[原创]W2k Driving 学习笔记(二)使用GCC创建 Windows NT 下的内核DLL

简介:

   

     再温习<<Windows 2000 Driving>>分层驱动程序一章的时候,看到了关于紧耦合

驱动连接方式,这种方式不依赖于I/O管理器的串联,而是直接调用内核例程,这样可以大

大的提高驱动的执行效率。

     为了实现这样一种功能,必须提供一种类似于在用户模式中DLL的机制,只不过该"DLL"

是加载到内核中的。其实Windows NT 内核本身早就利用了这样机制,比如Hal.dll、ntoskrnl.exe和某些类驱动程序等,他们分别为第3方驱动程序导出了HAL层、内核层、执行体层的功能函数

      在 Tim Roberts 的 《内核模式的 DLL》一文中,给出了内核DLL的主要特征:


    内核 DLL 就像用户模式 DLL 一样:链接器在构建 DLL 时生成一个导入库,然后将此库包含到将要使

用此DLL 的任何驱动程序的目标库列表中。既不需要注册表技巧,也不需要任何特别的动作来起停该 DLL。

内核 DLL将随任何引用之的其他驱动程序自动加载,而随最后一个引用之的驱动程序自动卸载(注 1)

 

      为了实现这样一个DLL,Roberts给出的做法是使用DDK来生成一个TARGETTYPE为

EXPORT_DRIVER的项目我试了一下,如其所愿,的确建立一个xxx.sys文件,我还

观察了一下该sys的PE类型,发现它与标准的内核sys并无两样,那么能不能用gcc来生成一

个内核模式的DLL呢?答案是肯定的!如果你正在用gcc(MinGW)在写Windows NT 下

的Core Dll的话,那么也可以写出DDK中EXPORT_DRIVER类型的模块了,具体做法从略...

 

  好了,上面只是开个玩笑,呵呵。下面就详细说说如何用MinGW来写一个CoreDll:

  1. 首先在你的系统中应该安装一个MinGW,我现在用的是(MinGW 5.1.4);
  2. 在你的系统中还要有一个Masm32V9.0+的环境(这个不是必须的,Gcc也有能力自己生成驱动程序文件,而我采用的是Masm方式),你也可以安装WINDDK,用它的环境生成最终的的驱动文件。
  3. 用gccNTDrvFrame(注2)建立一个新的驱动包,其中如果要想实现CoreDll动态加载和卸载功能必须在sys.c中提供以下2个例程,你可以将构造和析构的相关内容放在它们里面。你同样要提供一个Driver 必须包含标准的 DriverEntry 入口点,不过实际上系统不会调用它。这个需求是创建系统的人为限制,因为它会为每个内核驱动程序把 /ENTRY:DriverEntry 添加到链接器选项中。因此我们为只导出的 DLL 也必须提供一个伪入口点。 :

           __declspec(dllexport) DDKAPI NTSTATUS DllInitialize(/ IN PUNICODE_STRING RegistryPath); __declspec(dllexport) DDKAPI NTSTATUS DllUnload(void);

   4.  建立一个需要导出函数,我这里只是示例一下,所以写了一个简单的导出函数:   

 

__declspec(dllexport) DDKAPI NTSTATUS GetMagicNum(IN int *pVal) { if(!pVal) { DbgPrint("err : pVal == NULL!/n"); return STATUS_DEVICE_CONFIGURATION_ERROR; } DbgPrint("*pVal is %d/n",*pVal); *pVal *= 11 * 11; DbgPrint("After OP --- *pVal is %d/n",*pVal); return STATUS_SUCCESS

 

   5. 为连接器建立def文件,内容如下:

NAME CoreDll.sys EXPORTS DllInitialize PRIVATE DllUnload PRIVATE GetMagicNum

 

    6. 运行gccNTDrvFrame的builder,完成CoreDll的编译和连接,如果没有错误将会生

      成若干个文件,其中只会用到2个:一个是xxx.sys,这个不用说就是供其它驱动调用

      的CoreDll,另一个是xxx.lib,它是所有需要调用xxx.sys的其它驱动程序建立时需要

      的文件,它和hal.lib、ntoskrnl.lib完全一样。

 

   7. 新建另一个Driver工程,在b.bat中的link连接选项中添加xxx.lib。声明和调用外部

       函数的方法如下:

       __declspec(dllimport) DDKAPI NTSTATUS GetMagicNum(IN int *pVal); DDKAPI NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObject,/ PUNICODE_STRING pRegistryPath) { PDEVICE_OBJECT pDevObj; NTSTATUS status = STATUS_DEVICE_CONFIGURATION_ERROR; PRINT("[%s]enter DriverEntry.../n",__func__); RtlInitUnicodeString(&DevName,DEVNAMEW); RtlInitUnicodeString(&SymlnkName,SYMLNKNAMEW); if(IoCreateDevice(pDriverObject,0,&DevName,FILE_DEVICE_UNKNOWN,/ 0,false,&pDevObj) != STATUS_SUCCESS) { PRINT("[%s]IoCreateDevice Failed!/n",__func__); goto QUIT; } if(IoCreateSymbolicLink(&SymlnkName,&DevName) != STATUS_SUCCESS) { IoDeleteDevice(pDevObj); PRINT("[%s]IoCreateSymbolicLink Failed!/n",/ __func__); goto QUIT; } pDevObj->Flags |= DO_BUFFERED_IO; pDriverObject->DriverUnload = DriverUnload; pDriverObject->MajorFunction[IRP_MJ_CREATE] = / DrvDispatchCreateClose; pDriverObject->MajorFunction[IRP_MJ_CLOSE] = / DrvDispatchCreateClose; pDriverObject->MajorFunction[IRP_MJ_READ] = / DispatchRead; pDriverObject->MajorFunction[IRP_MJ_WRITE] = / DispatchWrite; pDriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = / DrvDispatchControl; pDriverObject->MajorFunction[IRP_MJ_SHUTDOWN] = / DrvShutdown; if(!NT_SUCCESS(IoRegisterShutdownNotification(/ pDriverObject->DeviceObject))) { PRINT("[%s]err : Register Shutdown Failed!/n",/ __func__); } int i = 11; GetMagicNum(&i); PRINT("[%s]Addr of KeServiceDescriptorTable : %p/n",/ __func__,KeServiceDescriptorTable); PRINT("[%s]leave DriverEntry.../n",__func__); status = STATUS_SUCCESS; QUIT: return status; }

       你当然不一定非要在DriverEntry中调用,因为xxx.sys由系统在调用sys之前自动

       动态加载.

 

         8. 用builder建立这个sys,然后整个过程结束了。

 

   结束语:这里只是一个最简单的示例,如果是只干这样的"小"事而用CoreDll的话,未免

杀鸡用牛刀的意思。CoreDll的用途可以被极大的拓展,至于如何发挥您的激情与才干,就

不是我力所能及的了。(^o^)

 

注1 :不过,在 Windows 98 第二版或者 Windows Me 中内核 DLL 永远也不会卸载。

注2 gccNTDrvFrame是我写的一个gcc建立windows NT 驱动的框架包,稍后会在新文章中介绍。

 

(PS : 文章参考http://sluttery.spaces.live.com/blog/cns!3569FEA80C717FD4!519.entry

 

相关文章
|
2月前
|
存储 Java C语言
Windows 下 JNI 调用动态链接库 dll
Windows 下 JNI 调用动态链接库 dll
110 0
|
1月前
|
Windows
【Windows内核驱动函数(1)】IoCreateSymbolicLink()-----创建符号链接函数
【Windows内核驱动函数(1)】IoCreateSymbolicLink()-----创建符号链接函数
|
2月前
|
存储 Java C++
Windows 下 JNA 调用动态链接库 dll
Windows 下 JNA 调用动态链接库 dll
86 0
|
2月前
|
网络协议 Shell vr&ar
某教程学习笔记(一):1、windows基础
某教程学习笔记(一):1、windows基础
24 0
|
2月前
|
监控 安全 API
5.9 Windows驱动开发:内核InlineHook挂钩技术
在上一章`《内核LDE64引擎计算汇编长度》`中,`LyShark`教大家如何通过`LDE64`引擎实现计算反汇编指令长度,本章将在此基础之上实现内联函数挂钩,内核中的`InlineHook`函数挂钩其实与应用层一致,都是使用`劫持执行流`并跳转到我们自己的函数上来做处理,唯一的不同的是内核`Hook`只针对`内核API`函数,但由于其身处在`最底层`所以一旦被挂钩其整个应用层都将会受到影响,这就直接决定了在内核层挂钩的效果是应用层无法比拟的,对于安全从业者来说学会使用内核挂钩也是很重要。
62 1
5.9 Windows驱动开发:内核InlineHook挂钩技术
|
7月前
|
监控 安全 API
7.6 Windows驱动开发:内核监控FileObject文件回调
本篇文章与上一篇文章`《内核注册并监控对象回调》`所使用的方式是一样的都是使用`ObRegisterCallbacks`注册回调事件,只不过上一篇博文中`LyShark`将回调结构体`OB_OPERATION_REGISTRATION`中的`ObjectType`填充为了`PsProcessType`和`PsThreadType`格式从而实现监控进程与线程,本章我们需要将该结构填充为`IoFileObjectType`以此来实现对文件的监控,文件过滤驱动不仅仅可以用来监控文件的打开,还可以用它实现对文件的保护,一旦驱动加载则文件是不可被删除和改动的。
39 1
7.6 Windows驱动开发:内核监控FileObject文件回调
|
7月前
|
监控 安全 API
6.9 Windows驱动开发:内核枚举进线程ObCall回调
在笔者上一篇文章`《内核枚举Registry注册表回调》`中我们通过特征码定位实现了对注册表回调的枚举,本篇文章`LyShark`将教大家如何枚举系统中的`ProcessObCall`进程回调以及`ThreadObCall`线程回调,之所以放在一起来讲解是因为这两中回调在枚举是都需要使用通用结构体`_OB_CALLBACK`以及`_OBJECT_TYPE`所以放在一起来讲解最好不过。
90 1
6.9 Windows驱动开发:内核枚举进线程ObCall回调
|
7月前
|
监控 安全 API
6.8 Windows驱动开发:内核枚举Registry注册表回调
在笔者上一篇文章`《内核枚举LoadImage映像回调》`中`LyShark`教大家实现了枚举系统回调中的`LoadImage`通知消息,本章将实现对`Registry`注册表通知消息的枚举,与`LoadImage`消息不同`Registry`消息不需要解密只要找到`CallbackListHead`消息回调链表头并解析为`_CM_NOTIFY_ENTRY`结构即可实现枚举。
76 1
6.8 Windows驱动开发:内核枚举Registry注册表回调
|
7月前
|
存储 API 开发者
6.7 Windows驱动开发:内核枚举LoadImage映像回调
在笔者之前的文章`《内核特征码搜索函数封装》`中我们封装实现了特征码定位功能,本章将继续使用该功能,本次我们需要枚举内核`LoadImage`映像回调,在Win64环境下我们可以设置一个`LoadImage`映像加载通告回调,当有新驱动或者DLL被加载时,回调函数就会被调用从而执行我们自己的回调例程,映像回调也存储在数组里,枚举时从数组中读取值之后,需要进行位运算解密得到地址。
41 1
6.7 Windows驱动开发:内核枚举LoadImage映像回调
|
7月前
|
网络协议 API C++
6.6 Windows驱动开发:内核枚举Minifilter微过滤驱动
Minifilter 是一种文件过滤驱动,该驱动简称为微过滤驱动,相对于传统的`sfilter`文件过滤驱动来说,微过滤驱动编写时更简单,其不需要考虑底层RIP如何派发且无需要考虑兼容性问题,微过滤驱动使用过滤管理器`FilterManager`提供接口,由于提供了管理结构以及一系列管理API函数,所以枚举过滤驱动将变得十分容易。
79 1
6.6 Windows驱动开发:内核枚举Minifilter微过滤驱动