用Visual studio2012在Windows8上开发内核驱动监视线程创建

在Windows NT中，80386保护模式的“保护”比Windows 95中更坚固，这个“镀金的笼子”更加结实，更加难以打破。在Windows 95中，至少应用程序I/O操作是不受限制的，而在Windows NT中，我们的应用程序连这点权限都被剥夺了。在NT中几乎不太可能进入真正的ring0层。 
在Windows NT中，存在三种Device Driver：

1．“Virtual device Driver” (VDD)。通过VDD，16位应用程序，如DOS 和Win16应用程序可以访问特定的I/O端口（注意，不是直接访问，而是要通过VDD来实现访问）。

2．“GDI Driver”，提供显示和打印所需的GDI函数。

3．“Kernel Mode Driver”，实现对特定硬件的操作，比如说CreateFile, CloseHandle (对于文件对象而言), ReadFile, WriteFile, DeviceIoControl 等操作。“Kernel Mode Driver”还是Windows NT中唯一可以对硬件中断和DMA进行操作的Driver。SCSI 小端口驱动和 网卡NDIS 驱动都是Kernel Mode Driver的一种特殊形式。

Visual studio2012与Windows8带来格外不同的新体验

1.启动Vs2012

2.看见满目的驱动开发模板

3.选择一个驱动模式，有内核模式与用户模式两种的驱动

4.创建一个驱动程序，KMDF DriverMVP

5.我们选择的是内核模式的驱动程序，下面是创建成功后的界面，分别是驱动程序本身，与驱动安装包

6.按下F5，选择驱动编译，

插入下列代码实现ring0层驱动监视创建线程，请见代码分析

1. #include "ThreadMon.h"
2. #include "../inc/ioctls.h"
3. //
4. //////////////////////////////////////////////////////////////////////////
5. //////////////////////////////////////////////////////////////////////////
6. //
7. // 全局变量
8. //
9. PDEVICE_OBJECT  g_pDeviceObject;
10. //
11. //////////////////////////////////////////////////////////////////////////
12. //////////////////////////////////////////////////////////////////////////
13. //
14. // 函数实现
15. //
16. NTSTATUS
17. DriverEntry(
18. IN PDRIVER_OBJECT       DriverObject,
19. IN PUNICODE_STRING      RegistryPath
20. )
21. {
22. NTSTATUS            Status = STATUS_SUCCESS;
23. UNICODE_STRING      ntDeviceName;
24. UNICODE_STRING      dosDeviceName;
25. UNICODE_STRING      ThreadEventString;
26. PDEVICE_EXTENSION   deviceExtension;
27. PDEVICE_OBJECT      deviceObject = NULL;
28. KdPrint(("[ThreadMon] DriverEntry: %wZ\n", RegistryPath));
29. //
30. // 创建设备对象
31. //
32. RtlInitUnicodeString(&ntDeviceName, THREADMON_DEVICE_NAME_W);
33. Status = IoCreateDevice(
34. DriverObject,
35. sizeof(DEVICE_EXTENSION),       // DeviceExtensionSize
36. &ntDeviceName,                  // DeviceName
37. FILE_DEVICE_THREADMON,          // DeviceType
38. 0,                              // DeviceCharacteristics
39. TRUE,                           // Exclusive
40. &deviceObject                   // [OUT]
41. );
42. if(!NT_SUCCESS(Status))
43. {
44. KdPrint(("[ThreadMon] IoCreateDevice Error Code = 0x%X\n", Status));
45. return Status;
46. }
47. //
48. // 设置扩展结构
49. //
50. deviceExtension = (PDEVICE_EXTENSION)deviceObject->DeviceExtension;
51. //
52. // Set up synchronization objects, state info,, etc.
53. //
54. deviceObject->Flags |= DO_BUFFERED_IO;
55. //
56. // 创建符号链接
57. //
58. RtlInitUnicodeString(&dosDeviceName, THREADMON_DOS_DEVICE_NAME_W);
59. Status = IoCreateSymbolicLink(&dosDeviceName, &ntDeviceName);
60. if(!NT_SUCCESS(Status))
61. {
62. KdPrint(("[ThreadMon] IoCreateSymbolicLink Error Code = 0x%X\n", Status));
63. IoDeleteDevice(deviceObject);
64. return Status;
65. }
66. //
67. // 分发IRP
68. //
69. DriverObject->MajorFunction[IRP_MJ_CREATE]           = ThreadMonDispatchCreate;
70. DriverObject->MajorFunction[IRP_MJ_CLOSE]            = ThreadMonDispatchClose;
71. DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL]   = ThreadMonDispatchDeviceControl;
72. DriverObject->DriverUnload                           = ThreadMonUnload;
73. //
74. // 保存设备对象指针
75. //
76. g_pDeviceObject = deviceObject;
77. //
78. // 创建事件对象与应用层通信
79. //
80. RtlInitUnicodeString(&ThreadEventString, EVENT_NAME);
81. deviceExtension->ThreadEvent = IoCreateNotificationEvent(&ThreadEventString, &deviceExtension->ThreadHandle);
82. KeClearEvent(deviceExtension->ThreadEvent);          // 非受信状态
83. //
84. // 设置回调例程
85. //
86. Status = PsSetCreateThreadNotifyRoutine(ThreadCallback);
87. return Status;
88. }
89. NTSTATUS
90. ThreadMonDispatchCreate(
91. IN PDEVICE_OBJECT       DeviceObject,
92. IN PIRP                 Irp
93. )
94. {
95. NTSTATUS Status = STATUS_SUCCESS;
96. Irp->IoStatus.Information = 0;
97. KdPrint(("[ThreadMon] IRP_MJ_CREATE\n"));
98. Irp->IoStatus.Status = Status;
99. IoCompleteRequest(Irp, IO_NO_INCREMENT);
100. return Status;
101. }
102. NTSTATUS
103. ThreadMonDispatchClose(
104. IN PDEVICE_OBJECT       DeviceObject,
105. IN PIRP                 Irp
106. )
107. {
108. NTSTATUS Status = STATUS_SUCCESS;
109. Irp->IoStatus.Information = 0;
110. KdPrint(("[ThreadMon] IRP_MJ_CLOSE\n"));
111. Irp->IoStatus.Status = Status;
112. IoCompleteRequest(Irp, IO_NO_INCREMENT);
113. return Status;
114. }
115. NTSTATUS
116. ThreadMonDispatchDeviceControl(
117. IN PDEVICE_OBJECT       DeviceObject,
118. IN PIRP                 Irp
119. )
120. {
121. NTSTATUS            Status = STATUS_SUCCESS;
122. PIO_STACK_LOCATION  irpStack;
123. PDEVICE_EXTENSION   deviceExtension;
124. ULONG               inBufLength, outBufLength;
125. ULONG               ioControlCode;
126. PCALLBACK_INFO      pCallbackInfo;
127. // 获取当前设备栈
128. irpStack = IoGetCurrentIrpStackLocation(Irp);
129. deviceExtension = (PDEVICE_EXTENSION)DeviceObject->DeviceExtension;
130. // 提取信息
131. pCallbackInfo = Irp->AssociatedIrp.SystemBuffer;
132. inBufLength = irpStack->Parameters.DeviceIoControl.InputBufferLength;
133. outBufLength = irpStack->Parameters.DeviceIoControl.OutputBufferLength;
134. ioControlCode = irpStack->Parameters.DeviceIoControl.IoControlCode;
135. // 处理不同的IOCTL
136. switch (ioControlCode)
137. {
138. case IOCTL_THREAD_MON:
139. {
140. KdPrint(("[ThreadMon] IOCTL: 0x%X", ioControlCode));
141. if (outBufLength >= sizeof(PCALLBACK_INFO))
142. {
143. pCallbackInfo->ProcessId = deviceExtension->ProcessId;
144. pCallbackInfo->ThreadId = deviceExtension->ThreadId;
145. pCallbackInfo->Create = deviceExtension->Create;
146. Irp->IoStatus.Information = outBufLength;
147. }
148. break;
149. }
150. default:
151. {
152. Status = STATUS_INVALID_PARAMETER;
153. Irp->IoStatus.Information = 0;
154. KdPrint(("[ThreadMon] Unknown IOCTL: 0x%X (%04X,%04X)", \
155. ioControlCode, DEVICE_TYPE_FROM_CTL_CODE(ioControlCode), \
156. IoGetFunctionCodeFromCtlCode(ioControlCode)));
157. break;
158. }
159. }
160. Irp->IoStatus.Status = Status;
161. IoCompleteRequest(Irp, IO_NO_INCREMENT);
162. return Status;
163. }
164. VOID
165. ThreadMonUnload(
166. IN PDRIVER_OBJECT       DriverObject
167. )
168. {
169. UNICODE_STRING dosDeviceName;
170. //
171. // Free any resources
172. //
173. // 卸载回调例程
174. PsRemoveCreateThreadNotifyRoutine(ThreadCallback);
175. //
176. // Delete the symbolic link
177. //
178. RtlInitUnicodeString(&dosDeviceName, THREADMON_DEVICE_NAME_W);
179. IoDeleteSymbolicLink(&dosDeviceName);
180. //
181. // Delete the device object
182. //
183. IoDeleteDevice(DriverObject->DeviceObject);
184. KdPrint(("[ThreadMon] Unloaded"));
185. }
186. VOID
187. ThreadCallback(
188. IN HANDLE               ProcessId,          // 进程ID
189. IN HANDLE               ThreadId,           // 线程ID
190. IN BOOLEAN              Create              // 创建还是终止
191. )
192. {
193. PDEVICE_EXTENSION deviceExtension = (PDEVICE_EXTENSION)g_pDeviceObject->DeviceExtension;
194. deviceExtension->ProcessId = ProcessId;
195. deviceExtension->ThreadId = ThreadId;
196. deviceExtension->Create = Create;
197. // 触发事件，通知应用程序
198. KeSetEvent(deviceExtension->ThreadEvent, 0, FALSE);
199. KeClearEvent(deviceExtension->ThreadEvent);
200. }
201. //
202. //////////////////////////////////////////////////////////////////////////

ring3层调用代码如下

1. #include "windows.h"
2. #include "winioctl.h"
3. #include "stdio.h"
4. #include "../inc/ioctls.h"
5. #define SYMBOL_LINK "\\\\.\\ThreadMon"
6. int main()
7. {
8. CALLBACK_INFO cbkinfo, cbktemp = {0};
9. // 打开驱动设备对象
10. HANDLE hDriver = ::CreateFile(
11. SYMBOL_LINK,
12. GENERIC_READ | GENERIC_WRITE,
13. 0,
14. NULL,
15. OPEN_EXISTING,
16. FILE_ATTRIBUTE_NORMAL,
17. NULL);
18. if (hDriver == INVALID_HANDLE_VALUE)
19. {
20. printf("打开驱动设备对象失败！\n");
21. return -1;
22. }
23. // 打开内核事件对象
24. HANDLE hProcessEvent = ::OpenEventW(SYNCHRONIZE, FALSE, EVENT_NAME);
25. while (::WaitForSingleObject(hProcessEvent, INFINITE))
26. {
27. DWORD   dwRet;
28. BOOL    bRet;
29. //      printf("收到事件通知！\n");
30. bRet = ::DeviceIoControl(
31. hDriver,
32. IOCTL_THREAD_MON,
33. NULL,
34. 0,
35. &cbkinfo,
36. sizeof(cbkinfo),
37. &dwRet,
38. NULL);
39. if (bRet)
40. {
41. if (cbkinfo.ProcessId != cbktemp.ProcessId || \
42. cbkinfo.ThreadId != cbktemp.ThreadId || \
43. cbkinfo.Create != cbktemp.Create)
44. {
45. if (cbkinfo.Create)
46. {
47. printf("有线程被创建，PID = %d，TID = %d\n", cbkinfo.ProcessId, cbkinfo.ThreadId);
48. }
49. else
50. {
51. printf("有线程被终止，PID = %d，TID = %d\n", cbkinfo.ProcessId, cbkinfo.ThreadId);
52. }
53. cbktemp = cbkinfo;
54. }
55. }
56. else
57. {
58. printf("\n获取进程信息失败！\n");
59. break;
60. }
61. }
62. ::CloseHandle(hDriver);
63. return 0;
64. }