Windows过滤驱动 以及简单例子

Windows 过滤驱动是一种特殊类型的驱动程序，它可以拦截发送到另一个驱动程序或设备的 I/O 请求，修改或增强这些请求的行为。过滤驱动可以用于多种目的，如安全、监控、数据转换等。以下是对 Windows 过滤驱动的详细解释，并附带一个简单的键盘过滤驱动示例。

1. 过滤驱动的基本概念：

   - 过滤驱动位于设备栈中，可以是上层过滤驱动或下层过滤驱动。
   - 它们可以检查、修改或拒绝 I/O 请求。
   - 过滤驱动通常用于增加功能或修改现有驱动的行为，而无需修改原始驱动。

2. 过滤驱动的主要功能：

   - 拦截 I/O 请求包（IRP）
   - 修改或增强 I/O 操作
   - 添加新的设备控制代码（IOCTL）
   - 监控设备活动
   - 实现安全策略

3. 过滤驱动的类型：

   - 文件系统过滤驱动
   - 设备过滤驱动
   - 类过滤驱动

4. 键盘过滤驱动示例：

以下是一个简化的键盘过滤驱动示例，它会将所有输入的小写字母转换为大写字母：

```c
#include <ntddk.h>
#include <kbdmou.h>

DRIVER_INITIALIZE DriverEntry;
NTSTATUS CompleteRequest(PIRP Irp, NTSTATUS status, ULONG_PTR information);
NTSTATUS KeyboardReadComplete(PDEVICE_OBJECT DeviceObject, PIRP Irp, PVOID Context);

// 驱动对象
PDEVICE_OBJECT g_pFilterDeviceObject = NULL;
// 下层设备对象
PDEVICE_OBJECT g_pTargetDeviceObject = NULL;

// 驱动入口函数
NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath)
{
    NTSTATUS status;
    UNICODE_STRING deviceName;
    PDEVICE_OBJECT deviceObject = NULL;

    // 设置分发函数
    DriverObject->MajorFunction[IRP_MJ_READ] = FilterDispatchRead;
    DriverObject->DriverUnload = FilterUnload;

    // 创建过滤设备
    RtlInitUnicodeString(&deviceName, L"\\Device\\KeyboardFilter");
    status = IoCreateDevice(DriverObject, 0, &deviceName, FILE_DEVICE_KEYBOARD, 0, FALSE, &deviceObject);

    if (!NT_SUCCESS(status))
    {
        return status;
    }

    // 获取键盘类驱动设备对象
    UNICODE_STRING keyboardName;
    RtlInitUnicodeString(&keyboardName, L"\\Device\\KeyboardClass0");
    status = IoAttachDevice(deviceObject, &keyboardName, &g_pTargetDeviceObject);

    if (!NT_SUCCESS(status))
    {
        IoDeleteDevice(deviceObject);
        return status;
    }

    g_pFilterDeviceObject = deviceObject;

    return STATUS_SUCCESS;
}

// 读取分发函数
NTSTATUS FilterDispatchRead(PDEVICE_OBJECT DeviceObject, PIRP Irp)
{
    PIO_STACK_LOCATION irpStack = IoGetCurrentIrpStackLocation(Irp);

    // 设置完成例程
    IoSetCompletionRoutine(Irp, KeyboardReadComplete, NULL, TRUE, TRUE, TRUE);

    // 将 IRP 传递给下层驱动
    return IoCallDriver(g_pTargetDeviceObject, Irp);
}

// 读取完成例程
NTSTATUS KeyboardReadComplete(PDEVICE_OBJECT DeviceObject, PIRP Irp, PVOID Context)
{
    if (NT_SUCCESS(Irp->IoStatus.Status))
    {
        PKEYBOARD_INPUT_DATA kiData = (PKEYBOARD_INPUT_DATA)Irp->AssociatedIrp.SystemBuffer;
        ULONG numKeys = (ULONG)(Irp->IoStatus.Information / sizeof(KEYBOARD_INPUT_DATA));

        for (ULONG i = 0; i < numKeys; i++)
        {
            // 将小写字母转换为大写
            if (kiData[i].MakeCode >= 0x10 && kiData[i].MakeCode <= 0x19)  // a-j
            {
                kiData[i].MakeCode -= 0x20;
            }
            else if (kiData[i].MakeCode >= 0x1E && kiData[i].MakeCode <= 0x26)  // k-s
            {
                kiData[i].MakeCode -= 0x20;
            }
            else if (kiData[i].MakeCode >= 0x2C && kiData[i].MakeCode <= 0x32)  // t-z
            {
                kiData[i].MakeCode -= 0x20;
            }
        }
    }

    // 如果我们是最后一个完成例程，就完成 IRP
    if (Irp->PendingReturned)
    {
        IoMarkIrpPending(Irp);
    }

    return Irp->IoStatus.Status;
}

// 驱动卸载函数
VOID FilterUnload(PDRIVER_OBJECT DriverObject)
{
    // 分离并删除过滤设备
    if (g_pFilterDeviceObject)
    {
        IoDetachDevice(g_pTargetDeviceObject);
        IoDeleteDevice(g_pFilterDeviceObject);
    }
}
```

这个示例展示了键盘过滤驱动的基本结构：

1. `DriverEntry` 函数创建过滤设备并附加到键盘设备栈。
2. `FilterDispatchRead` 函数拦截读取请求，并设置完成例程。
3. `KeyboardReadComplete` 函数在键盘数据被读取后被调用，它将小写字母的扫描码转换为大写字母的扫描码。
4. `FilterUnload` 函数在驱动卸载时清理资源。

注意事项：

- 这只是一个简化的示例，实际的驱动程序需要更多的错误处理和资源管理。
- 在实际应用中，您可能需要处理更多的 IRP 类型和设备 I/O 控制代码。
- 过滤驱动需要仔细设计，以避免影响系统性能或稳定性。
- 在 Windows 中开发和部署内核模式驱动需要签名和认证，这对于生产环境是必要的。

这个例子展示了过滤驱动的基本概念和结构。在实际应用中，过滤驱动可以用于更复杂的任务，如监控、安全增强、虚拟化等。