeviceExtension)(pcurDevice->DeviceExtension);
pNextDevice = pcurDevice->NextDevice;
IoDeleteSymbolicLink(&pDevExt->symbolicName);
IoDeleteDevice(pcurDevice);
pcurDevice = pNextDevice;
}
}
//IRP派遣函数
NTSTATUS DefaultDispatchRoutine(PDEVICE_OBJECT pDeviceObject, PIRP pIrp)
{
//显示IRP类型
KdPrint(("%d", pIrp->Type));
pDeviceObject;
return STATUS_SUCCESS;
}
extern "C" NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObject, PUNICODE_STRING pRegisterPath)
{
NTSTATUS status = STATUS_SUCCESS;
UNICODE_STRING linkName,devName;
KdPrint(("Create\n"));
pRegisterPath;
//注册调用函数入口
pDriverObject->DriverUnload = DriverUnLoad;
pDriverObject->MajorFunction[IRP_MJ_CREATE] =
pDriverObject->MajorFunction[IRP_MJ_CLOSE] =
pDriverObject->MajorFunction[IRP_MJ_READ] =
pDriverObject->MajorFunction[IRP_MJ_WRITE] = DefaultDispatchRoutine;
//创建设备对象
RtlInitUnicodeString(&devName, L"\\Device\\C_1");
RtlInitUnicodeString(&linkName, L"\\??\\C_1");
status = CreateDevice(pDriverObject,linkName,devName);
if (!NT_SUCCESS(status))
{
return status;
} RtlInitUnicodeString(&devName, L"\\Device\\C_2");
RtlInitUnicodeString(&linkName, L"\\??\\C_2");
status = CreateDevice(pDriverObject, linkName, devName);
if (!NT_SUCCESS(status))
{
IoDeleteSymbolicLink(&linkName);
IoDeleteDevice(pDriverObject->DeviceObject);
return status;
}
dump(pDriverObject);
return status;
}