WIN64内核编程-的基础知识

  WIN64内核编程基础班(作者:胡文亮)

  我们先从一份“简历”说起:

  姓名:X86或80x86

  性别:?

  出生年月:1978

  出生地点:美国

  所属公司:主要是INTEL和AMD

  主要历史(摘自*):x86架构于1978年推出的Intel 8086*处理器中首度出

  现,它是从Intel 8008处理器中发展而来的,而8008则是发展自Intel 4004的。8086

  在三年后为IBM PC所选用,之后x86便成为了个人电脑的标准平台,成为了历来最成功

  的CPU架构。其他公司也有制造x86架构的处理器,计有Cyrix(现为威盛电子所收购)、

  恩益禧集团、IBM、IDT以及Transmeta。Intel以外最成功的制造商为AMD,其早先产品

  Athlon系列处理器的市场份额仅次于Intel Pentium。8086是16位处理器;直到1985

  年32位的80386的开发,这个架构都维持是16位。接着一系列的处理器表示了32位架

  构的细微改进,推出了数种的扩充,直到2003年AMD对于这个架构发展了64位的扩充,

  并命名为AMD64。后来英特尔也推出了与之兼容的处理器,并命名为Intel 64。两者一般

  被统称为x86-64或x64,开创了x86的64位时代。

  在X86的“简历”里,我们摘出一段重要的话:2003年AMD对于这个架构发展了64位

  的扩充,并命名为AMD64。后来英特尔也推出了与之兼容的处理器,并命名为Intel 64。两

  者一般被统称为x86-64或x64,开创了x86的64位时代。也就是说,如果要学习WIN64内

  核编程,就必须拥有2003年以后的CPU!不像学习WIN32内核编程一样,随便一台运行XP

  的奔腾3笔记本也行!但实际情况是,基本上只有2005年以后的CPU才支持X64指令集;

  到2008年之后,CPU才普遍含有X64指令集;到2010年之后,CPU才普遍含有X64指令集

  和支持VT-X技术(没有VT-X技术就无法运行WIN64虚拟机)。

  鉴于中国的实际情况,应该很多人手里还有酷睿2的笔记本。一般来说,T5XXX以下的

  CPU是没有X64指令集的;T7XXX以下的CPU是不支持VT-X的。只有T7XXX以上的CPU,才

  有X64指令集和支持VT-X。而2010年之后的Core i系列的CPU,都有X64指令集和支持

  VT-X了。台式机方面也差不多,CORE 2似乎只有比较高端的E8000或者Q8000以上才有X64

  指令集和支持VT-X技术。AMD则比较厚道,Athlon X2 245之类的低端CPU都有X64指令

  集和支持AMD-V技术(等于是AMD的VT-X技术)。

  总结来说,如果你用的CPU是CORE I系列的,就可以了,如果不是的话,可以用CPUZ检测一下,看看是否支持X64和VT-X。如果发现不支持VT-X的话,看看是不是BIOS里没

  有打开,一般主板的默认设置里,VT-X都是关闭的。

  说完CPU,说说内存。内存经历过两次大跌大涨,现在(2013年11月)又在价格的顶

  峰,真是让人心碎。不过再让人心碎的价格,为了学习技术,大家也只能忍受了。一句话,

  学习WIN64内核编程至少需要8GB的内存,如果要多开虚拟机,推荐16GB。否则在双机调

  试时卡死(鼠标移动变成了“飘动”的),会让人非常愤怒。

 

  配置好驱动测试环境后,就可以正式编写驱动了。市面上讲解驱动开发的书籍汗牛充栋,

  但讲得较为太复杂,让初学者不好理解。本文从一个简单的hello,world驱动(驱动模板)

  讲起,力求讲解得简单明了,让大家好理解。

  本文主角:

  1.DbgView。DbgView是查看程序调试输出的工具,由美国高富帅Mark Russinovich编写

  (不得不说,此人长得帅,编程技术又牛,让多少男人羡慕妒忌,让多少女人一见倾心)。

  下载地址:http://technet.microsoft.com/en-us/sysinternals/bb896647.aspx

  2.KmdMgr。KmdMgr是一个由俄国人编写的驱动加载工具。比起国内那些乱七八糟的驱动加

  载工具,它的特点是可以与驱动进行通信(虽然无法设置I/O缓冲区)。下载地址:

  https://www.assembla.com/code/L2h/subversion/nodes/LowLevel/KmdManager.exe?_for

  mat=raw&rev=1

  3.WIN64AST。作者自行开发的64位ARK类工具。在本章中用来查看驱动是否加载成功。在

  后续章节还有其他的用途。下载地址:www.win64ast.com。

  4.WIN64UDL。作者自行开发的驱动加载工具,能在正常模式下加载没有签名的驱动。因为这

  个工具,被人举报滥用签名,最终导致价值15000人民币的数字签名被吊销。下载地址:

  http://www.m5home.com/bbs/thread-7845-1-1.html

  编写驱动:

  以下是一个我写的WIN64驱动模板(代码中已经加了详细的注释,完整工程文件可以在

  论坛上下载):

WIN64内核编程-的基础知识
  //【0】包含的头文件,可以加入系统或自己定义的头文件

  #include<ntddk.h>

  #include<windef.h>

  #include<stdlib.h>

  //【1】定义符号链接,一般来说修改为驱动的名字即可

  #define DEVICE_NAME L"\\Device\\KrnlHW64"

  #define LINK_NAME L"\\DosDevices\\KrnlHW64"

  #define LINK_GLOBAL_NAME L"\\DosDevices\\Global\\KrnlHW64"

  //【2】定义驱动功能号和名字,提供接口给应用程序调用

  #define IOCTL_IO_TEST CTL_CODE(FILE_DEVICE_UNKNOWN,0x800,

  METHOD_BUFFERED,FILE_ANY_ACCESS)

  #define IOCTL_SAY_HELLO CTL_CODE(FILE_DEVICE_UNKNOWN,0x801,

  METHOD_BUFFERED,FILE_ANY_ACCESS)

  //【3】驱动卸载的处理例程

  VOID DriverUnload(PDRIVER_OBJECT pDriverObj)

  {

  UNICODE_STRING strLink;

  DbgPrint("[KrnlHW64]DriverUnload\n");

  RtlInitUnicodeString(&strLink,LINK_NAME);

  IoDeleteSymbolicLink(&strLink);

  WIN64内核编程基础班(作者:胡文亮;QQ:1923208126)

  IoDeleteDevice(pDriverObj->DeviceObject);

  }

  //【4】IRP_MJ_CREATE对应的处理例程,一般不用管它

  NTSTATUS DispatchCreate(PDEVICE_OBJECT pDevObj,PIRP pIrp)

  {

  DbgPrint("[KrnlHW64]DispatchCreate\n");

  pIrp->IoStatus.Status=STATUS_SUCCESS;

  pIrp->IoStatus.Information=0;

  IoCompleteRequest(pIrp,IO_NO_INCREMENT);

  return STATUS_SUCCESS;

  }

  //【5】IRP_MJ_CLOSE对应的处理例程,一般不用管它

  NTSTATUS DispatchClose(PDEVICE_OBJECT pDevObj,PIRP pIrp)

  {

  DbgPrint("[KrnlHW64]DispatchClose\n");

  pIrp->IoStatus.Status=STATUS_SUCCESS;

  pIrp->IoStatus.Information=0;

  IoCompleteRequest(pIrp,IO_NO_INCREMENT);

  return STATUS_SUCCESS;

  }

  //【6】IRP_MJ_DEVICE_CONTROL对应的处理例程,驱动最重要的函数之一,一般走正常途径调

  用驱动功能的程序,都会经过这个函数

  NTSTATUS DispatchIoctl(PDEVICE_OBJECT pDevObj,PIRP pIrp)

  {

  NTSTATUS status=STATUS_INVALID_DEVICE_REQUEST;

  PIO_STACK_LOCATION pIrpStack;

  ULONG uIoControlCode;

  PVOID pIoBuffer;

  ULONG uInSize;

  ULONG uOutSize;

  DbgPrint("[KrnlHW64]DispatchIoctl\n");

  pIrpStack=IoGetCurrentIrpStackLocation(pIrp);

  //控制码

  uIoControlCode=pIrpStack->Parameters.DeviceIoControl.IoControlCode;

  //输入输出缓冲区

  pIoBuffer=pIrp->AssociatedIrp.SystemBuffer;

  //输入区域大小

  uInSize=pIrpStack->Parameters.DeviceIoControl.InputBufferLength;

  //输出区域大小

  uOutSize=pIrpStack->Parameters.DeviceIoControl.OutputBufferLength;

  switch(uIoControlCode)

  WIN64内核编程基础班(作者:胡文亮;QQ:1923208126)

  {

  //在这里加入接口

  case IOCTL_IO_TEST:

  {

  DWORD dw=0;

  //获得输入的内容

  memcpy(&dw,pIoBuffer,sizeof(DWORD));

  //使用输入的内容

  dw++;

  //输出处理的结果

  memcpy(pIoBuffer,&dw,sizeof(DWORD));

  //处理成功,返回非STATUS_SUCCESS会让DeviveIoControl返回失败

  status=STATUS_SUCCESS;

  break;

  }

  case IOCTL_SAY_HELLO:

  {

  DbgPrint("[KrnlHW64]IOCTL_SAY_HELLO\n");

  status=STATUS_SUCCESS;

  break;

  }

  }

  if(status==STATUS_SUCCESS)

  pIrp->IoStatus.Information=uOutSize;

  else

  pIrp->IoStatus.Information=0;

  pIrp->IoStatus.Status=status;

  IoCompleteRequest(pIrp,IO_NO_INCREMENT);

  return status;

  }

  //【7】驱动加载的处理例程,里面进行了驱动的初始化工作

  NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj,PUNICODE_STRING

  pRegistryString)

  {

  NTSTATUS status=STATUS_SUCCESS;

  UNICODE_STRING ustrLinkName;

  UNICODE_STRING ustrDevName;

  PDEVICE_OBJECT pDevObj;

  //初始化驱动例程

  pDriverObj->MajorFunction[IRP_MJ_CREATE]=DispatchCreate;

  pDriverObj->MajorFunction[IRP_MJ_CLOSE]=DispatchClose;

  pDriverObj->MajorFunction[IRP_MJ_DEVICE_CONTROL]=DispatchIoctl;

  pDriverObj->DriverUnload=DriverUnload;

  WIN64内核编程基础班(作者:胡文亮;QQ:1923208126)

  //创建驱动设备

  RtlInitUnicodeString(&ustrDevName,DEVICE_NAME);

  status=IoCreateDevice(pDriverObj,0,&ustrDevName,FILE_DEVICE_UNKNOWN,

  0,FALSE,&pDevObj);

  if(!NT_SUCCESS(status))return status;

  if(IoIsWdmVersionAvailable(1,0x10))

  RtlInitUnicodeString(&ustrLinkName,LINK_GLOBAL_NAME);

  else

  RtlInitUnicodeString(&ustrLinkName,LINK_NAME);

  //创建符号链接

  status=IoCreateSymbolicLink(&ustrLinkName,&ustrDevName);

  if(!NT_SUCCESS(status))

  {

  IoDeleteDevice(pDevObj);

  return status;

  }

  //走到这里驱动实际上已经初始化完成,下面添加的是功能初始化的代码

  DbgPrint("[KrnlHW64]DriverEntry\n");

  return STATUS_SUCCESS;

  }
View Code

 

  如果你懒得认真看完上面的代码,也没问题,我总结几句:1.DriverEntry就是驱动的

  main函数,驱动加载后会从DriverEntry开始执行。2.驱动类似DLL,可以提供接口给应用

  程序调用,不过以导出函数的方式,而是用一套专门的通信函数DeviceIoControl。关于应

  用程序与驱动程序通信,后面会讲。

  编译驱动:

  1.打开『x64 Free Build Environment』:

  2.切换到源码目录(假设源码目录是:z:\sys),并输入BUILD编译:

  WIN64内核编程基础班(作者:胡文亮;QQ:1923208126)

  3.如果看到『1 executable built』字眼,则证明编译成功。

  4.驱动的编译跟目录下的source文件有关系,比如本例中,它的内容如下(注意不要手贱

  把空行去掉了,否则可能会导致无法编译):

  TARGETNAME=KrnlHW64<-驱动的文件的名称,一般来说修改这个就行了

  TARGETTYPE=DRIVER<-编译的类型

  TARGETPATH=obj

  INCLUDES=.\

  SOURCES=MyDriver.c<-多个C文件时,把所有C文件的名称分成多行写

  测试驱动前的准备:

  1.以管理员权限运行DBGVIEW。

  2.把HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Debug

  Print Filter的Default值修改为ffffffff

  3.打开DBGVIEW并把以下选项全部勾上:

  标准的驱动测试方法:

  1.打开虚拟机,进入双机调试的环境(忘记了就参考上节课的内容)。

  WIN64内核编程基础班(作者:胡文亮;QQ:1923208126)

  2.运行KmdMgr.exe,把SYS拖动到文本框里。

  3.点击“Register”和“Run”按钮,看看输出是否提示成功。如果成功会有类似的输出:

  4.运行WIN64AST,点击内核模块,查看驱动是否已经存在于内核里了:

  WIN64内核编程基础班(作者:胡文亮;QQ:1923208126)

  5.在CODE处输入222004(为什么是222004而不是801?这个后面会讲到,这里先卖一个关

  子。但这个数值可以使用calc_ctl_code.exe算出来,既输入801,可以输出222004),点

  击“I/O Control”按钮,如果成功会有类似的输出:

  6.点击“Unregister”和“Stop”按钮,如果成功会有类似的输出:

  WIN64内核编程基础班(作者:胡文亮;QQ:1923208126)

  很显然,用标准方法测试一个驱动是很麻烦且很耗时的。双机调试非常占用系统资源,

  虽然我的电脑配置较好(2600K+16GB内存),但是在操作虚拟机时,仍然感到了明显的卡顿。

  下面介绍一种用特殊工具测试驱动的方法,无需双机调试,甚至无需使用虚拟机。

  用WIN64UDL测试驱动:

  1.运行WIN64UDL。

  2.把驱动文件拖进WIN64UDL里,然后按下ENTER加载。

  3.再按一次ENTER卸载驱动。

  最后,再补充一种非常麻烦的方法,此方法也算是标准方法之一,适用于没有虚拟机或

  无法进行双机调试的时候。由于非常麻烦,所以不推荐使用。说实话,谁用此方法测试驱动,

  绝对是脑门被驴踢了。

  1.开启测试模式。管理员权限运行CMD,输入:bcdedit-set testsigning on。

  WIN64内核编程基础班(作者:胡文亮;QQ:1923208126)

  2.重启计算机

  3.用dseo13b(下载地址:http://files.ngohq.com/ngo/dseo/dseo13b.exe)给驱动程序添

  加测试签名。方法很简单,运行deso13b,一路NEXT,当出现这个对话框时,选择“Sign a

  System File”再点NEXT:

  4.用任意工具加载驱动。

----------------------------

 

  说完基本环境配置,这篇就稍微轻松点了,可以听听我吹牛侃大山,谈谈WIN64内核编

  程的基本规则。在WIN32环境下,大家都能乱来,随便加载各种驱动,进行各种挂钩和DKOM,

  各种穷凶极恶的手段粉墨登场。把好端端的WINDOWS弄得连七八糟,严重影响了系统安全。

  虽说为编程爱好者提供了表演的舞台,但是苦了那些把电脑当工具的人。于是那段时间,

  “LINUX和MAC OS比WINDOWS安全可靠”的谣言四起(似乎也不是谣言),大有把WINDOWS

  和不安全划上等号之势。

  为此,微软很生气,后果很严重。从WINDOWS 2003 X64开始,微软开始对WIN64系统

  增加限制,增强系统安全。总体来说有两条,一是KPP(Kernel Patch Protection,内核补

  丁保护),二是DSE(Driver Signature Enforcement,驱动签名强制)。WINDOWS 2003 X64

  只有KPP,从VISTA开始有了DSE。KPP利用PatchGuard技术检查内核有没有被“打补丁”

  (不仅检查内核函数有没有被HOOK,也包括一些关键的内核结构体有没有被修改,比如进

  程链表PsActiveProcessLinks有没有被摘链),如果发现被“打补丁”,则直接引发0x109

  蓝屏(CRITICAL_STRUCTURE_CORRUPTION,直译为关键结构损毁)。DSE则是拒绝加载不包含

  正确签名的驱动(包括伪造签名和测试签名)。多说一句,总有人把KPP把PatchGuard划等

  号,其实二者是不等的。KPP是机制,PatchGuard是实现。就好比CIA是机构,CIA的特工

  才是一系列“黑色行动”的执行者。

  说完正儿八经的,说点通地气的话。实际上KPP和DSE并非铁板一块,二是各有漏洞可

  钻的。KPP保护不了内核所有的部分,只保护了几个驱动:NTOSKRNL.EXE、HAL.DLL、CI.DLL、

  NDIS.SYS等(当然,NTOS部分包括了IDT、GDT、MSR等)。对一些较为上层的驱动,比如

  FAT32和NTFS作IRP HOOK,PG是不管的。而DSE则在某些条件下不启动,比如在PE环境

  下;或者说有些时候管得不严格,比如在测试模式下,允许含有测试签名的驱动加载。总结

  一句:进行WIN64内核编程的时候,别想用API HOOK解决问题;当发布含有WIN64驱动的

  时候,记得给“证书签发机构”交保护费(购买正规数字签名)。不过,这两项限制让很多

  黑客乃至安全公司大为不满,各种过KPP和DSE的方法层出不穷。目前,VISTA、WIN7、WIN8、

  WIN8.1的KPP和DSE已全部被攻破。

  编程的时候,大家基本都是需要使用API的。在RING3下使用WINAPI,在RING0下则

  使用内核API。特别注意的是,内核编程是无法使用WINAPI的(当然,也有特殊的方法调

  用,不过非标准方法,这里略过不提)。什么叫做内核API呢,就是虚拟地址位于内核空间

  的API。不管是不是微软的内核模块,也不管导出没导出,只要知道地址和每个参数的含义,

  就能调用。不过,我们写程序大多时候都是使用微软模块(NTOSKRNL、HAL等)导出的API。

  例如:ZwOpenProcess,IoCreateFile等。

  内核编程用内核API,而自然也有内核结构体。其实“内核结构体”这个说法不太妥当,

  因为结构体是不分场合甚至不分系统的。但这么说大家也能理解是什么意思,就是内核编程

  中常用的结构体。这种结构体又分为两种,一种是“万年不变”的,一种是每个系统都不同

  的。“万年不变”的结构体通常能在MSDN上查到,比如CLIENT_ID、IO_STATUS_BLOCK;每个

  系统都不同的结构体通常在MSDN上查不到,但是存在于符号文件里,比如EPROCESS、ETHREAD。

  我们编程的时候,尽量只使用“万年不变”的结构体,不使用每个系统都不同的结构体。当

  非要使用不可的时候,必须根据系统版本定义制定成员的偏移量。如果发现未知的系统版

  本,则提示并退出。如果不这样做,等着BSOD吧。

  WIN64内核编程基础班(作者:胡文亮;QQ:1923208126)

  内核编程的基本规矩不是一篇能讲完的,下面几篇会细化讲解,这篇只是个引子。

WIN64内核编程-的基础知识

上一篇:【Vegas原创】域密码到期发送提醒邮件的超简单方法


下一篇:Leecode no.111 二叉树的最小深度