windows內(nèi)核安全編程實(shí)踐之路

1、Windows內(nèi)核安全編程實(shí)踐之路,安于此生@看雪學(xué)院,自我介紹,安于此生@ExpLife,現(xiàn)任高級(jí)逆向工程師。主要從事windows驅(qū)動(dòng)開(kāi)發(fā)及逆向方面的工作，擅長(zhǎng)C/C++,ASM,軟件調(diào)試逆向,惡意代碼分析與對(duì)抗。 主頁(yè):https://github.com/ExpLife0011https://github.com/ExpLife0011/awesome-windows-kernel-security-devel

2、opment,本課內(nèi)容,UNREFERENCED_PARAMETER宏的運(yùn)用初識(shí)UNICODE_STRING結(jié)構(gòu)探究驅(qū)動(dòng)程序入口函數(shù)的兩個(gè)參數(shù),,在編寫(xiě)驅(qū)動(dòng)的時(shí)候,如果有函數(shù)的參數(shù)在函數(shù)體內(nèi)未引用, 并且將警告視為錯(cuò)誤的編譯選項(xiàng)啟用了的話(huà),這時(shí)驅(qū)動(dòng)程序 編譯會(huì)報(bào)錯(cuò),并提示程序中存在未引用的變量.這個(gè)時(shí)候我 們只需要使用UNREFERENCED_PARAMETER來(lái)描述未引 用到的參數(shù)就可以消除該警告,UNREFERENCED

3、_PARAMETER宏的運(yùn)用,typedef struct _UNICODE_STRING { USHORT Length; USHORT MaximumLength; PWSTR Buffer;} UNICODE_STRING, *PUNICODE_STRING;Length:存儲(chǔ)在緩沖區(qū)中的字符串所占的字節(jié)數(shù)MaxinumLength:緩沖區(qū)能夠容納的字節(jié)數(shù)Buffer:指向了用于包含一個(gè)寬字符字符串的緩

4、沖區(qū),初識(shí)UNICODE_STRING結(jié)構(gòu),入口函數(shù)的第一個(gè)參數(shù)PDRIVER_OBJECT DriverObject typedef struct _DRIVER_OBJECT { CSHORT Type; //驅(qū)動(dòng)程序的類(lèi)型 CSHORT Size;

5、 //驅(qū)動(dòng)對(duì)象結(jié)構(gòu)體的大小 PDEVICE_OBJECT DeviceObject; //指向驅(qū)動(dòng)程序創(chuàng)建的設(shè)備對(duì)象,這些設(shè)備對(duì)象構(gòu)成一個(gè)鏈表 ULONG Flags; //驅(qū)動(dòng)程序標(biāo)志 PV

6、OID DriverStart; //驅(qū)動(dòng)程序映像的起始地址 ULONG DriverSize; //驅(qū)動(dòng)程序映像的大小 PVOID DriverSection;

7、 //指向驅(qū)動(dòng)程序映像的內(nèi)存區(qū)對(duì)象,可以通過(guò)該成員遍歷系統(tǒng)中所有的驅(qū)動(dòng)模塊 PDRIVER_EXTENSION DriverExtension; //指向驅(qū)動(dòng)程序?qū)ο蟮臄U(kuò)展結(jié)構(gòu) UNICODE_STRING DriverName; //驅(qū)動(dòng)的名稱(chēng) PUNICODE_STRING HardwareDatabase;

8、 //設(shè)備的硬件數(shù)據(jù)庫(kù)名,一般為HKEY_LOCAL_MACHINE\Hardware\DESCRIPTION\System PFAST_IO_DISPATCH FastIoDispatch; //指向文件系統(tǒng)以及網(wǎng)絡(luò)傳輸驅(qū)動(dòng)會(huì)用到的派遣函數(shù)的指針表 PDRIVER_INITIALIZE DriverInit; //指向DriverEn

9、try函數(shù),這是IO管理器設(shè)置的 PDRIVER_STARTIO DriverStartIo; //記錄StartIO例程的函數(shù)地址,用于串行化操作. PDRIVER_UNLOAD DriverUnload; //指向驅(qū)動(dòng)卸載時(shí)所用的回調(diào)函數(shù)地址 PDRIVER_DISPATCH MajorFunction[IRP_MJ_MA