RtlDeleteElementGenericTable小记

最新推荐文章于 2022-07-31 03:03:59 发布

cs_zh_xi

最新推荐文章于 2022-07-31 03:03:59 发布

阅读量493

点赞数

分类专栏： Windows 文章标签：驱动程序 windows

本文链接：https://blog.csdn.net/SuWanWorld/article/details/106439685

版权

本文详细介绍了在Windows驱动程序开发中使用RtlDeleteElementGenericTable的过程，包括查找、删除元素及释放内存的步骤。通过反编译NtosKrnl.exe，解析了函数的内部实现，并探讨了FreeRoutine的原型及其简单实现，强调了Buffer参数与实际element的关系。

摘要由CSDN通过智能技术生成

实验室的产品需要添加一个驱动，其中用到了RTL_GENERIC_TABLE，也就不可避免地用到了RtlDeleteElementGenericTable。

RTL_GENERIC_TABLE默认实现是伸展树，RtlDeleteElementGenericTable主要执行三个步骤：

1. 查找要删除的element的位置。

2. 使用RtlDelete移除element，RtlDelete会调用RtlSplay调整树结构

3. 调用FreeRoutine释放element内存。

RtlDeleteElementGenericTable实现在NtosKrnl.exe中，将其反编译，得到的代码大致是：

uint RtlDeleteElementGenericTable(undefined4 *param_1,int param_2)
{
  int iVar1;
  int *piVar2;
  int iVar3;
  uint uVar4;
  undefined4 uVar5;
  
                    /* 0x1534fa  1067  RtlDeleteElementGenericTable */
  uVar4 = FUN_0055345c(param_2,&param_2);
  iVar3 = param_2;
  if ((uVar4 == 0) || (uVar4 != 1)) {
    uVar4 = uVar4 & 0xffffff00;
  }
  else {
    uVar5 = RtlDelete(param_2);
    *param_1 = uVar5;
    iVar1 = *(int *)(iVar3 + 0xc);
    piVar2 = *(int **)(iVar3 + 0x10);
    *piVar2 =