寒江独钓：键盘的过滤学习笔记

最新推荐文章于 2023-10-24 09:15:43 发布

清，纯一色

最新推荐文章于 2023-10-24 09:15:43 发布

阅读量164

点赞数

原文链接：http://www.cnblogs.com/tina0day/p/3702391.html

版权

先来名词热身：

一、符号链接：其实就是一个别名。可以用一个不同的名字来代表一个设备对象

二、PDO：是物理设备对象，可以理解为是设备栈最下面的那个设备对象。

函数介绍：

内核中：ZwCreateFile是很重要的函数，不但可以打开文件，还可以打开设备对象。在应用程序中跟它对应的是CreateFile函数..

接下来是记录Windows如何获得按键，然后传递给各个应用程序。

csrss这个进程里有个线程叫win32k!RawInputThread，这个线程总是调用nt!ZwReadFile来读入数据，等待键盘按下。的那个被按下，这个线程就好处理得到的数据，在继续要求读入数据并等待按键。

过程：

① 用传入参数符号链接名赋值OBJECT_attributes +0x8处的PUNICODE_STRING ObjectName。win32k!RawInputThread执行到函数win32k!OpenDevice，它的一个参数可找到键盘设备栈的PDO的符号链接名。win32k!OpenDevice有一个OBJECT_ATTRIBUTES结构的局部变量，它自己初始化这个局部变量，用传入参数符号链接名赋值OBJECT_attributes +0x8处的PUNICODE_STRING ObjectName。

②调用ZwCreateFile返回句柄。win32k!RawInputThread把得到的句柄保存起来，供后面的ReadFile、DeviceIoControl等使用。

③win32k!RawInputThread调用ZwReadFile读取数据。

转载于:https://www.cnblogs.com/tina0day/p/3702391.html