菜鸟之驱动开发13

最新推荐文章于 2023-06-03 20:07:09 发布
最新推荐文章于 2023-06-03 20:07:09 发布
阅读量2.8k 收藏 3
点赞数
分类专栏： 驱动开发 文章标签： attributes file null string object integer
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/devday/article/details/6727639
版权

在本节，我们将学习在内核模式下操作文件，包括：创建，打开，读取，修改，文件属性读取与修改。

相关的API有：ZwCreateFile, ZwOpenFile, ZwReadFile, ZwWriteFile, ZwQueryInformationFile,ZwSetInformationFile,  它们对应的应用程的API就是去掉前面的Zw.

内核模式操作文件都需要先初始化一个OBJECT_ATTRIBUTES结构如OBJECT_ATTRIBUTES objectAttributes;具体将在下面的源码中看到。

创建文件方法:

VOID CreateFileTest() 
{
 NTSTATUS ntStatus;
 OBJECT_ATTRIBUTES objectAttributes;
 IO_STATUS_BLOCK iostatus;
 HANDLE hfile;
 UNICODE_STRING  SymbolFileName;
  KdPrint(("\n-----------------创建文件测试  --------------------!\n"));
 //初始化UNICODE_STRING字符串

   RtlInitUnicodeString(&SymbolFileName,L"\\Device\\HarddiskVolume1\\CreateFileTest.txt");
   //RtlInitUnicodeString( &SymbolFileName,  L"\\??\\C:\\\CreateFileTest.txt");//可用此行替换上一行
 //初始化objectAttributes
 InitializeObjectAttributes(
	 &objectAttributes, //指定一个需要OBJECT_ATTRIBUTES结构地址
	 &SymbolFileName,//是一个UNICODE_STRING字串地址，指定需要操作对象名（在这里可以是符号链接名，或者设备名)
	 OBJ_CASE_INSENSITIVE, //指定此值表示 不区分大小写。
	 NULL, 
	 NULL );
 //创建文件
 ntStatus = ZwCreateFile( 
  &hfile, 
//PHANDLE类型指针 用于返回打开文件的句柄
  GENERIC_WRITE,
//ACCESS_MASK类型 此值用于描述打开文件操作（读，写，或者其它）
  &objectAttributes, 
//此值是OBJECT_ATTRIBUTES结构的地址，该结构包含要打开的文件名 需要用InitializeObjectAttributes进行初始化
  &iostatus,
//指向一个IO_STATUS_BLOCK结构，返回值之一 用于存放ZwCreateFile操作的结果状态
  NULL,
  //PLARGE_INTEGER 类型（64位整数指针）该数指定文件初始分配时的大小。该参数如果为NULL，那么文件长度将从0开始，随着写入而增长
  FILE_ATTRIBUTE_NORMAL,
  //此参数在驱动下指定为0或者FILE_ATTRIBUTE_NORMAL，如果文件不是被创建和覆盖写入 则此参数将被忽略
  FILE_SHARE_READ,
  //指定共享模式 有共享读FILE_SHARE_READ,写FILE_SHARE_WRITE,删除FILE_SHARE_DELETE这几中模式
  FILE_OPEN_IF,
  //此值表示 文件存在则打开 不存在则创建一个新的文件
  FILE_SYNCHRONOUS_IO_NONALERT,
  //指定文件创建或者打开的附加标志 FILE_SYNCHRONOUS_IO_NONALERT表示在文件中的所有操作均同步，并没有警报
  NULL, 
  //对于设备和中间驱动程序，此参数必须是NULL
  0 );  
 //对于设备和中间驱动程序，此参数必须是0
 if ( NT_SUCCESS(ntStatus))
 {
  KdPrint(("创建文件成功!\n"));
 }else
 {
  KdPrint(("创建文件失败!\n"));
 }

 //文件操作
 //.......

 //关闭文件句柄
 ZwClose(hfile);

}


打开文件方法有几种：可以用ZwCreateFile,可以用ZwOpenFile,在这儿我们用ZwCreateFile, 在完整源码中两种方法都有。

VOID OpenFileTest() 
{
	NTSTATUS ntStatus;
	OBJECT_ATTRIBUTES objectAttributes;
	IO_STATUS_BLOCK iostatus;
	HANDLE hfile;
	UNICODE_STRING  SymbolFileName;
	KdPrint(("\n-----------------打开文件测试OpenFileTest  --------------------!\n"));
	//初始化UNICODE_STRING字符串

	RtlInitUnicodeString(&SymbolFileName,L"\\Device\\HarddiskVolume1\\CreateFileTest.txt");
	//RtlInitUnicodeString( &SymbolFileName,  L"\\??\\C:\\\CreateFileTest.txt");//可用此行替换上一行
	//初始化objectAttributes
	InitializeObjectAttributes(
		&objectAttributes, //指定一个需要OBJECT_ATTRIBUTES结构地址
		&SymbolFileName,//是一个UNICODE_STRING字串地址，指定需要操作对象名（在这里可以是符号链接名，或者设备名)
		OBJ_CASE_INSENSITIVE, //指定此值表示 不区分大小写。
		NULL, 
		NULL );
	//创建文件
	ntStatus = ZwCreateFile( 
		&hfile, 
		//PHANDLE类型指针 用于返回打开文件的句柄
		GENERIC_WRITE,
		//ACCESS_MASK类型 此值用于描述打开文件操作（读，写，或者其它）
		&objectAttributes, 
		//此值是OBJECT_ATTRIBUTES结构的地址，该结构包含要打开的文件名 需要用InitializeObjectAttributes进行初始化
		&iostatus,
		//指向一个IO_STATUS_BLOCK结构，返回值之一 用于存放ZwCreateFile操作的结果状态
		NULL,
		//PLARGE_INTEGER 类型（64位整数指针）该数指定文件初始分配时的大小。该参数如果为NULL，那么文件长度将从0开始，随着写入而增长
		FILE_ATTRIBUTE_NORMAL,
		//此参数在驱动下指定为0或者FILE_ATTRIBUTE_NORMAL，如果文件不是被创建和覆盖写入 则此参数将被忽略
		FILE_SHARE_READ,
		//指定共享模式 有共享读FILE_SHARE_READ,写FILE_SHARE_WRITE,删除FILE_SHARE_DELETE这几中模式
		FILE_OPEN,
		//此值表示 文件存在则打开 不存在则创建一个新的文件
		FILE_SYNCHRONOUS_IO_NONALERT,
		//指定文件创建或者打开的附加标志 FILE_SYNCHRONOUS_IO_NONALERT表示在文件中的所有操作均同步，并没有警报
		NULL, 
		//对于设备和中间驱动程序，此参数必须是NULL
		0 );  
	//对于设备和中间驱动程序，此参数必须是0
	if ( NT_SUCCESS(ntStatus))
	{
		KdPrint(("打开文件成功!hfile=%x\n",hfile));
	}else
	{
		KdPrint(("打开文件失败!hfile=%x\n",hfile));
	}

	//文件操作
	//.......

	//关闭文件句柄
	ZwClose(hfile);
	KdPrint(("\n-----------------打开文件测试OpenFileTest end --------------------!\n"));

}


读取文件：

 

VOID ReadFileTest() 
{
KdPrint(("\n---------------------ZwReadFile写文件测试--------------------\n"));

 OBJECT_ATTRIBUTES objectAttributes;
 IO_STATUS_BLOCK iostatus;
 HANDLE hfile;
 UNICODE_STRING SymbolFileName;

 //初始化UNICODE_STRING字符串
 RtlInitUnicodeString( &SymbolFileName, L"\\Device\\HarddiskVolume1\\CreateFileTest.txt");
 //RtlInitUnicodeString( &SymbolFileName,  L"\\??\\C:\\1.txt");

 //初始化objectAttributes
 InitializeObjectAttributes(&objectAttributes,
  &SymbolFileName,
  OBJ_CASE_INSENSITIVE,//对大小写敏感 
  NULL, 
  NULL );

 //创建文件
 NTSTATUS ntStatus = ZwCreateFile( &hfile, 
  GENERIC_READ,
  &objectAttributes, 
  &iostatus, 
  NULL,
  FILE_ATTRIBUTE_NORMAL, //常规属性
  FILE_SHARE_READ,//共享读
  FILE_OPEN,//有文件存在则打开，不存在则报错
  FILE_SYNCHRONOUS_IO_NONALERT, 
  NULL, 
  0 );

 if (!NT_SUCCESS(ntStatus))
 {
  KdPrint(("文件不存在!\n"));
  return;
 }

 FILE_STANDARD_INFORMATION fsi;
 //读取文件长度
 ntStatus = ZwQueryInformationFile(hfile,
  &iostatus,
  &fsi,
  sizeof(FILE_STANDARD_INFORMATION),
  FileStandardInformation);

 KdPrint(("共读取 %d 字节\n",fsi.EndOfFile.QuadPart));

 //为读取的文件分配缓冲区
 PUCHAR pBuffer = (PUCHAR)ExAllocatePool(PagedPool,
  (LONG)fsi.EndOfFile.QuadPart);

 //读取文件
 ZwReadFile(hfile,NULL,
  NULL,NULL,
  &iostatus,
  pBuffer,
  (LONG)fsi.EndOfFile.QuadPart,
  NULL,NULL);
 KdPrint(("实际读取 %d 字节\n",iostatus.Information));
 //显示实际读取内容
 KdPrint(("\n 成功读取内容为:%s \n",pBuffer));
 //关闭文件句柄
 ZwClose(hfile);

 //释放缓冲区
 ExFreePool(pBuffer);
}


 修改文件：

VOID WriteFileTest() 
{
 KdPrint(("\n---------------------ZwWriteFile写文件测试--------------------\n"));
 OBJECT_ATTRIBUTES objectAttributes;
 IO_STATUS_BLOCK iostatus;
 HANDLE hfile;
 UNICODE_STRING SymbolFileName;

 //初始化UNICODE_STRING字符串
 RtlInitUnicodeString( &SymbolFileName, L"\\Device\\HarddiskVolume1\\CreateFileTest.txt");
 //RtlInitUnicodeString( &SymbolFileName,  L"\\??\\C:\\1.txt");

 //初始化objectAttributes
 InitializeObjectAttributes(&objectAttributes,
  &SymbolFileName,
  OBJ_CASE_INSENSITIVE,//对大小写敏感 
  NULL, 
  NULL );

 //创建文件
 NTSTATUS ntStatus = ZwCreateFile( &hfile, 
  GENERIC_WRITE,
  &objectAttributes, 
  &iostatus, 
  NULL,
  FILE_ATTRIBUTE_NORMAL, 
  FILE_SHARE_WRITE,
  FILE_OPEN_IF,//即使存在该文件，也创建 
  FILE_SYNCHRONOUS_IO_NONALERT, 
  NULL, 
  0 );
#define BUFFER_SIZE 30
 PCHAR pBuffer = (PCHAR)ExAllocatePool(PagedPool,BUFFER_SIZE);
 //构造要填充的数据
 RtlFillMemory(pBuffer,BUFFER_SIZE,'s');//www.yjxsoft.comssssssssssssxxxxxx
 //strcpy(pBuffer,"www.yjxsoft.com");
 RtlCopyMemory(pBuffer,"www.yjxsoft.com",15);

 KdPrint(("即将写入 %d 字节\n",BUFFER_SIZE));
 //写文件ZwQueryInfomationfile
 LARGE_INTEGER sl;
 sl.QuadPart=0i64;
 ZwWriteFile(hfile,NULL,NULL,NULL,&iostatus,pBuffer,30,&sl,NULL);
 KdPrint(("成功写入 %d 字节\n",iostatus.Information));

 
 //构造要填充的数据
 RtlFillMemory(pBuffer,BUFFER_SIZE,'x');

 KdPrint(("成功写入 %d 字节\n",BUFFER_SIZE));
 //追加数据
 LARGE_INTEGER number;
 number.QuadPart =30i64;//设置文件指针
 //对文件进行附加写
 ZwWriteFile(hfile,NULL,NULL,NULL,&iostatus,pBuffer,BUFFER_SIZE,&number,NULL);
 KdPrint(("追加写入 %d 字节\n",iostatus.Information));
 
 //关闭文件句柄
 ZwClose(hfile);

 ExFreePool(pBuffer);
}


文件属性读取与修改：

VOID FileAttributeTest() 
{
	KdPrint(("\n-----------------ZwQueryInformationFile  ZwSetInformationFile 测试 ---------------------!\n"));

 OBJECT_ATTRIBUTES objectAttributes;
 IO_STATUS_BLOCK iostatus;
 HANDLE hfile;
 UNICODE_STRING SymbolFileName;

 //初始化UNICODE_STRING字符串
 //RtlInitUnicodeString( &SymbolFileName, L"\\Device\\HarddiskVolume1\\1.txt");
 RtlInitUnicodeString( &SymbolFileName,  L"\\??\\C:\\CreateFileTest.txt");

 //初始化objectAttributes
 InitializeObjectAttributes(&objectAttributes,
  &SymbolFileName,
  OBJ_CASE_INSENSITIVE,//对大小写敏感 
  NULL, 
  NULL );

 //创建文件
 NTSTATUS ntStatus = ZwCreateFile( &hfile, 
  GENERIC_ALL,
  &objectAttributes, 
  &iostatus, 
  0,
  FILE_ATTRIBUTE_NORMAL, 
  FILE_SHARE_WRITE,
  FILE_OPEN_IF,//对文件打开，如果不存在则返回错误 
  FILE_SYNCHRONOUS_IO_NONALERT, 
  NULL, 
  0);
 if (NT_SUCCESS(ntStatus))
 {
  KdPrint(("打开文件成功.\n"));
 }

 FILE_STANDARD_INFORMATION fsi;
 //读取文件长度
 
 ntStatus = ZwQueryInformationFile(hfile,
  &iostatus,
  &fsi,
  sizeof(FILE_STANDARD_INFORMATION),
  FileStandardInformation);
 if (NT_SUCCESS(ntStatus))
 {
  KdPrint(("文件长度 :%u\n",fsi.EndOfFile.QuadPart));
 }  
 
//读出文件属性
 FILE_BASIC_INFORMATION fbi;
  ZwQueryInformationFile(hfile,
	 &iostatus,
	 &fbi,
	 sizeof(FILE_BASIC_INFORMATION),
	 FileBasicInformation); 
//修改文件属性
 fbi.FileAttributes=FILE_ATTRIBUTE_READONLY;//|FILE_ATTRIBUTE_READONLY|FILE_ATTRIBUTE_HIDDEN | FILE_ATTRIBUTE_SYSTEM|FILE_ATTRIBUTE_NORMAL;
 ntStatus = ZwSetInformationFile(hfile,
  &iostatus,
  &fbi,
  sizeof(FILE_BASIC_INFORMATION),
  FileBasicInformation);
 if (NT_SUCCESS(ntStatus))
 {
  KdPrint(("设置文件  属性成功.\n"));
 } else
 {
 KdPrint(("设置文件  属性失败ntStatus=%x\n",ntStatus));
 }  

 //关闭文件句柄
 ZwClose(hfile);
}


具体请参看完整源码。

大招至胜
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
Irp的传递与完成
02-23 663
1.在本层驱动中完成1.1在本层驱动中以同步方式完成在本层同步完成一般做完相应处理后，设置Irp->IoStatus.Status和Irp->IoStatus.Information，调用IoCompleteRequest完成该IRP，returnIRP的完成状态即可。 1.2在本层驱动中以异步方式完成在本层异步完成一般是得到IRP后将其入队/起线程另行处理，同时调用IoMarkIrpPending
内核与驱动_04_文件操作
hskull的博客
02-14 476
文章目录文件操作概述使用OBJECT_ATTRIBUTES打开和关闭文件打开文件文件读/写操作读写使用示例遍历文件 文件操作 概述 在内核中也是可以操作文件的，在用户层中我们操作文件是会提供一个路径，但是在内核中，我们需要在路径前加上\\??\\。 使用OBJECT_ATTRIBUTES 在内核中进行文件操作时并不直接接受一个字符串路径，使用者必须首先填写一个OBJECT_ATTRIBUTE...
驱动设备的读写方式汇总
最新发布
要把所有那些负面的信息当做对自身行为的评价，而不是对自身价值的评判。
06-03 732
下面就这两种情景分别罗列出来以加深理解和记忆，若是实在记不住的话，也可以提高clip©代码时的查询效率：）。输出缓冲区地址：**MmGetMdlVirtualAddress(IRP->MdlAddress)**或者MmGetSystemAddressForMdlSafe(IRP->MdlAddress)或者MmGetSystemAddressForMdlSafe(IRP->MdlAddress)读的时候被当作用户程序的输入缓冲区，写入的时候被当作用户程序的输出缓冲区。驱动设备的读写方式有3种，分别对应于。
内核模式下的文件操作
crkres9527
09-27 416
A、文件的创建 B、文件的打开 C、获取和修改文件属性 D、写文件和读文件   一、文件的创建 InitializeObjectAttributes 初始化  POBJECT_ATTRIBUTES 结构 ZwCreateFile 二、文件的打开    ZwCreateFile,ZwOpenFile 三、获取和修改文件属性     ZwQueryInformationFile,...
VS2012菜鸟WDF驱动开发系列
01-26
VS2012菜鸟WDF驱动开发系列 本篇文章讲述了VS2012菜鸟WDF驱动开发系列的第一个部分，即搭建VM+Windbg调试平台。作者以新手的身份，记录了驱动开发的学习过程，并分享了自己的经验。 知识点1：WDF驱动开发 WDF...
基于beego的菜鸟级快速开发框架工具集.zip
05-31
基于beego的菜鸟级快速开发框架工具集。实现了：数据库设计在代码中完成和维护；api自动生成；数据读取通过配置文件方式以保证上线后维护的简便性；以事件为驱动的权限阻断系统、数据预处理后处理，最大程度上保证...
菜鸟学习单片机如何下手？
01-19
　菜鸟工程师由于身边有“老兵”的指导，加之有目的明确的工程项目的驱动，在单片机学习上并不会走太多的弯路。在校大学生在学习之初，首先要面对的就是“迷茫”，空有一腔热情，却不知如何下手。 　在学习单片机之...
Skynet框架之菜鸟手册
04-25
通过深入学习《Skynet框架之菜鸟手册》，读者不仅可以理解Skynet的基本原理，还能掌握如何在实际项目中运用这一框架，提升自己的开发技能。对于希望进入游戏服务器开发领域的开发者，这是一份非常有价值的参考资料。
Gloomy对Windows内核的分析(对象管理器)
峥嵘岁月
01-31 5169
Inside WINDOWS NT Object Manager=====================================                                                                                  Заточенное само в себе                         
深入理解 ZwCreateFile
zacklin的专栏
04-16 8278
前言： 任何编码的东西必须充分的了解规则！ 我试探性的搜索了下关于这个native api的相关的问题，很郁闷的发现，这些问题90%都是没有真正理解了这个函数导致的！ 有的人连函数干嘛的都不知道就着急的写驱动，真是不可一世！所谓兼收并蓄为的是厚积薄发，其间如履薄冰。说的很贴切！ 对此我一直支持achills师傅的思想！搞明白了最基本的和必须的东西，一切后续的东西迎刃而解！ 这个文章我没有
过滤驱动容易让新手纠结的几个函数
StoneRain
07-18 2880
1. IoAttachDevice NTSTATUS IoAttachDevice( IN PDEVICE_OBJECT SourceDevice, IN PUNICODE_STRING TargetDevice, OUT PDEVICE_OBJECT *AttachedDevice ); 将【指定指针】的设备对象附加到【指定名称】的设备对象所在的【设备对象栈】
InitializeObjectAttributes；OBJECT_ATTRIBUTES
autumn20080101的专栏
12-24 2260
/* # Exploit Title: Avira Premium Security Suite NtCreateKey Race Condition Vulnerability # Date: 2010-11-03 # Author: Nikita Tarakanov (CISS Research Team) # Software Link: http://www.avira.com/ # V
分层驱动之循环读数据
weixin_42071117的博客
05-03 291
// driverA.c #include <ntddk.h> // 卸载函数 VOID DriverUnload(IN PDRIVER_OBJECT pDriverObject) { UNICODE_STRING DevSymboliclinkName = { 0 }; RtlInitUnicodeString(&DevSymboliclinkName, L"\\??\\LayerDriver"); IoDeleteSymbolicLink(&DevSymbolicl
过滤驱动 文件访问重定向方法
keidoekd2345的专栏
04-19 1393
在pre callback 中，使用IoReplaceFileObjectName 修改 Data->Iopb->TargetFileObject 文件路径， 然后：                 Data->IoStatus.Status = IO_REPARSE;                 Data->IoStatus.Information = IO_REPARSE;
闲着无事2 RtlFillMemory
svtanto的专栏
03-11 945
反汇编RtlFillMemory
文件操作--windows内核安全与驱动开发
l19901218的博客
04-19 254
/* 首先，"文件"是什么？ 我个人的理解，文件就会一堆二进制数据，这些数据表示了一堆信息，仅此而已！ 在windows内核中，要打开一个文件，首先要填充一个OBJECT_ATTRIBUTES这个结构体，这个结构体貌似没用文档化。 但是它总是被InitializeObjectAttributes初始化。 接下来 打开和关闭 文件。 打开一个文件用 ZwCreateFile 参数的具体意义是什么...
数字化时代的敏捷开发中台29.9.pdf
06-26
数字化时代的敏捷开发中台29.9.pdf

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值