如何在Windows中获得指向硬件驱动程序的指针？

Question

我想编写一个程序来监视驱动程序中的内存并经常打印内存内容。

但是，我找不到Windows API中的任何资源，似乎可以让我抓住指向特定驱动程序的指针（句柄）。

无论是来自用户空间还是内核空间，我都将不胜感激。

如果你想知道我在做什么 ，我试图复制从结果这个文件，除非在Windows上。 获得监视基本Windows控制台程序中的缓冲区的功能之后，我打算从GPU进行监视。

[记录：我是一名研究生，正在作为一个夏季项目追求这一目标……这是道德的恶意软件研究。]

============更新=================

从技术上讲，这可能更适合作为答案，但直到我有了可行的解决方案后，才真正适合。

我最初的攻击计划是在键盘驱动程序加载时使用WinDbg对其进行动态分析，因此我可以对正常的加载/卸载行为有所了解。 我正在使用本书的第10章，以指导设置测试平台，一旦我对键盘结构及其缓冲区有了更多的了解，我将向后努力以获取对该结构的永久引用，并了解如何将其传递到图形中卡和使用DMA对其进行监视，就像原始论文在Linux上一样。

Answer 1

您不会通过“获取指向特定驱动程序的指针”来解决此问题。 您需要找到位于USB驱动程序顶部的键盘驱动程序使用的特定缓冲区。

您将必须实际使用Windows的键盘和USB驱动程序。 如果您具有DDK（驱动程序开发套件）[aka WDK，Windows Driver Kit]，则可能至少有一部分可用。 对于项目的这一部分，您肯定需要图形驱动程序。

您还必须开发一种驱动程序机制，以将任意（内核）内存块映射到图形驱动程序-这意味着您需要访问图形驱动程序的源代码。 （从理论上讲，您也许可以在页表中进行破解，但是Windows本身并不十分热衷于将页表弄乱，因此，如果系统是SMP，则一定要非常小心，因为修改SMP系统中的页表要求您在更新后刷新系统中“其他” CPU（核心）的TLB。

对我来说，这似乎是一个相当有趣的项目，但在像Windows这样的封闭源代码系统中，这确实是一个艰巨的项目。 至少在Linux中，开发人员具有要读取的源代码。 对于Windows，大多数相关源代码都是完全不可用的（除非您的学校拥有MS源代码的特殊许可-我认为有些这样做）。