《天书夜读:从汇编语言到windows内核编程》七 内核字符串与内存
1)驱动中的字符串使用如下结构:
typedef struct _UNICODE_STRING{ USHORT Length; //字符串的长度(字节数) USHORT MaximumLength; //字符串缓冲区长度(字节数) PWSTR Buffer; //字符串缓冲区 }UNICODE_STRING,*PUNICODE_STRING;
这个为UNICODE字符串,一个字符占用双字节。对应的有Ansi字符串:
typedef struct _STRING{ USHORT Length; //字符串的长度(字节数) USHORT MaximumLength; //字符串缓冲区长度(字节数) PSTR Buffer; //字符串缓冲区 }ANSI_STRING,*PANSI_STRING;
内核程序是Unicode编码的,窄字符只在十分罕见的特殊场合使用。UNICODE_STRING不是空结束的,初始化和拷贝要使用指定的函数处理。
2)字符串初始化:UNICODE_STRING中的Buffer只是一个未分配内存的指针。定义常量字符串使用ntdef.h中的一个宏如下:
#include <ntdef.h> UNICODE_STRING str; RtlInitUnicodeString(&str,L”my first string!”);
这种方式初始化字符串并不分配内存,不用当心内存释放问题。
3)拷贝字符串:使用RtlCopyUnicodeString进行拷贝,但是目的串必须有足够的缓冲区,否则只能部分拷贝。如:
UNICODE_STRING dst; //目的字符串 WCHAR dst_buf[]; //定义缓冲区 UNICODE_STRING src = RTL_CONSTANT_STRING(L”My source string!”); //把目的字符串初始化为拥有缓冲区长度为256的UNICODE_STRING空串,如果不这样初始化,则dst默认长度为0 RtlInitEmptyString(dst,dst_buf,*sizeof(WCHAR)); RtlCopyUnicodeString(&dst,&src); //字符串拷贝
4)链接字符串:RtlAppendUnicodeToString(UNICODE_STRING连接宽字节字符串)或者RtlAppendUnicodeStringToString(UNICODE_STRING连接UNICODE_STRING),如:
NTSTATUS status = RtlAppendUnicodeToString(&dst,L”my second string!”); if ( status != STATUS_SUCCESS ) { //链接失败 }
NTSTATUS是常见返回值,STATUS_SUCCESS代表返回成功;否则返回一个错误码,这个连接函数在目标字符串空间不足时依然可以连接,只不过返回一个警告STATUS_BUFFER_TOO_SMALL。
5)字符串格式化输出:使用RtlStringCbPrintfW(头文件ntstrsafe.h,库文件ntstrsafe.lib)
#include <ntstrsafe.h> WCHAR dst_buf[] = {};//任何时候都动态分配内存,这里还没讲,暂时用固定长度的缓冲区 UNICODE_STRING des; RtlInitEmptyString(dst,dst_buf,*sizeof(WCHAR)); NTSTATUS status = RtlStringCbPrintfW( dst->Buffer,*sizeof(WCHAR),L”file path = %wZ file size = %d\r\n”,&file_path,file_size); dst->Length = wcslen(dst->Buffer)*sizeof(WCHAR);// RtlStringCbPrintfW以空结束,所以这里可以使用wcslen
这个函数在目标缓冲区不足时返回STATUS_BUFFER_OVERFLOW,不能确定缓冲区要多长时,一般采用倍增尝试,直到返回STATUS_SUCCESS为止。
UNICODE_STRING类型的指针,用%wZ可以格式化,但是在不能保证字符串以空结束时,必须避免使用%ws或者%s。其它的格式化形式同C语言。
使用KdPrint输出格式化的调试信息时要使用下面的形式:
KdPrint((L”file path = %wZ file size = %d\r\n”,&file_path,file_size));
6)内存分配和释放:ExAllocatePoolWithTag(分配)、ExFreePool(释放)
//定义一个内存分配标记 #define MEM_TAG ‘MyTt’ //目标字符串 UNICODE_STRING dst = {}; //根据源字符串长度分配空间给目标字符串 dst.Buffer = (PWCHAR)ExAllocatePoolWithTag(NopagedPool,src->Length,MEM_TAG); if(dst.Buffer == NULL) { //分配失败 status = STATUS_INSUFFICIENT_RESOURCE; …… } dst.Length = dst.MaximumLength = src->Length; status = RtlCopyUnicodeString(&dst,&src); ASSERT(status == STATUS_SUCCESS)
ExAllocatePoolWithTag的第一个参数NopagedPool,src指定锁定在物理内存(不被置换到硬盘),第二个参数是要分配的内存的长度,第三个参数是所谓的“内存分配标记”---用于检测内存泄漏。分配的内存如果不释放,则永远泄漏,除非重启(卸载驱动也没用),释放内存如下:
ExFreePool(dst.Buffer); dst.Buffer = NULL; dst.Length = dst.MaximumLength = ;
ExFreePool不能释放栈空间(临时变量),否则系统立即崩溃,导致蓝屏
7)LIST_ENTRY:一个双向循环链表结构,由内核开发者们开发,内核开发经常使用这个结果。比如说要使用到这样一个结构:
typedef struct{ PFILE_OBJECT file_object; UNICODE_STRING file_name; LARGE_INTEGER file_length; }MY_FILE_INFO,*PMY_FILE_INFO;
使用LIST_ENTRY可以如下构造该结构:
typedef struct{ LIST_ENTRY list_entry; PFILE_OBJECT file_object; UNICODE_STRING file_name; LARGE_INTEGER file_length; }MY_FILE_INFO,*PMY_FILE_INFO;
即使用LIST_ENTRY作为链表头,使用流程:
LIST_ENTRY my_list_head;//我们的链表头 InitializeListHead(&my_list_head);//链表头初始化 //以下为插入操作 PMY_FILE_INFO my_file_info = (PMY_FILE_INFO)ExAllocatePoolWithTag(PagedPool,sizeof(MY_FILE_INFO),MEM_TAG);//新建一个节点 if (my_file_info == NULL) return STATUS_INSUFFICIENT_RESOURES;//内存分配失败 my_file_info->file_object = file_object; my_file_info->file_name = file_name; my_file_info->file_length = file_length;//赋值,填写数据成员 InsertHeadList(&my_list_head,(PLIST_ENTRY)&my_file_info);//执行插入 //以下为遍历操作 for ( p = my_list_info.Flink ; p != &my_list_head.Flink ; p = p->Flink) { PMY_FILE_INFO elem = CONTAINING_RECORD(p , MY_FILE_INFO, list_entry) } /*其中,CONTAINING_RECORD宏是通过LIST_ENTRY结构的指针,找个指定节点目标结构的指针,该宏被定义为: #define CONTAINING_RECORD(address,type,field) (\ (type*)((PCHAR)(adress)-(ULONG_PTR)(&((type*)0)->field))) */
8)LARGE_INTEGER:长长整型数据,这是一个共用体:
typedef union _LARGE_INTEGER{ struct { ULONG LowPart; LONG HighPart; }; struct { ULONG LowPart; LONG HighPart; }u; LONGLONG QuadPart; }
它可以方便的得到高32位和低32位,一把用QuadPart即可。实际使用时大部分是PLARGE_INTEGER类型。
9)自旋锁:目的是为了实现多线程同步。使用自旋锁如下:
KSPIN_LOCK my_spin_lock; KeInitializeSpinLock(&my_spin_lock);//初始化 KIRQL irql;//中断级 KeAcquireSpinLock(&my_spin_lock,&irql);//进入区 //to do something…//临界区 KeReleaseSplinLock(&my_spin_lock,irql);//退出区
锁要被所有进程共享,所以必须定义为全局变量、静态变量、或者分配在堆中。LIST_ENTRY提供一系列对加锁时的操作,只需要为每个链表定义并且初始化一个锁,然后使用对应提供的函数即可:
LIST_ENTER my_list_head;//链表头 KSPIN_LOCK my_list_lock;//链表锁 InitializeListHead(&my_list_head);//链表头初始化 KeInitializeSpinLock(&my_list_head);//链表锁初始化 //加锁时的插入操作 ExInsertlockedInsertHeadList(&my_list_head,(PLIST_ENTRY)&my_file_info,&my_list_lock); //加锁时的移除操作 my_file_info = ExInsertlockedRemoveHeadList(&my_list_head,&my_list_lock);
《天书夜读:从汇编语言到windows内核编程》七 内核字符串与内存的更多相关文章
- 《天书夜读:从汇编语言到windows内核编程》五 WDM驱动开发环境搭建
(原书)所有内核空间共享,DriverEntery是内核程序入口,在内核程序被加载时,这个函数被调用,加载入的进程为system进程,xp下它的pid是4.内核程序的编写有一定的规则: 不能调用win ...
- 《天书夜读:从汇编语言到windows内核编程》八 文件操作与注册表操作
1)Windows运用程序的文件与注册表操作进入R0层之后,都有对应的内核函数实现.在windows内核中,无论打开的是文件.注册表或者设备,都需要使用InitializeObjectAttribut ...
- 《天书夜读:从汇编语言到windows内核编程》十一 用C++编写内核程序
---恢复内容开始--- 1) C++的"高级"特性,是它的优点也是它的缺点,微软对于使用C++写内核程序即不推崇也不排斥,使用C++写驱动需注意: a)New等操作符不能直接使用 ...
- 《天书夜读:从汇编语言到windows内核编程》六 驱动、设备、与请求
1)跳入到基础篇的内核编程第7章,驱动入口函数DriverEnter的返回值决定驱动程序是否加载成功,当打算反汇编阅读驱动内核程序时,可寻找该位置. 2)DRIVER_OBJECT下的派遣函数(分发函 ...
- Win64 驱动内核编程-7.内核里操作进程
在内核里操作进程 在内核里操作进程,相信是很多对 WINDOWS 内核编程感兴趣的朋友第一个学习的知识点.但在这里,我要让大家失望了,在内核里操作进程没什么特别的,就标准方法而言,还是调用那几个和进程 ...
- Win64 驱动内核编程-3.内核里使用内存
内核里使用内存 内存使用,无非就是申请.复制.设置.释放.在 C 语言里,它们对应的函数是:malloc.memcpy.memset.free:在内核编程里,他们分别对应 ExAllocatePool ...
- Windows核心编程第二章,字符串的表示以及宽窄字符的转换
目录 Windows核心编程,字符串的表示以及宽窄字符的转换 1.字符集 1.1.双字节字符集DBCS 1.2 Unicode字符集 1.3 UTF-8编码 1.4 UTF - 32编码. 1.5 U ...
- Win64 驱动内核编程-8.内核里的其他常用
内核里的其他常用 1.遍历链表.内核里有很多数据结构,但它们并不是孤立的,内核使用双向链表把它们像糖 葫芦一样给串了起来.所以遍历双向链表能获得很多重要的内核数据.举个简单的例子,驱 动对象 Driv ...
- 《天书夜读:从汇编语言到windows内核编程》四 windows内核调试环境搭建
1) 基础篇是讲理论的,先跳过去,看不到代码运行的效果要去记代码是一个痛苦的事情.这里先跳入探索篇.其实今天的确也很痛苦,这作者对驱动开发的编译与调试环境介绍得太模糊了,我是各种尝试,对这个环境的搭建 ...
- 《天书夜读:从汇编语言到windows内核编程》十 线程与事件
1)驱动中使用到的线程是系统线程,在system进程中.创建线程API函数:PsCreateSystemThread:结束线程(线程内自行调用)API函数:PsTerminateSystemThrea ...
随机推荐
- FPGA在其他领域的应用(二)
计算机和存储领域: 计算机技术和存储技术发展迅猛.如今,云计算正在实现对传统 IT 功能和全新功能的整合.例如,许多大型数据中心目前正在同时提供传统的 IT 服务以及新型的数据分析服务. 因此,这些大 ...
- C# readonly
当某个字段是引用类型,并且该字段被标记为readonly时,不可改变的是引用,而非字段引用的对象,例如:
- python 发送邮件,未完
def send_mail(): try: print "send mail..." # handle = smtplib.SMTP('smtp.163.com', 25) # h ...
- PE格式第四讲,数据目录表之导入表,以及IAT表
PE格式第四讲,数据目录表之导入表,以及IAT表 一丶IAT(地址表) 首先我们思考一个问题,程序加载的时候会调用API,比如我们以前写的标准PE 那么他到底是怎么去调用的? 他会Call 下边的Jm ...
- zoj 2022
分析: 组合数学类型的题目. 正常的话可能会去分解1~N数里面有几个5和2,但是这样的复杂度为O(nlogn). 其实有更巧妙的办法,可以把问题分解成子问题. 可以发现N!末尾的0与1~N中有几个5的 ...
- 动态IP解析
本文介绍两种方便获取主机动态IP的方式(DDNS,IP报告网页),并给出相应的代码实现. shell脚本获取本机IP,执行上传操作和更新DNS操作.定期执行通过crontab或者systemd等服务. ...
- Access-Control-Allow-Origin与Ajax跨域
问题 在某域名下使用Ajax向另一个域名下的页面请求数据,会遇到跨域问题.另一个域名必须在response中添加 Access-Control-Allow-Origin 的header,才能让前者成功 ...
- c#使用GDI+简单绘图
private void button2_Click(object sender, EventArgs e) { Bitmap image = new Bitmap(200, 200); Graphi ...
- hs_err_pid
hs_err_pid这种文件,是JVM出现错误时dump下来的.记录了错误发生当时: 1)JVM的状态参数 2)Linux的状态参数 就以下面的文件为例: # # There is insuffici ...
- [ZJOI2005]九数码游戏
[ZJOI2005]九数码游戏 题目描述 输入输出格式 输入格式: 输入文件中包含三行三列九个数,同行的相邻两数用空格隔开,表示初始状态每个方格上的数字.初始状态不会是目标状态. 输出格式: 如果目标 ...