ObReferenceObjectByName函数使用解析

一、由于ObReferenceObjectByName没有文档化，故在使用前先做声明：

#ifdef __cplusplus  
extern "C"  
{  
#endif  
#include <NTDDK.h>  
  
NTKERNELAPI  
NTSTATUS  
ObReferenceObjectByName(  
    IN PUNICODE_STRING ObjectName,  
    IN ULONG Attributes,  
    IN PACCESS_STATE PassedAccessState OPTIONAL,  
    IN ACCESS_MASK DesiredAccess OPTIONAL,  
    IN POBJECT_TYPE ObjectType,  
    IN KPROCESSOR_MODE AccessMode,  
    IN OUT PVOID ParseContext OPTIONAL,  
    OUT PVOID *Object  
    );  
extern POBJECT_TYPE * IoDeviceObjectType;  
#ifdef __cplusplus  
}  
#endif 

二、使用

调试ObReferenceObjectByName发现，

(1)可以根据驱动名称可以得到PDRIVER_OBJECT，进而得到该驱动的PDEVICE_OBJECT。

(2)根据设备名称取到PDEVICE_OJBECT为0。

(3)根据符号链接名称取到PDEVICE_OJBECT的地址并不是设备对象地址。

调试代码如下：

 UNICODE_STRING DeviceName;  
// RtlInitUnicodeString( &DeviceName, L"\\??\\HelloDDKA" );  
// RtlInitUnicodeString( &DeviceName, L"\\??\\DriverA" );  
 RtlInitUnicodeString( &DeviceName, L"\\Driver\\DriverA" );  
  
 PDEVICE_OBJECT DeviceObject = NULL;  	//设备对象
 PFILE_OBJECT FileObject = NULL;  
 PDRIVER_OBJECT pDriver = NULL;  	//驱动对象
//  ntStatus = ObReferenceObjectByName(&DeviceName,OBJ_CASE_INSENSITIVE,NULL,FILE_ALL_ACCESS,IoDeviceObjectType,KernelMode,NULL,(PVOID*)&DeviceObject);  
 ntStatus = ObReferenceObjectByName(
 							&DeviceName,			//不区分大小写 驱动名可以写大写或小写
 							OBJ_CASE_INSENSITIVE,	
 							NULL,					// 结构比较复杂设计对象特性的东西access state
 							FILE_ALL_ACCESS,		 // 访问权限可以写0 写0完全访问不受控制FILE_ALL_ACCESS
 							IoDeviceObjectType,		//对象类型 注意加*号
 							KernelMode,				//内核模式 有三种模式 enum 类型
 							NULL,					//不知道 parse context  parse contex
 							(PVOID*)&pDriver		//输出对象 我们要得到的驱动对象
 							);  
   
 DeviceObject = pDriver->DeviceObject;  
 PDEVICE_EXTENSION pdx = (PDEVICE_EXTENSION)DeviceObject->DeviceExtension;  

说明：

driverString驱动名称 如：L“\\Driver\\Disk”
driverObject注意前面的&符号
*IoDriverObjectType 定义时有星号，用的时候*IoDriverObjectType也要加星号

三、关闭引用

调用上面的ObReferenceObjectByName对象指针，当得到的对象不再使用后，记得调用ObDereferenceObject关闭引用。

(1)如果得到的是驱动对象，则关闭驱动对象引用，如ObDereferenceObject(pDriver)

(2)如果得到是设备对象，则关闭设备对象引用，如ObDereferenceObject(deviceObject)

(3)如果得到的是文件对象，则关闭文件对象引用，如ObDereferenceObject(fileObject)

重点注意:
获取键盘驱动对象

NTSTATUS status = ObReferenceObjectByName(
										&uKbdDriverName, 
										OBJ_CASE_INSENSITIVE,
										NULL, 
										FILE_ALL_ACCESS, 
										*IoDriverObjectType, 
										KernelMode, 
										NULL, 
										(PVOID *)&g_pKdbDriverObj
										);

IoDriverObjectType前面有个号否则失败!声明的时候前面也带*号.