0

我的操作系统是Win7 64位。我试图通过 DeviceIoControl 将变量的值,而不是它的地址(进程 ID,DWORD)传递给我的驱动程序。试了好几次,都是蓝屏或者998的错误码。

在用户模式方面,我确保 hDevice 有效,CTL_CODE 如下所示:

#define SENDPID CTL_CODE(FILE_DEVICE_UNKNOWN, 0x808, METHOD_BUFFERED, FILE_READ_DATA | FILE_WRITE_DATA)

然后我这样做:

DWORD pID = FindProcessName("someprocess.exe");
if (!pID) return false;
if (!DeviceIoControl(hDevice, SENDPID, &pID, sizeof(pID), NULL, 0, &BytesIO, 0))
{
    cout << GetLastError() << endl;
    return false;
}

在内核模式(DriverEntry)上:

NTSTATUS DriverEntry(PDRIVER_OBJECT Object, PUNICODE_STRING RegistryPath)
{
UNICODE_STRING dNUS = { 0 };
RtlInitUnicodeString(&dNUS, L"\\Device\\testdriver");

UNICODE_STRING dSLU = { 0 };
RtlInitUnicodeString(&dSLU, L"\\DosDevices\\testdriver");

IoCreateDevice(Object, 0, &dNUS, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &deviceObj);
IoCreateSymbolicLink(&dSLU, &dNUS);

Object->MajorFunction[IRP_MJ_CREATE] = CCreate;
Object->MajorFunction[IRP_MJ_CLOSE] = CClose;
Object->MajorFunction[IRP_MJ_DEVICE_CONTROL] = IOCTL;
Object->DriverUnload = Unload;

return(STATUS_SUCCESS);
}

和我的 IOCTL 函数:

NTSTATUS IOCTL(PDEVICE_OBJECT Object, PIRP IRP)
{
PIO_STACK_LOCATION StackLocation = IoGetCurrentIrpStackLocation(IRP);
size_t size = 0;
DWORD pID = 0;

if (StackLocation->Parameters.DeviceIoControl.IoControlCode == SENDPID)
{
    pID = IRP->AssociatedIrp.SystemBuffer;
    size = sizeof(pID);
}

IRP->IoStatus.Status = STATUS_SUCCESS;
IRP->IoStatus.Information = size;
IofCompleteRequest(IRP, IO_NO_INCREMENT);
return(STATUS_SUCCESS);
}

如果有人能告诉我要改变什么,请告诉我:)

4

1 回答 1

1

在应用程序方面,为什么FindProcessName()返回DWORD*指针而不是DWORD值?或者,它是否真的返回一个DWORD值,而您只是错误地将其类型转换为DWORD*指针?

通过定义pIDDWORD*指针,sizeof(pID)传递给的值是错误的DeviceIoControl()。它传递的是指针本身的大小(32 位为 4,64 位为 8),而不是DWORD指向的值的大小(sizeof(DWORD)始终为 4)。

如果pID是指向内存中 a 的真实指针DWORD,则需要使用sizeof(*pID)而不是sizeof(pID). 但是如果FindProcessName()返回 0 呢?然后你最终会传递一个 NULL 指针到DeviceIoControl(),即使你告诉DeviceIoControl()它你传递了 4 个字节。

您应该更改FindProcessName()为返回一个DWORD值(如果还没有)而不是DWORD*指针,然后使用&运算符将​​其地址传递DWORDDeviceIoControl(),例如:

DWORD pID = FindProcessName("DayZ.exe");
if (!DeviceIoControl(hDevice, SENDPID, &pID, sizeof(pID), NULL, 0, &BytesIO, 0))

然后在内核方面,只需对 进行类型SystemBuffer转换即可访问该值(当然,在验证SystemBuffer包含至少 4 个字节之后):

NTSTATUS IOCTL(PDEVICE_OBJECT Object, PIRP IRP)
{
    PIO_STACK_LOCATION StackLocation = IoGetCurrentIrpStackLocation(IRP);
    size_t size = 0;
    DWORD pID = 0;

    if ((StackLocation->Parameters.DeviceIoControl.IoControlCode == SENDPID) &&
        (StackLocation->Parameters.DeviceIoControl.InputBufferLength >= sizeof(pID)))
    {
        pID = *(DWORD*)(IRP->AssociatedIrp.SystemBuffer);
        size = sizeof(pID);
    }

    IRP->IoStatus.Status = STATUS_SUCCESS;
    IRP->IoStatus.Information = size;
    IofCompleteRequest(IRP, IO_NO_INCREMENT);

    return STATUS_SUCCESS;
}
于 2017-05-09T20:54:06.693 回答