梦织未来Windows驱动编程 第05课 小结(读取另一驱动，遍历所有驱动)

读取另一驱动

驱动通过"\\Driver\\XueTr"获取到了XueTr工具的驱动，并Hook了XueTr驱动的分发函数。

具体的驱动代码如下：

 //FilterDriver.c
 //2016.07.15

 #include "ntddk.h"

 NTKERNELAPI
 NTSTATUS
 ObReferenceObjectByName(
     IN PUNICODE_STRING ObjectName,
     IN ULONG Attributes,
     IN PACCESS_STATE PassedAccessState OPTIONAL,
     IN ACCESS_MASK DesiredAccess OPTIONAL,
     IN POBJECT_TYPE ObjectType,
     IN KPROCESSOR_MODE AccessMode,
     IN OUT PVOID ParseContext OPTIONAL,
     OUT PVOID *Object
     );

 extern POBJECT_TYPE *IoDriverObjectType; 

 //global
 PDRIVER_OBJECT g_FilterDriverObject;
 PDRIVER_DISPATCH gfn_OrigReadCompleteRoutine;

 //我们的驱动分发函数
 NTSTATUS FilterReadCompleteRoutine(
     __in struct _DEVICE_OBJECT *DeviceObject,
      __inout struct _IRP *Irp)
 {
     KdPrint(("IRP_MJ_DEVICE_CONTROL coming."));

     //处理完毕后，要调用原分发例程
     return gfn_OrigReadCompleteRoutine(DeviceObject, Irp);
 }

 //驱动卸载函数
 VOID UnFilterDriverRoutine(__in struct _DRIVER_OBJECT *DriverObject)
 {
     //此内存可读时，恢复
     if (MmIsAddressValid(gfn_OrigReadCompleteRoutine))
     {
         KdPrint(("UnFilterDriverRoutine Success."));

         //卸载时恢复原分发例程
         g_FilterDriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = gfn_OrigReadCompleteRoutine;
     }
 }

 //过滤函数
 NTSTATUS FilterDriverQuery()
 {
     NTSTATUS Status;
     UNICODE_STRING usObjectName;

     RtlInitUnicodeString (&usObjectName, L"\\Driver\\XueTr");

     //根据驱动名称获得驱动对象
     Status = ObReferenceObjectByName (
         &usObjectName,
         OBJ_CASE_INSENSITIVE,    //大小写不敏感
         NULL,
         ,    //访问权限，0是所有权限
         *IoDriverObjectType,
         KernelMode,    //处理器模式
         NULL,
         (PVOID*)&g_FilterDriverObject
         );
     if (!NT_SUCCESS(Status))
     {
         KdPrint(("Filter Failed!"));
         return Status;
     }

     KdPrint(("0x%X", g_FilterDriverObject));    //打印驱动对象地址

     //保存原分发例程，并修改为我们的函数
     gfn_OrigReadCompleteRoutine = g_FilterDriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL];
     g_FilterDriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = (PDRIVER_DISPATCH)FilterReadCompleteRoutine;

     ObDereferenceObject(g_FilterDriverObject);    //清除引用计数

     return STATUS_SUCCESS;
 }

 //驱动程序入口函数
 NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObject, PUNICODE_STRING pRegistryPath)
 {
     pDriverObject->DriverUnload = UnFilterDriverRoutine;
     FilterDriverQuery ();

     return STATUS_SUCCESS;
 }

FilterDriver.c

其中，ObReferenceObjectByName函数能够根据驱动名获取到相应的驱动对象，函数原型如下:

 NTKERNELAPI
 NTSTATUS
 ObReferenceObjectByName(
     IN PUNICODE_STRING ObjectName,
     IN ULONG Attributes,
     IN PACCESS_STATE PassedAccessState OPTIONAL,
     IN ACCESS_MASK DesiredAccess OPTIONAL,
     IN POBJECT_TYPE ObjectType,
     IN KPROCESSOR_MODE AccessMode,
     IN OUT PVOID ParseContext OPTIONAL,
     OUT PVOID *Object
     );

由于ObReferenceObjectByName函数没有文档化，但是被导出了。所以我们需要在代码中对ObReferenceObjectByName函数进行声明。

另外调用ObReferenceObjectByName函数后，要调用ObDereferenceObject来清除对象的引用计数，否则会造成内存泄漏。

根据XueTr获取到XueTr的驱动对象地址是0x84F79858,大小是0x00068000

根据WinObj工具获得XueTr驱动的路径为"\\Driver\\XueTr"

用InstDrv安装并启动驱动FilterDriver.sys后，DbgView输出0x84F79858，此地址与上面用XueTr查看的地址相同。说明获取到的XueTr驱动对象的地址是正确的。

在WinDbg输入以下命令查看XueTr驱动的详细信息：

dt _DRIVER_OBJECT -b 84F79858

WinDbg输出如下：

 lkd> dt_DRIVER_OBJECT -b 84F79858
 nt!_DRIVER_OBJECT
    +0x000 Type             :
    +0x002 Size             :
    +0x004 DeviceObject     : 0x8617b100
    +0x008 Flags            : 0x12
    +0x00c DriverStart      : 0xed5ce000
    +0x010 DriverSize       : 0x68000
    +0x014 DriverSection    : 0x862e2220
    +0x018 DriverExtension  : 0x84f79900
    +0x01c DriverName       : _UNICODE_STRING "\Driver\XueTr"
       +0x000 Length           : 0x1a
       +0x002 MaximumLength    : 0x1a
       +0x004 Buffer           : 0xe1605358  "\Driver\XueTr"
    +0x024 HardwareDatabase : 0x80691b90
    +0x028 FastIoDispatch   : (null)
    +0x02c DriverInit       : 0xed62b03e
    +0x030 DriverStartIo    : (null)
    +0x034 DriverUnload     : 0xed619668
    +0x038 MajorFunction    :
     [] 0xed619792
     [] 0x804fe101
     [] 0xed619792
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0xf7c37000
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101
     [] 0x804fe101 

上面代码中修改的分发函数是IRP_MJ_DEVICE_CONTROL，也就是14号分发例程(0至27)

XueTr驱动的14号分发函数地址为0xf7c37000

由XueTr知道我们的驱动FilterDriver.sys基地址为0xF7C36000,大小为0x00006000。

所以XueTr驱动的14号分发函数地址(0xf7c37000)在我们的驱动内(0xF7C36000~0xF7C36000+0x00006000)

然后当我们在XueTr工具内刷新时，DbgView内输出

IRP_MJ_DEVICE_CONTROL coming.

---

遍历所有驱动

遍历所有驱动需要用到一个结构_LDR_DATA_TABLE_ENTRY，具体的驱动代码如下：

 //EnumDriver.c
 //2016.07.17

 #include <ntddk.h>

 typedef struct _LDR_DATA_TABLE_ENTRY{
     LIST_ENTRY InLoadOrderLinks;            //链表 保存了所有已经读取到内存中的驱动地址
     LIST_ENTRY InMemoryOrderLinks;            //链表 保存了已经安装，但没启动(没执行DriverEntry)的驱动地址
     LIST_ENTRY InInitializationOrderLinks;    //链表 保存了已经安装，同时也启动了(执行了DriverEntry)的驱动地址
     PVOID DllBase;
     PVOID EntryPoint;
     ULONG SizeOfImage;
     UNICODE_STRING FullDllName;
     UNICODE_STRING BaseDllName;
     ULONG Flags;
     USHORT LoadCount;
     USHORT TlsIndex;
     LIST_ENTRY HashLinks;
     PVOID SectionPointer;
     ULONG CheckSum;
     ULONG TimeDateStamp;
     PVOID LoadedImports;
     PVOID EntryPointActivationContext;
     PVOID PatchInformation;
 }LDR_DATA_TABLE_ENTRY, *PLDR_DATA_TABLE_ENTRY;

 VOID MyDriverUnload(PDRIVER_OBJECT pDriverObject)
 {
     //
     KdPrint(("Unload EnumDriver.sys Success."));
 }

 VOID EnumDriver(PDRIVER_OBJECT pDriverObject)
 {
     PLDR_DATA_TABLE_ENTRY pLdrDataTableEntry, pTempLdrDataTableEntry;
     PLIST_ENTRY pList;
     int i = ;

     pLdrDataTableEntry = (PLDR_DATA_TABLE_ENTRY)pDriverObject->DriverSection;
     if (!MmIsAddressValid(pLdrDataTableEntry))
     {
         return;
     }

     pList = &pLdrDataTableEntry->InLoadOrderLinks;

     while (pList != pLdrDataTableEntry->InLoadOrderLinks.Blink)
     {
         //ToDo
         pTempLdrDataTableEntry = (PLDR_DATA_TABLE_ENTRY)pList;
         i++;

         if(MmIsAddressValid(pTempLdrDataTableEntry))
         {
             if (MmIsAddressValid(&pTempLdrDataTableEntry->BaseDllName) && MmIsAddressValid(&pTempLdrDataTableEntry->BaseDllName))
                 KdPrint(("%d:%wZ\t%wZ", i, &pTempLdrDataTableEntry->BaseDllName, &pTempLdrDataTableEntry->FullDllName));
         }

         pList = pList->Flink;
     }
 }

 NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObject, PUNICODE_STRING pRegistryPath)
 {
     pDriverObject->DriverUnload = MyDriverUnload;
     EnumDriver(pDriverObject);

     return STATUS_SUCCESS;
 }

EnumDriver.c

用Windbg在XP虚拟机下查看该结构

lkd> dt_LDR_DATA_TABLE_ENTRY
nt!_LDR_DATA_TABLE_ENTRY
   +0x000 InLoadOrderLinks : _LIST_ENTRY
   +0x008 InMemoryOrderLinks : _LIST_ENTRY
   +0x010 InInitializationOrderLinks : _LIST_ENTRY
   +0x018 DllBase          : Ptr32 Void
   +0x01c EntryPoint       : Ptr32 Void
   +0x020 SizeOfImage      : Uint4B
   +0x024 FullDllName      : _UNICODE_STRING
   +0x02c BaseDllName      : _UNICODE_STRING
   +0x034 Flags            : Uint4B
   +0x038 LoadCount        : Uint2B
   +0x03a TlsIndex         : Uint2B
   +0x03c HashLinks        : _LIST_ENTRY
   +0x03c SectionPointer   : Ptr32 Void
   +0x040 CheckSum         : Uint4B
   +0x044 TimeDateStamp    : Uint4B
   +0x044 LoadedImports    : Ptr32 Void
   +0x048 EntryPointActivationContext : Ptr32 Void
   +0x04c PatchInformation : Ptr32 Void

因为结构_LDR_DATA_TABLE_ENTRY是未导出的，所以要在代码开头定义一下：

 typedef struct _LDR_DATA_TABLE_ENTRY{
     LIST_ENTRY InLoadOrderLinks;              //链表 保存了所有已经读取到内存中的驱动地址
     LIST_ENTRY InMemoryOrderLinks;            //链表 保存了已经安装，但没启动(没执行DriverEntry)的驱动地址
     LIST_ENTRY InInitializationOrderLinks;    //链表 保存了已经安装，同时也启动了(执行了DriverEntry)的驱动地址
     PVOID DllBase;
     PVOID EntryPoint;
     ULONG SizeOfImage;
     UNICODE_STRING FullDllName;
     UNICODE_STRING BaseDllName;
     ULONG Flags;
     USHORT LoadCount;
     USHORT TlsIndex;
     LIST_ENTRY HashLinks;
     PVOID SectionPointer;
     ULONG CheckSum;
     ULONG TimeDateStamp;
     PVOID LoadedImports;
     PVOID EntryPointActivationContext;
     PVOID PatchInformation;
 }LDR_DATA_TABLE_ENTRY, *PLDR_DATA_TABLE_ENTRY;

InLoadOrderLinks是一个双向的循环链表，保存了所有驱动的地址。我们只要遍历它，就能够找到所有的驱动了。

FullDllName是驱动的完整路径(路径+名称)，BaseDllName是驱动的名称(不包含路径)

驱动加载后的输出如下：

其中的第二个 2:(null)(null)是XueTr的驱动，应该是做了特殊处理