[英]WDM driver and user-mode communication: best practices and callback questions
驱动程序的目的是将收到的每个回调通知用户模式应用程序,并将从这些已注册例程获取的数据传递给它。 然后,用户模式应用程序将从内核接收到的所有信息都打印在屏幕上(这是一个简单的Win32控制台应用程序)。 我目前注册了三个回调: PsSetCreateProcessNotifyRoutineEx
, PsSetCreateProcessNotifyRoutineEx2
和PsSetLoadImageNotifyRoutine
。 我想知道:
1)考虑到可以同时加载许多进程和许多映像,哪种是在内核模式和用户模式之间进行通信的“最佳”方法?
2)我应该为每个呼叫实现这样的方法还是应该存储一些信息,并且每隔0.5秒将它们推送到用户模式?
我实际上使用以下代码在驱动程序中定义IOCTL:
#define IOCTL_RECEIVE CTL_CODE(FILE_DEVICE_UNKNOWN, 0x802, METHOD_BUFFERED, FILE_READ_DATA)
这是我的DispatchDeviceControl函数的代码:
NTSTATUS DispatchDeviceControl(PDEVICE_OBJECT DeviceObject, PIRP Irp)
{
KIRQL CurrentIRQL = KeGetCurrentIrql();
DbgPrint("DispatchDeviceControl called at IRQL level: %d", CurrentIRQL);
PIO_STACK_LOCATION irpsp = IoGetCurrentIrpStackLocation(Irp);
NTSTATUS status = STATUS_SUCCESS;
PVOID buffer = Irp->AssociatedIrp.SystemBuffer;
ULONG inLength = irpsp->Parameters.DeviceIoControl.InputBufferLength;
ULONG outLength = irpsp->Parameters.DeviceIoControl.OutputBufferLength;
ULONG returnLength = 0;
pMsg PMSG = NULL;
switch (irpsp->Parameters.DeviceIoControl.IoControlCode)
{
case IOCTL_RECEIVE:
DbgPrint("IOCTL_RECEIVE message sent\n");
KeWaitForSingleObject(&kEvent, Executive, KernelMode, 0, NULL);
PMSG = (pMsg)ExInterlockedRemoveHeadList(&listhead, &spinlock);
// Copy data to the buffer
RtlCopyMemory((PCHAR)buffer, (PCHAR)PMSG, sizeof(Msg));
// Release the structure
ExFreePool(PMSG);
// Set returnLength
returnLength = sizeof(Msg);
break;
default:
status = STATUS_INVALID_PARAMETER;
}
Irp->IoStatus.Status = status;
Irp->IoStatus.Information = returnLength;
IoCompleteRequest(Irp, IO_NO_INCREMENT);
return status;
}
和我的回调例程之一的代码:
_Use_decl_annotations_
VOID prcmPsCreateProcessNotifyRoutineEx2(PEPROCESS Process, HANDLE ProcessId, PPS_CREATE_NOTIFY_INFO CreateInfo)
{
// If process is exiting, just return immediately
if (CreateInfo == NULL)
return;
pMsg PMSG = (pMsg)ExAllocatePoolWithTag(NonPagedPoolNx, sizeof(Msg), 'prcm');
if (PMSG == NULL)
{
DbgPrint("PsCreateProcessNotifyRoutineEx2: ERROR allocating Pool space for data to be sent to user mode\n");
return;
}
// Fill data
PMSG->ParentId = NULL;
PMSG->ProcessId = ProcessId;
PMSG->FullImageName = NULL;
ExInterlockedInsertHeadList(&listhead, (PLIST_ENTRY)PMSG, &spinlock);
KeSetEvent(&kEvent, 0, FALSE);
return;
}
最后是struct定义(我提供了一些示例值,但第一个元素显然是LIST_ENTRY
:
typedef struct {
LIST_ENTRY listhead;
HANDLE ParentId;
HANDLE ProcessId;
PUNICODE_STRING FullImageName;
} Msg, *pMsg;
供您参考,我正确调用了DriverEntry
函数:
KeInitializeEvent(&kEvent, SynchronizationEvent, FALSE);
KeInitializeSpinLock(&spinlock);
InitializeListHead(&listhead);
在我的用户模式控制台应用程序中,我在主例程中创建一个线程,并在其相对线程函数中不断检查DeviceIoControl
的返回值,以便实时打印从驱动程序获得的信息。
3)有点偏离主题,但我认为这是相关的:使用此代码,在用户模式下错过一些通知是否正常? 有人知道为什么吗?
OSR撰写了一篇很棒的文章, 《反向调用模型》 。 这种系统的基本设计包括服务,驱动程序和两者之间的某些协议。 它与单片驱动程序以及分层驱动程序一起使用,仅要求驱动程序能够接收设备控制操作。
我还想提到您同时使用了PsSetCreateProcessNotifyRoutineEx和PsSetCreateProcessNotifyRoutineEx2。 您应该使用其中一个。 从Windows 10版本1703 Windows Server 2016开始支持PsSetCreateProcessNotifyRoutineEx2。 它提供了更好的功能,因此,我建议尽可能使用它。
您可以通过使用MmGetSystemRoutinAddress来动态使用PsSetCreateProcessNotifyRoutineEx2来确定使用哪个(如果不可用),然后使用PsSetCreateProcessNotifyRoutineEx。
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.