派遣例程与IRP结构

 
 

提到派遣例程,必须理解IRP(I/O Request Package),即"输入/输出请求包"这个重要数据结构的概念。Ring3通过DeviceIoControl等函数向驱动发出I/O请求后,在内核中由操作系统将其转化为IRP的数据结构,并"派遣"到对应驱动的派遣函数中,如图21.1.6所示。

Ring3程序调用kernel32.dll导出的DeviceIoControl函数后,会调用到ntdll.dll导出的NtDeviceIoControlFile函数,进而调用到系统内核模块提供的服务函数NtDeviceIo ControlFile,该函数会将I/O请求转化为IRP包,并发送到对应驱动的派遣例程函数中。对于其他I/O相关函数,如CreateFile、ReadFile、WriteFile、GetFileSize、SetFileSize、CloseHandle等也是如此。

图21.1.6 从Ring3的I/O请求到内核的IRP请求包

一个IRP包该发往驱动的哪个派遣例程函数,是由IRP结构中的MajorFunction属性决定的,MajorFunction属性的值是一系列宏,如下所示。

  1. //
  2. // Define the major function codes for IRPs.
  3. //
  4. #define IRP_MJ_CREATE                   0x00
  5. #define IRP_MJ_CREATE_NAMED_PIPE        0x01
  6. #define IRP_MJ_CLOSE                    0x02
  7. #define IRP_MJ_READ                     0x03
  8. #define IRP_MJ_WRITE                    0x04
  9. #define IRP_MJ_QUERY_INFORMATION        0x05
  10. #define IRP_MJ_SET_INFORMATION          0x06
  11. #define IRP_MJ_QUERY_EA                 0x07
  12. #define IRP_MJ_SET_EA                   0x08
  13. #define IRP_MJ_FLUSH_BUFFERS            0x09
  14. #define IRP_MJ_QUERY_VOLUME_INFORMATION 0x0a
  15. #define IRP_MJ_SET_VOLUME_INFORMATION   0x0b
  16. #define IRP_MJ_DIRECTORY_CONTROL        0x0c
  17. #define IRP_MJ_FILE_SYSTEM_CONTROL      0x0d
  18. #define IRP_MJ_DEVICE_CONTROL           0x0e
  19. #define IRP_MJ_INTERNAL_DEVICE_CONTROL  0x0f
  20. #define IRP_MJ_SHUTDOWN                 0x10
  21. #define IRP_MJ_LOCK_CONTROL             0x11
  22. #define IRP_MJ_CLEANUP                  0x12
  23. #define IRP_MJ_CREATE_MAILSLOT          0x13
  24. #define IRP_MJ_QUERY_SECURITY           0x14
  25. #define IRP_MJ_SET_SECURITY             0x15
  26. #define IRP_MJ_POWER                    0x16
  27. #define IRP_MJ_SYSTEM_CONTROL           0x17
  28. #define IRP_MJ_DEVICE_CHANGE            0x18
  29. #define IRP_MJ_QUERY_QUOTA              0x19
  30. #define IRP_MJ_SET_QUOTA                0x1a
  31. #define IRP_MJ_PNP                      0x1b
  32. #define IRP_MJ_PNP_POWER                IRP_MJ_PNP      // Obsolete....
  33. #define IRP_MJ_MAXIMUM_FUNCTION         0x1b

MajorFunction最多有0x1b(27)个,也就是说驱动中最多可以设置27个不同的派遣例程函数。helloworld.c中为了简单,将所有的派遣例程都设置到了DrvDispatch函数,并且DrvDispatch函数中只做了最简单的处理。

IRP的数据结构非常复杂,如果全部展示出来恐怕需要好几页的篇幅。"授人以鱼不如授人以渔",因此这里重点给出学习IRP数据结构的方法。

对于初学者,在安装了最新版的WDK后,可以通过WDK Help中的"WDK Documentation"文档来学习IRP数据结构,如图2示。

 

(点击查看大图)图21.1.7 通过WDK帮助文档学习内核数据结构IRP

该文档会重点介绍驱动程序中用到的一些IRP成员的含义和使用方法,另外文档末尾还有一段Comments,也是非常有价值的内容。

WDK文档中省略了IRP结构中的某些成员(Undocumented members),如果阅读了文档中IRP的Comments后,就会知道这些Undocumented members之所以被保留,是因为只有I/O manager或FSDs才能使用这些成员。为了更全面地了解IRP的数据结构,更直接的办法是找到WDK中定义IRP的头文件,阅读其中的注释。例如,头文件在这里的路径是D:\WINDDK\7600.16385.0\ inc\ddk\wdm.h,其中对IRP定义如图21.1.8所示。

图21.1.8 通过WDK头文件wdm.h学习内核数据结构IRP

为了灵活地查阅内核数据结构信息,还可以使用一些PDB辅助工具。一般地,内核数据结构大多定义在内核模块中。有了内核模块,还需要得到对应的PDB符号文件,这里推荐使用SymbolTypeViewer免费工具来下载符号文件。该工具使用非常简单(下载链接:http://www.laboskopia.com/download/SymbolTypeViewer_v1.0_beta.zip),如图21.1.9所示。

(点击查看大图)图21.1.9 通过SymbolTypeViewer免费工具下载符号文件

启动SymbolTypeViewer后,单击"File"按钮,选择本机的内核模块文件(例如C:\WINDOWS\system32\ntkrnlpa.exe),然后单击"Symbol Path"按钮,选择要保存符号文件的路径,再单击"Server"按钮,选择默认的微软链接,最后单击"Get Symbols"按钮,就开始下载符号了。点击左侧树形控件中的符号项,右侧的"Info"窗口中就会列出该符号的相关信息,例如这里的D:\WINDOWS\Symbols\ntkrpamp.pdb\140D20ABBC1B433EA7BF82B979B6BF

9D1\ntkrpamp.pdb。

下一步就是浏览下载到的PDB文件,虽然SymbolTypeViewer工具也支持对内部符号的浏览,但是没有链接功能,不太方便。这里推荐使用另一个专门浏览PDB符号信息的免费工具PDB_Explorer(http://blog.titilima.com/wp-content/uploads/attachments/date_200907/pdbexp_v1.10.zip)。

启动PDB Explorer后,单击"打开"按钮,选择前面下载的PDB文件,然后在搜索框中输入"_IRP",在选择列出的第一个匹配项"_IRP",在右侧的内容区就可以看到如图21.1.10所示的符号信息。

可以看到PDB Explorer是支持前进后退的,即展示出的结构体中,如果有类似union或子struct等成员时,还可以"点"进去浏览更多信息。这样浏览的好处是,不至于"一口吃个大胖子",循序渐进地掌握类似IRP这样复杂的内核数据结构。

以上是一些学习内核数据结构的方法,希望这些内容能够起到"授人以渔"的作用,更希望读者能够通过这些方法逐渐理解IRP结构中每个成员的含义和用法。

 

(点击查看大图)图21.1.10  通过PDB Explorer免费工具浏览符号文件

33

转---派遣例程与IRP结构的更多相关文章

  1. 派遣例程与IRP结构

    提到派遣例程,必须理解IRP(I/O Request Package),即"输入/输出请求包"这个重要数据结构的概念.Ring3通过DeviceIoControl等函数向驱动发出I ...

  2. Windows驱动开发-IRP结构体

    IRP的全名是I/O Request Package,即输入输出请求包,它是Windows内核中的一种非常重要的数据结构. 上层应用程序与底层驱动程序通信时,应用程序会发出I/O请求,操作系统将相应的 ...

  3. OD: Ring0 & Kernel

    开发技术讲究封装与模块化,安全技术强调底层安全性.安全技术需要打开封装.追根溯源! <0day 安全:软件漏洞分析技术(第2版)> 第21章 探索 Ring0 笔记 Intel x86 系 ...

  4. 【旧文章搬运】无Device的驱动如何通信

    原文发表于百度空间,2009-07-14========================================================================== 标准的驱动 ...

  5. 派遣函数IRP

    派遣函数是Windows驱动程序中的重要概念.驱动程序的主要功能是负责处理I/O请求,其中大部分I/O请求是在派遣函数中处理的. 用户模式下所有对驱动程序的I/O请求,全部由操作系统转换为一个叫做IR ...

  6. IRP派遣操作

    IRPTrace工具跟踪IRP 派遣函数(Dispathc Funtion)是windows驱动中的重要概念.驱动程序的主要功能是负责处理I/O请求,其中大部分I/O请求是在派遣函数中处理的.用户模式 ...

  7. IRP 与 派遣函数

    什么是派遣函数: 派遣函数是 WIndows 驱动程序中的重要概念.驱动程序的主要功能是负责处理I/O请求,其中大部分I/O请求是在派遣函数中处理的.也就是说,派遣函数是用来处理驱动程序提交过来的 I ...

  8. Windows NT驱动程序的基本结构和实例

    Windows驱动程序分为两类:一类是不支持即插即用功能的NT式驱动程序:另一类是支持即插即用功能的WDM驱动程序. NT式驱动的基本结构: 1)驱动加载过程与驱动入口函数DriverEntry: 驱 ...

  9. IRP IO_STACK_LOCATION 《寒江独钓》内核学习笔记(1)

    在学习内核过滤驱动的过程中,遇到了大量的涉及IRP操作的代码,这里有必要对IRP的数据结构和与之相关的API函数做一下笔记. 1. 相关阅读资料 <深入解析 windows 操作系统(第4版,中 ...

随机推荐

  1. CentOS 系统下Gitlab搭建与基本配置 以及代码备份迁移过程

    GitLab 是一个开源的版本管理系统,提供了类似于 GitHub 的源代码浏览,管理缺陷和注释等功能,你可以将代码免费托管到 GitLab.com,而且不限项目数量和成员数.最吸引人的一点是,可以在 ...

  2. 【nginx】 FastCGI sent in stderr: "Primary script unknown" while reading response header from upstream

    2013/10/22 20:05:49 [error] 12691#0: *6 FastCGI sent in stderr: "Primary script unknown" w ...

  3. CodeForces 109C 树形DP Lucky Tree

    赶脚官方题解写得挺清楚的说,=_= 注意数据范围用long long,否则会溢出. #include <iostream> #include <cstdio> #include ...

  4. c++ dll 创建

    建立一个C++的Win32DLL,这里要注意选择"Export symbols"导出符号.点击完成. 如下图所示:   由于项目的名称是"TestCPPDLL" ...

  5. 【瓜分5000元奖金】Wannafly挑战赛13

    链接:https://www.nowcoder.com/acm/contest/80/A来源:牛客网 zzy的小号 时间限制:C/C++ 1秒,其他语言2秒 空间限制:C/C++ 262144K,其他 ...

  6. P2564 生日礼物

    生日礼物 洛谷链接 题目描述: 在一段彩带上有不同颜色的彩珠,求出包含所有颜色彩珠的最短彩带长度. 思路: 我们可以把按彩珠的位置把所有彩珠排一下序,然后从1开始遍历这些彩珠,并记录出现过的颜色数目, ...

  7. spl_autoload_register和__autoload

    1.实例化一个未定义的类时会触发 2.类存在继承关系时,被继承的类没有引入的情况下,会触发 (继承关系的两个类必须在同一个目录下)  __autoload 实例化PRINTIT类,'PRINTIT'作 ...

  8. 九度oj 题目1365:贝多芬第九交响曲

    现在在一块空的场地上会有一个大的二维棋盘,裁判会给你指定初始位置及一座贝多芬雕像所处的位置,你开始时就站在裁判指定的初始位置处,你的目标是跳到贝多芬雕像的位置.为了给比赛增加一定的难度,你在棋盘上行走 ...

  9. iOS学习笔记27-摄像头

    一.摄像头 在iOS中,手机摄像头的使用有以下两种方法: UIImagePickerController拍照和视频录制 优点:使用方便,功能强大 缺点:高度封装性,无法实现一些自定义工作 AVFoun ...

  10. 【Luogu】P3396哈希冲突(根号算法)

    题目链接 根号算法真的是博大精深啊……明明是暴力但复杂度就是能过 这也太强了吧!!! 预处理出p<=sqrt(n)的所有情况,耗时n根n 查询: 如果p<=根n,O1查表 如果p>= ...