windows内核Api的学习

最新推荐文章于 2022-10-19 20:51:18 发布
最新推荐文章于 2022-10-19 20:51:18 发布
阅读量249 收藏 2
点赞数
文章标签： 操作系统 c/c++

windows内核api就是ntoskrnl.exe导出的函数。我们能够跟调用应用层的api一样，调用内核api。

只是内核api须要注意的是。假设函数导出了。而且函数文档化（也就是能够直接在msdn上搜索到）。ExFreePool函数导出。而且文档化，那么我们能够直接调用。导出了未文档化，那么我们就要声明。什么叫文档化和未文档化呢？大家来看一个函数：

UCHAR *PsGetProcessImageFileName(IN PEPROCESS Process);

 

文档化：就是如果函数导出了，而且在msdn上能够搜索到。

就是文档化我们调用文档化的函数就是直接调用。

未文档化：就是如果函数已经导出了。可是在msdn上没有搜到。就是未文档化函数我们要调用它，就得自己手动声明。

 

内核编程就跟应用层一样，都是api的调用。都是Hook，都是反Hook，一样的编程思维。它们本质的差别仅仅是在于一个先后顺序。比方看图-什么叫本质的差别:顺序掉

从ring3到SSDT层主体实现函数的调用顺序：

OpenProcesss-->ntdll!ZwOpenProcess-->ntos!ZwOpenProcess-->ntos!NtOpenProcess-->后面。假设你以内核层和应用的角度去理解，那么就是openprocess一直调用到NtOpenProcess还有后面。

 

演示样例代码：

KernelApiCode.c

#include <ntifs.h>
#include <ntimage.h>

//调用功能号
#define SystemModuleInformation 11
#define SystemProcessesAndThreadsInformation 5


// 系统进程信息结构体
typedef struct _SYSTEM_PROCESSES
{
	ULONG NextEntryDelta;
	ULONG ThreadCount;
	ULONG Reserved[6];
	LARGE_INTEGER CreateTime;
	LARGE_INTEGER UserTime;
	LARGE_INTEGER KernelTime;
	UNICODE_STRING ProcessName;        //进程的名称
	KPRIORITY BasePriority; 
	ULONG ProcessId;                   //进程的PID
	ULONG InheritedFromProcessId;
	ULONG HandleCount;
	ULONG Reserved2[2];
	VM_COUNTERS VmCounters;
	IO_COUNTERS IoCounters;
} _SYSTEM_PROCESSES, *PSYSTEM_PROCESSES;

// 系统模块信息结构体节点
typedef struct _SYSTEM_MODULE_INFORMATION  
{
	ULONG  Reserved[2];  
	ULONG  Base;            //模块的基址
	ULONG  Size;            //模块的大小    
	ULONG  Flags;        
	USHORT Index;       
	USHORT Unknown;     
	USHORT LoadCount;   
	USHORT ModuleNameOffset;
	CHAR   ImageName[256];  //模块的名称
} SYSTEM_MODULE_INFORMATION, *PSYSTEM_MODULE_INFORMATION;

//模块链结构
typedef struct _tagSysModuleList
{
	ULONG ulCount;
	SYSTEM_MODULE_INFORMATION smi[1];
} MODULES, *PMODULES;

//ZwQuerySystemInformation函数导出了，可是未文档化。所以要手动声明
NTSTATUS __stdcall ZwQuerySystemInformation(
	ULONG_PTR SystemInformationClass,  //调用功能号
	PVOID SystemInformation,           //信息结构体
	ULONG SystemInformationLength,     //信息结构体的字节长度
	PULONG ReturnLength                //返回的实际长度
	);

//在驱动层遍历进程
VOID EnumProcessList()
{
	//声明变量
	NTSTATUS status;
	ULONG NeededSize,i;
	PVOID pBuffer = NULL; //用来指向缓冲区
	PSYSTEM_PROCESSES pInfo = NULL; //指向SYSTEM_PROCESSES的指针

	__try
	{
		//获取存放系统的进程和线程信息的实际字节长度
		status = ZwQuerySystemInformation(
			SystemProcessesAndThreadsInformation,
			NULL,
			0,
			&NeededSize);
		if (status != STATUS_INFO_LENGTH_MISMATCH)
		{
			//长度不匹配 
			DbgPrint("!= STATUS_INFO_LENGTH_MISMATCH");

			return;
		}

		//依据获取的NeededSize申请非分页内存
		pBuffer = ExAllocatePool(NonPagedPool, NeededSize);
		if (pBuffer != NULL)
		{
			DbgPrint("NeededSize:%d\r\n", NeededSize);

			//使用5号功能来获取系统的进程和线程的信息
			status = ZwQuerySystemInformation(
				SystemProcessesAndThreadsInformation, //SystemProcessesAndThreadsInformation = 5 
				pBuffer,
				NeededSize, 
				NULL);
			//假设调用成功
			if (NT_SUCCESS(status)) 
			{
				DbgPrint("ZwQuerySystemInformation() success\r\n");

				//指针类型转换
				pInfo = (PSYSTEM_PROCESSES)pBuffer;

				while (TRUE)
				{
					//PID=0，系统的
					if (pInfo->ProcessId == 0)
					{
						DbgPrint("PID %5d System Idle Process\r\n", pInfo->ProcessId);
					}
					else
					{	//打印进程的PID和进程的名称
						DbgPrint("PID %5d %ws\r\n", pInfo->ProcessId, pInfo->ProcessName.Buffer);//这里是unicode
					}

					//假设没有下一个就结束
					if (pInfo->NextEntryDelta == 0)
					{
						break;
					}

					//遍历下一个
					pInfo = (PSYSTEM_PROCESSES)(((PUCHAR)pInfo) + pInfo->NextEntryDelta);
				}
			}
		}

	}
	//异常的处理 
	__except(EXCEPTION_EXECUTE_HANDLER)
	{
		//输出异常信息code
		DbgPrint("%08x\r\n", GetExceptionCode());
	}

	//释放申请的非分页内存资源
	if (pBuffer != NULL)
	{
		ExFreePool(pBuffer);
		pBuffer = NULL;
	}

}

//驱动层遍历系统模块
VOID GetKernelModuleInfo()
{
	//变量的声明
	NTSTATUS status;
	ULONG NeededSize, i;
	PVOID pBuffer = NULL; //用来指向缓冲区
	PMODULES pModuleList = NULL; //指向MODULES指针

	__try
	{
		//获取存放系统模块信息结构体的缓冲区的大小
		status = ZwQuerySystemInformation(
			SystemModuleInformation, 
			NULL,
			0,
			&NeededSize);
		if (status != STATUS_INFO_LENGTH_MISMATCH)
		{
			DbgPrint("!= STATUS_INFO_LENGTH_MISMATCH");

			return;
		}

		//依据NeededSize的大小，申请非分页内存的大小
		pBuffer = ExAllocatePool(NonPagedPool, NeededSize);
		if (pBuffer)
		{
			//调用功能号11来获取系统的模块的信息
			status=ZwQuerySystemInformation(
				SystemModuleInformation, //SystemModuleInformation = 11
				pBuffer,
				NeededSize,
				NULL);
			if (NT_SUCCESS(status))
			{
				//指针类型转换
				pModuleList = (PMODULES)pBuffer;

				//遍历系统的模块的信息
				for (i = 0; i< pModuleList->ulCount; i++)
				{
					//打印系统模块的基址、模块的大小、模块的名称
					DbgPrint("0x%08X:%d:%s\r\n", pModuleList->smi[i].Base, pModuleList->smi[i].Size, pModuleList->smi[i].ImageName);
				}
			}
		}

	}
	__except(EXCEPTION_EXECUTE_HANDLER)
	{
		//打印异常的代码
		DbgPrint("%08x\r\n", GetExceptionCode());
	}

	//释放申请的非分页内存资源
	if (pBuffer)
	{
		ExFreePool(pBuffer);
		pBuffer = NULL;
	}
		
}

/*
*创建注冊表
*SafeKey注冊表的路径
*Reg_Type注冊表的键值类型
*ValueName注冊表的键值的名称
*Value注冊表的键值的值
*/
BOOLEAN Safe_CreateValueKey(PWCHAR SafeKey, ULONG_PTR Reg_Type, PWCHAR ValueName, PWCHAR Value)
{
	//声明变量
	OBJECT_ATTRIBUTES objectAttributes;
	UNICODE_STRING RegUnicodeString, Unicode_ValueName;
	NTSTATUS ntStatus;
	HANDLE hRegister;
	ULONG_PTR ulValue_DWORD;
	ULONG_PTR ulResult = 0;
	BOOLEAN bRetOK = FALSE;

	//WCHAR字符串转UNICODE_STRING字符串
	RtlInitUnicodeString(&Unicode_ValueName, ValueName); //键值的名称
	RtlInitUnicodeString(&RegUnicodeString, SafeKey); //注冊表的路径

	//初始化objectAttributes
	InitializeObjectAttributes(
		&objectAttributes,
		&RegUnicodeString,   //注冊表的路径
		OBJ_CASE_INSENSITIVE, //对大写和小写敏感 
		NULL, 
		NULL 
		);

	//打开注冊表
	ntStatus = ZwCreateKey(
		&hRegister,     //返回注冊表的句柄
		KEY_ALL_ACCESS, //注冊表的权限
		&objectAttributes,
		0,
		NULL,
		REG_OPTION_NON_VOLATILE,
		&ulResult
		);

	if (NT_SUCCESS(ntStatus))
	{
		bRetOK = TRUE;

		//依据传入參数Reg_Type来实现各种功能
		//调用ZwSetValueKey函数来设置注冊表的
		switch (Reg_Type)
		{
		case REG_SZ:
			{
				ZwSetValueKey(
					hRegister,
					&Unicode_ValueName, //键值的名称
					0,
					Reg_Type,          //键值的类型
					Value,             //键值的值
					wcslen(Value)*2
					);
				DbgPrint("REG_SZ--注冊表创建成功!\n");

				break;
			}
		case REG_EXPAND_SZ:
			{
				ZwSetValueKey(
					hRegister,
					&Unicode_ValueName, //键值的名称
					0,
					Reg_Type,           //键值的类型
					Value,              //键值的值
					wcslen(Value)*2
					);
				DbgPrint("REG_EXPAND_SZ--注冊表创建成功!\n");

				break;
			}
		case REG_DWORD:
			{
				ulValue_DWORD = sizeof(REG_DWORD);
				ZwSetValueKey(
					hRegister,
					&Unicode_ValueName,   //键值的名称
					0,
					Reg_Type,             //键值的类型
					&Value,
					sizeof(ulValue_DWORD) //键值的值
					);
				DbgPrint("REG_DWORD--注冊表创建成功!\n");

				break;
			}
		}

		//关闭句柄
		ZwClose(hRegister);
	}

	return bRetOK;
}

//******************************************************************************************************************************

//驱动卸载例程函数
VOID DriverUnload(IN PDRIVER_OBJECT DriverObject)
{
	DbgPrint("卸载完毕!\n");
}

//驱动入口函数DriverEntry
NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath)
{
	//设置驱动的卸载例程函数
	DriverObject->DriverUnload = DriverUnload;

	//遍历系统的进程
	EnumProcessList();

	//遍历系统的驱动模块
	GetKernelModuleInfo();
	
	//创建注冊表
	Safe_CreateValueKey(L"\\Registry\\Machine\\SYSTEM\\CurrentControlSet\\Services\\", REG_DWORD, L"Start", (PWCHAR)0x3);
	Safe_CreateValueKey(L"\\Registry\\Machine\\SYSTEM\\CurrentControlSet\\Services\\", REG_SZ, L"Start_String", L"Hi~ i am agp");

	return STATUS_SUCCESS;
}


makefile文件：

#
# DO NOT EDIT THIS FILE!!!  Edit .\sources. if you want to add a new source
# file to this component.  This file merely indirects to the real make file
# that is shared by all the driver components of the Windows NT DDK
#

!INCLUDE $(NTMAKEENV)\makefile.def

sources文件 

TARGETNAME=KernelApiCode
TARGETPATH=obj
TARGETTYPE=DRIVER

# Additional defines for the C/C++ preprocessor
C_DEFINES=$(C_DEFINES)

SOURCES=KernelApiCode.c\
        drvversion.rc


整理好的代码和文档的下载地址：http://download.csdn.net/detail/qq1084283172/8862791


參考资料：

AGP讲课资料整理和学习



weixin_34198762
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
精通Windows.API-函数、接口、编程实例.pdf
01-27
仅收录该书籍以供学习和讨论 包含pdf书籍及经过验证的示例 执行demo中的示例方式 在编译环境下进入demo目录，执行nmake命令在bin目录下生成可执行文件 注：demo无注释，对应书本中部分示例。 目录 第1章　Windows...
Windows API学习---线程与内核对象的同步
dinaoju5134的博客
12-23 79
前言 　　若干种内核对象，包括进程，线程和作业。可以将所有这些内核对象用于同步目的。对于线程同步来说，这些内核对象中的每种对象都可以说是处于已通知或未通知的状态之中。这种状态的切换是由Microsoft为每个对象建立的一套规则来决定的。例如，进程内核对象总是在未通知状态中创建的。当进程终止运行时，操作系统自动使该进程的内核对象处于已通知状态。一旦进程内核对象得到通知，它将永远保持这种状...
WINDOWS内核驱动开发（API简介）
weixin_42603425的博客
08-15 857
大部分内核api都是有前缀的，主要的函数以 Io、Ex、Rtl、Ke、Zw、Nt、Ps 开头与NDIS网络驱动开发的相关函数几乎都是以 Ndis 开头与WDF驱动相关的函数都是以 Wdf 开头。
内核操作相关API
Windows内核学习笔记
02-26 737
1、RtlCopyMemory 、RtlCopyBytes、RtlMoveMemory； 2、RtlZeroMemory、RtlFillMemory； 3、RtlEqualMemory； 4、ExAllocatePool、ExFreePool； 5、New(重载）、Delete操作符 一、内存的复制与移动 1、RtlCopyMemory 作用：把一个缓冲区的内容复制到另一一个缓冲区。 VOID RtlCopyMemory( IN VOID UNALIGNED *Destination, IN
什么是Windows API
顺其自然~专栏
11-03 5908
Windows 工作原理的中心思想就是“动态链接”概念。Windows 自身带有一大套函数，应用程序就是通过调用这些函数来实现它的用户界面和在屏幕上显示文本和图形的。这些函数都是在动态链接库里实现的。这些文件的名称都带有后缀 .dll，或有时带有 .exe。 Windows 的 3 个主要子系统：内核(kernel)，用户(user)，GDI。 内核 负责操作系统的传统工作：如 内存管理，文件输入/输出 以及任务管理等。 用户 指的是用户界面，负责所有的窗口管理。 GDI 就是图形设备接口，负责在屏
精通WindowsAPI.pdf
09-22
1.1.2 Windows API......................................................................................................17 1.1.3 程序入口函数...............................................................
windows api程序源代码.rar
04-27
windows api程序源代码.rar windows内核实验教程，对学习操作系统有很好的帮助！
Windows内核驱动API大全.pdf
04-10
Windows内核驱动API大约有两千多个，仅有函数名，没有函数原型
Windows 内核API 函数 说明大全
07-29
Windows 内核API 函数 说明大全，驱动开发可以看。。。。。
windows内核API（windows7）
07-26
windows内核API（windows7）
Windows+NT未公开的内核API秘密
12-28
有志于钻研windows内核的朋友可以参考一下，十分经典。
WinApi操作串口（异步方式）
08-02
WinApi操作串口（异步方式），无法正确接收数据，欢迎大家指点
Linux内核API
xia1984920的专栏
04-03 1601
Linux内核API与用户API是具有本质区别的，因为它们所运行的系统模式不同。进行Linux内核源代码分析与内核API验证，需要具备一定的基础知识，掌握了这些基础知识后，才能在Linux内核源代码分析与内核API验证实例的理解中做到游刃有余。 Linux可以运行在两种模式下：用户模式（user mode）和内核模式（kernel mode）。当我们编写一个普通程序时，有时会包含stdlib.h文件，也就是说我们使用了C标准库，这是典型的用户模式编程，在这种情况下，用户模式的应用程序要链接标准C库。在内核
kernel常用API接口
ask_true的博客
10-08 779
1、__setup函数 //获取uboot bootargs参数
Linux 内核模块API之__module_address
小立仔
10-19 805
Linux 内核模块API之__module_address的使用
windows内核API种类
crystal0011的专栏
10-25 1321
在初学windows驱动时，开始除了要学习驱动的加载、调试等准备工作后，就要学习内核的API了，作为初学者在刚刚看到那些很陌生的函数时可能会感到很迷茫，其实这些都是很正常的，就像我们在刚刚接触编程时那样。  今天我在我第一篇正式的博文中总结一下windows内核API函数大概的分类，以便以后看到这些函数时首先能通过函数的名字判断出这个函数大概是做哪方面的工作。  大部分内核API都会有前缀，例
Windows内核实验004 API调用
鬼手的博客
11-16 641
文章目录完善代码内核API调用修复一个潜在问题复现问题完整代码 前面几次实验我们已经完成了一个三环的程序调用零环API的必要条件。 提升到零环权限 使fs指向KPCR 完善代码 这次我们去掉之前的死循环代码，并且将函数地址写入到IDT表项，在虚拟机中运行一下程序，看看会有什么结果。 这里他抛出了一个内存访问异常。原因在于我们修改了fs寄存器之后，在iretd指令返回三环的时候，系统不会自动...
windows内核原理与实现pdf
最新发布
06-26
在网络通信方面，书中介绍了Windows内核的网络通信机制，包括TCP/IP协议栈、套接字API、网络设备驱动等方面的知识。在设备驱动方面，书中详细介绍了Windows内核的设备管理机制，包括设备驱动模型、设备对象、设备栈...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值