Kernel Handle

    上周把写的驱动挂上driver verifier之后发现驱动会挂掉。!analyze -v 提示说使用了User Mode的Handle。后来仔细查看代码，原来在驱动中我需要打开system进程，调用ZwOpenProcess的时候需要指定OBJECT_ATTRIBUTES，而这个attributes是需要指定为OBJ_KERNEL_HANDLE才表明这个Handle是Kernel Handle,否则就是user Handle。driver verifier挂上之后对这些会检查严格，所以造成了crash。再观网上的代码，很多都没有注意到这点。

    以下内容是从微软一次会议的ppt里摘抄的，可以说明一些问题。

Kernel Handle ---- 在System process（PID 4）中的handle

      由System worker 线程创建

      由其他线程创建，使用了OBJ_KERNEL_HANDLE标志

应用程序可以关闭，再打开，引用user handles（不是kernel handles)——甚至user handle由内核驱动创建

如果内核驱动需要引用一个user handle，必须要指明为UserMode,并且DesiredAccess参数要恰当

如果应用程序创建handle,指定为UserMode

如果驱动创建handle,并且需要跟应用程序共享，创建user handle, 指定为UserMode

如果驱动创建handle,不需要跟应用程序共享，创建kernel handle, 指定为kernelMode

尽可能使用对象指针