1

我们知道用户模式应用程序可以通过调用 DeviceIoControl() API 将 IOCTL 代码和数据缓冲区传递给内核设备驱动程序。

BOOL WINAPI DeviceIoControl(
  _In_         HANDLE hDevice,
  _In_         DWORD dwIoControlCode, <--Control Code
  _In_opt_     LPVOID lpInBuffer,  <- Input buffer pointer
  _In_         DWORD nInBufferSize, <- Input buffer size
  _Out_opt_    LPVOID lpOutBuffer,
  _In_         DWORD nOutBufferSize,
  _Out_opt_    LPDWORD lpBytesReturned,
  _Inout_opt_  LPOVERLAPPED lpOverlapped
);

我有一种情况，用户模式应用程序有时将 IOCTL 缓冲区传递给内核驱动程序，这会一次又一次地导致 BSOD。每次我为 BSOD 获取内核内存转储时。

所以我的问题是，是否可以从内核内存转储中找到导致 BSOD 的确切格式错误的输入缓冲区和 IOCTL 代码，以便我可以使用简单的 C prog 重现 BSOD。

正如您可以从堆栈跟踪中找到的那样，它在调用 ntDeviceIoContrilFile 之后就崩溃了。

kd> kb
ChildEBP RetAddr  Args to Child              
b8048798 805246fb 00000050 ffff0000 00000001 nt!KeBugCheckEx+0x1b
b80487e4 804e1ff1 00000001 ffff0000 00000000 nt!MmAccessFault+0x6f5
b80487e4 804ed0db 00000001 ffff0000 00000000 nt!KiTrap0E+0xcc
b80488b4 804ed15a 88e23a38 b8048900 b80488f4 nt!IopCompleteRequest+0x92
b8048904 806f2c0a 00000000 00000000 b804891c nt!KiDeliverApc+0xb3
b8048904 806ed0b3 00000000 00000000 b804891c hal!HalpApcInterrupt2ndEntry+0x31
b8048990 804e59ec 88e23a38 88e239f8 00000000 hal!KfLowerIrql+0x43
b80489b0 804ed174 88e23a38 896864c8 00000000 nt!KeInsertQueueApc+0x4b
b80489e4 f7432123 8960e9d8 8980b300 00000000 nt!IopfCompleteRequest+0x1d8
WARNING: Stack unwind information not available. Following frames may be wrong.
b80489f8 804e3d77 0000001c 0000001c 806ed070 NinjaDriver+0x1123
b8048a08 8056a9ab 88e23a8c 896864c8 88e239f8 nt!IopfCallDriver+0x31
b8048a1c 8057d9f7 89817030 88e239f8 896864c8 nt!IopSynchronousServiceTail+0x60
b8048ac4 8057fbfa 00000090 00000000 00000000 nt!IopXxxControlFile+0x611
b8048af8 b6e6a06f 00000090 00000000 00000000 nt!NtDeviceIoControlFile+0x2a
b8048b8c b6e6a5c3 00000001 00000090 00000000 Ninja+0x506f
b8048c80 b6e6ab9b 00000001 88da9898 00000090 Ninja+0x55c3
b8048d34 804df06b 00000090 00000000 00000000 Ninja+0x5b9b
b8048d34 7c90ebab 00000090 00000000 00000000 nt!KiFastCallEntry+0xf8
00f8fd7c 00000000 00000000 00000000 00000000 0x7c90ebab

提前致谢，

4

1 回答 1

2

您需要 nt!NtDeviceIoControlFile 的函数签名。使用该信息从 nt!NtDeviceIoControlFile 的返回地址向后反汇编ub b6e6a06f。这将向您展示 Ninja 如何为其调用 nt!NtDeviceIoControlFile 设置参数。找到对应于 ioctl 代码和缓冲区的 args，然后转储它们的内容。

请注意，寄存器将被重用，因此您可能需要在反汇编中进一步挖掘以从非易失性寄存器中获取正确的值，这些值将在函数调用之前保存在堆栈中。

在 windbg 帮助文件 (debugger.chm) 中有一个非常有用的页面，标题为“x86 Architecture”。在这种情况下，您可能需要阅读标题为“寄存器”和“调用约定”的部分。

于 2014-03-07T14:14:54.973 回答