<寒江独钓>Windows内核安全编程__传统键盘过滤程序

 

技术原理
1.预备知识
何为符号链接？符号链接其实就是设备的一个“别名”。在应用程序中想要访问设备一般要通过符号链接来完成，而不是设备名本身。
ZwCreateFile是很重要的函数。同名的函数有两个：一个在内核中(ntknos.exe)，一个在应用层（ntdll.dll）。在应用程序中调用CreateFile就可以引发对这个函数的调用。
它不但可以打开文件，还可以打开设备（返回一个类似于文件句柄的句柄）。这个函数最终调用NtCreateFile。
何为PDO？PDO是Phsiycal DeviceObject的简称，字面上的意义是物理设备，可以暂时这样理解：
PDO是设备栈最下面的那个设备。
这个理解并不精确，但是很实用。

2.Windows中从击键到内核
在任务管理器中有一个进程叫做csrss.exe。这个进程很关键，他有一个线程win32!RawInputThread,这个线程通过一个GUID（GUID_CLASS_KEYBOARD）获得键盘设备栈中PDO的符号链接。
win32k!RawInputThread执行到函数win32k!OpenDevice,它的一个参数可以找到键盘设备栈的PDO符号连接名。win32k!OpenDevice有一个OBJECT_ATTRIBUTES结构的局部变量，它自己初始化这个局部变量，用传入参数中的键盘设备栈的PDO赋值给OBJECT_ATTRIBUTES中的PUNICODE_STRING ObjectName。
然后调用ZwCreateFile，ZwCreateFile完成打开设备的工作，最后通过传入参数返回得到句柄。win32k!RawInputThread把得到的句柄保存起来，供后面的ReadFile，DeviceIOControl等使用。
ZwCreateFile通过系统服务，调用内核中的NtCreateFile，NtCreateFile执行到nt!IoParseDevice中，调用nt!IoGetAttachDevice,通过PDO获得键盘设备栈最顶端的设备对象。用这个设备对象中的char StackSize作为参数来调用函数IoAllocateIrp，创建IRP。调用nt!ObOpenObjectByName中继续执行，调用nt!ObpCreateHandle在进程（csrss.exe）的句柄表中创建一个新的句柄，这个句柄对应的对象是刚才创建初始化的那个文件对象，文件对象中的DeviceObject指向键盘设备栈的PDO。
win32k!RawInputThread在获得了句柄之后，会以这个句柄为参数，调用nt!ZwReadFile，向键盘驱动要求读入数据。nt!ZwReadFile中会创建一个IRP_MJ_READ的IRP发给键盘驱动，告诉键盘驱动要求读入数据。键盘驱动通常会使这个IRP Pending，即IRP_MJ_READ不会被满足，它一直被放在那里，等待来自键盘的数据。而发出这个读请求的线程win32k!RawInputThread也会等待，等待这个读操作完成。
当键盘上有键被按下时，将触发键盘的那个中断，引起中断服务例程的执行，键盘中断的中断服务例程由键盘驱动提供。键盘驱动从端口读取扫描码，进过一些列处理之后，把键盘得到的数据交给IRP，最后结束这个IRP。
这个IRP的结束，将导致win32k!RawInputThread线程对这个操作的等待结束。win32k!RawInputThread线程将会对得到的数据作出处理，分发给合适的进程。一旦把输入数据处理完之后，win32k!RawInputThread线程会立刻再调用一个nt!ZwReadFile，想键盘驱动要求读入数据。于是又开始一个等待，等待键盘上的键被按下。
简单的说，win32k!RawInputThread线程总是nt!ZwCreateFile要求读入数据，然后等待键盘上的按键被按下。当键盘上的键被按下时，win32k!RawInputThread处理nt!ZwReadFile得到的数据。然后nt!ReadFile要求读入数据，再等待键盘上的键被按下。
（记住，这么一长串描述都是在瞬间完成的，不要被迷惑）

我们一般看到的PS/2键盘设备栈，如果自己没有另外安装其他键盘过滤程序，那么设备栈的情况是这样的：
*最顶层的设备是驱动Kbdclass生成的设备对象
*中间层的设备对象是驱动i8042prt生成的设备对象
*最底层设备对象是驱动ACPI生成的对象
现在，我们只需要知道要去绑定的那个设备驱动就是KbdClass的设备对象就可以。

3.键盘硬件原理
从键盘被敲击到计算机屏幕上出现一个字符，中间有很多复杂的变换。一个字符显然并不代表一个键，因为大写小写的字母是同一个键，只根据Shift键来决定是大写还是小写。此外还有许多复杂的功能键，如Ctrl，Alt。所以键不是用字符来代表，而是给每个键规定了一个扫描码。
键盘和CPU的交互方式是中断和读取端口，这个操作是串行的。一次中断发生，就等于键盘给了CPU一次通知。这个通知只能通知一个事件：某个键被按下了，某个键被弹起了。为此，一个键实际需要两个扫描码，如果按下的扫描码为X，则同一个键弹起的扫描码为X+0x80;

键盘过滤的框架
1.找到所有的键盘设备
要过滤一种设备，首先要绑定它。现在需要找到所有代表键盘的设备。从前面的原理来看，可以认定的是，如果绑定了驱动KbdClass的所有设备对象，则代表键盘的设备一定在其中。如何找到一个驱动下的所有对象。一个DRIVER_OBJECT下有一个域叫做DeviceObject，这个看似是一个设备对象的指针，但是由于DeviceObject之中又有一个域叫做NextDevice，指向同一个驱动中的下一个设备，所以这里是一个设备链。
除了用上面所说的直接读取驱动对象下面的DeviceObject域之外，另一种获得驱动下所有设备对象的方法是调用IoEnumerateDeviceObjectList，这个函数也可以枚举出一个驱动下所有的设备。
现在来看代码：
// 这个函数是事实存在的，只是文档中没有公开。声明一下
// 就可以直接使用了。
extern "C" NTSTATUS ObReferenceObjectByName(
      PUNICODE_STRING ObjectName,
      ULONG Attributes,
      PACCESS_STATE AccessState,
      ACCESS_MASK DesiredAccess,
      POBJECT_TYPE ObjectType,
      KPROCESSOR_