驱动学习笔记一：实现一个简单的HelloDriver

枉被人叫了这么久的驱动大牛，实际上驱动差的要命，哈哈。现在来补习下驱动知识，写个笔记，反正在学校里也算是个学习的过程吧。以下代码均在VC2008 + WDK2008下编译通过。至于DDK和选择的工具什么的我也不知道怎么说，反正现在可供选择的东西还有详细配置的教程还是比较多的，所以我就不再赘述了。我就直接跳过那些配置文章，直接从代码开始说起吧。至于逆向或者分析bug，这些可能我在文章里就完全不会涉及了…毕竟这个算是我的本行出身，哈哈。另外文中代码使用了C++语言而不是常见的C语言，因为有时候会想用到C++特性而故意为之，当然，做个c版本也是可以的事情。好在两者改写起来并不算十分复杂。

头文件Driver.h：

1. #pragma once
3. #ifdef __cplusplus
4. extern "C"
5. {
6. #endif
7. #include <NTDDK.h>
8. #ifdef __cplusplus
9. }
10. #endif 
12. #define PAGEDCODE code_seg("PAGE")
13. #define LOCKEDCODE code_seg()
14. #define INITCODE code_seg("INIT")
16. #define PAGEDDATA data_seg("PAGE")
17. #define LOCKEDDATA data_seg()
18. #define INITDATA data_seg("INIT")
20. #define arraysize(p) (sizeof(p)/sizeof((p)[0]))
22. typedef struct _DEVICE_EXTENSION {
23.     PDEVICE_OBJECT pDevice;
24.     UNICODE_STRING ustrDeviceName;  //设备名称
25.     UNICODE_STRING ustrSymLinkName; //符号链接名
26. } DEVICE_EXTENSION, *PDEVICE_EXTENSION;
28. // 函数声明
30. NTSTATUS CreateDevice (IN PDRIVER_OBJECT pDriverObject);
31. VOID HelloDDKUnload (IN PDRIVER_OBJECT pDriverObject);
32. NTSTATUS HelloDDKDispatchRoutine(IN PDEVICE_OBJECT pDevObj,
33.                                  IN PIRP pIrp);

Driver.cpp：

1. #include "Driver.h"
3. /************************************************************************
4. * 函数名称:DriverEntry
5. * 功能描述:初始化驱动程序，定位和申请硬件资源，创建内核对象
6. * 参数列表:
7.       pDriverObject:从I/O管理器中传进来的驱动对象
8.       pRegistryPath:驱动程序在注册表的中的路径
9. * 返回 值:返回初始化驱动状态
10. *************************************************************************/
11. #pragma INITCODE
12. extern "C" NTSTATUS DriverEntry (
13.             IN PDRIVER_OBJECT pDriverObject,
14.             IN PUNICODE_STRING pRegistryPath    ) 
15. {
16.     NTSTATUS status;
17.     KdPrint(("Enter DriverEntry/n"));
19.     //注册其他驱动调用函数入口
20.     pDriverObject->DriverUnload = HelloDDKUnload;
21.     pDriverObject->MajorFunction[IRP_MJ_CREATE] = HelloDDKDispatchRoutine;
22.     pDriverObject->MajorFunction[IRP_MJ_CLOSE] = HelloDDKDispatchRoutine;
23.     pDriverObject->MajorFunction[IRP_MJ_WRITE] = HelloDDKDispatchRoutine;
24.     pDriverObject->MajorFunction[IRP_MJ_READ] = HelloDDKDispatchRoutine;
25.     
26.     //创建驱动设备对象
27.     status = CreateDevice(pDriverObject);
29.     KdPrint(("DriverEntry end/n"));
30.     return status;
31. }
33. /************************************************************************
34. * 函数名称:CreateDevice
35. * 功能描述:初始化设备对象
36. * 参数列表:
37.       pDriverObject:从I/O管理器中传进来的驱动对象
38. * 返回 值:返回初始化状态
39. *************************************************************************/
40. #pragma INITCODE
41. NTSTATUS CreateDevice (
42.         IN PDRIVER_OBJECT   pDriverObject) 
43. {
44.     NTSTATUS status;
45.     PDEVICE_OBJECT pDevObj;
46.     PDEVICE_EXTENSION pDevExt;
47.     
48.     //创建设备名称
49.     UNICODE_STRING devName;
50.     RtlInitUnicodeString(&devName,L"//Device//MyDDKDevice");
51.     
52.     //创建设备
53.     status = IoCreateDevice( pDriverObject,
54.                         sizeof(DEVICE_EXTENSION),
55.                         &(UNICODE_STRING)devName,
56.                         FILE_DEVICE_UNKNOWN,
57.                         0, TRUE,
58.                         &pDevObj );
59.     if (!NT_SUCCESS(status))
60.         return status;
62.     pDevObj->Flags |= DO_BUFFERED_IO;
63.     pDevExt = (PDEVICE_EXTENSION)pDevObj->DeviceExtension;
64.     pDevExt->pDevice = pDevObj;
65.     pDevExt->ustrDeviceName = devName;
66.     //创建符号链接
67.     UNICODE_STRING symLinkName;
68.     RtlInitUnicodeString(&symLinkName,L"//??//HelloDDK");
69.     pDevExt->ustrSymLinkName = symLinkName;
70.     status = IoCreateSymbolicLink( &symLinkName,&devName );
71.     if (!NT_SUCCESS(status)) 
72.     {
73.         IoDeleteDevice( pDevObj );
74.         return status;
75.     }
76.     return STATUS_SUCCESS;
77. }
79. /************************************************************************
80. * 函数名称:HelloDDKUnload
81. * 功能描述:负责驱动程序的卸载操作
82. * 参数列表:
83.       pDriverObject:驱动对象
84. * 返回 值:返回状态
85. *************************************************************************/
86. #pragma PAGEDCODE
87. VOID HelloDDKUnload (IN PDRIVER_OBJECT pDriverObject) 
88. {
89.     PDEVICE_OBJECT  pNextObj;
90.     KdPrint(("Enter DriverUnload/n"));
91.     pNextObj = pDriverObject->DeviceObject;
92.     while (pNextObj != NULL) 
93.     {
94.         PDEVICE_EXTENSION pDevExt = (PDEVICE_EXTENSION)
95.             pNextObj->DeviceExtension;
97.         //删除符号链接
98.         UNICODE_STRING pLinkName = pDevExt->ustrSymLinkName;
99.         IoDeleteSymbolicLink(&pLinkName);
100.         pNextObj = pNextObj->NextDevice;
101.         IoDeleteDevice( pDevExt->pDevice );
102.     }
103. }
105. /************************************************************************
106. * 函数名称:HelloDDKDispatchRoutine
107. * 功能描述:对读IRP进行处理
108. * 参数列表:
109.       pDevObj:功能设备对象
110.       pIrp:从IO请求包
111. * 返回 值:返回状态
112. *************************************************************************/
113. #pragma PAGEDCODE
114. NTSTATUS HelloDDKDispatchRoutine(IN PDEVICE_OBJECT pDevObj,
115.                                  IN PIRP pIrp) 
116. {
117.     KdPrint(("Enter HelloDDKDispatchRoutine/n"));
118.     NTSTATUS status = STATUS_SUCCESS;
119.     // 完成IRP
120.     pIrp->IoStatus.Status = status;
121.     pIrp->IoStatus.Information = 0; // bytes xfered
122.     IoCompleteRequest( pIrp, IO_NO_INCREMENT );
123.     KdPrint(("Leave HelloDDKDispatchRoutine/n"));
124.     return status;
125. }

build之后的结果如下：