本文详细介绍了如何使用ObReferenceObjectByName函数在Windows驱动开发中获取驱动对象、设备对象，并提供了示例代码。通过调试，作者发现根据驱动名称可以获取PDRIVER_OBJECT，但设备名称和符号链接名称的效果不同。最后提醒，在不再使用获取的对象时，要调用ObDereferenceObject关闭引用。
一、由于ObReferenceObjectByName没有文档化，故在使用前先做声明：
#ifdef __cplusplus
extern "C"
{
#endif
#include <NTDDK.h>
NTKERNELAPI
NTSTATUS
ObReferenceObjectByName(
IN PUNICODE_STRING ObjectName,
IN ULONG Attributes,
IN PACCESS_STATE PassedAccessState OPTIONAL,
IN ACCESS_MASK DesiredAccess OPTIONAL,
IN POBJECT_TYPE ObjectType,
IN KPROCESSOR_MODE AccessMode,
IN OUT PVOID ParseContext OPTIONAL,
OUT PVOID *Object
);
extern POBJECT_TYPE IoDeviceObjectType;
#ifdef __cplusplus
}
#endif
二、使用
调试ObReferenceObjectByName发现，
(1)可以根据驱动名称可以得到PDRIVER_OBJECT，进而得到该驱动的PDEVICE_OBJECT。
(2)根据设备名称取到PDEVICE_OJBECT为0。
(3)根据符号链接名称取到PDEVICE_OJBECT的地址并不是设备对象地址。
调试代码如下：
UNICODE_STRING DeviceName;
// RtlI
最低0.47元/天 解锁文章
6423
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
