IO_STACK_LOCATION说明

转自http://hi.baidu.com/pinemoon/blog/item/01fa8c19fbccb7f0af513398.html

 

 

来自《《Rootkits:Subverting the Windows Kernel》学习笔记---第六章》

这一章讲的是驱动程序分层。分层?呵呵,没啥,就像网络协议一样,分为一层层。其实写过程序的人都会用过“分层”写程序,把一个程序分为一层一层地实现,这是一个相当简单的概念。

驱动与设备之间的关系:

 

IRP(I/O请求报文):

IRP是一个大型结构,由windows内核的I/O管理器分配,用来在驱动程序中传递数据。对于分层的驱动程序,它们会注册到一个链中(我们会叫驱动程序链)。如果我们向该驱动程序链发出I/O请求,内核就会创建一个IRP并将它依次传递给该链中的所有驱动程序。位于最顶端的驱动程序最先接收到该IRP,位于最底端的驱动程序最后接收到该IRP,然后又会依次往上传。I/O管理器会知道我们驱动程序有几个分层,它会按照这个数目分配IO_STACK_LOCATION,每一层的驱动程序都使用专属于自己的IO_STACK_LOCATION。这么多的IO_STACK_LOCATION排列起来就是一个数组。IRP的头部有一个当前IO_STACK_LOCATION的数组索引,同时也有一个指向该IO_STACK_LOCATION的指针。索引是从1开始,没有0。当驱动程序准备向次低层驱动程序传递IRP时可以调用IoCallDriver例程,它其中的一个工作是递减当前IO_STACK_LOCATION的索引,使之与下一层的驱动程序匹配。但该索引不会设置成0,如果设置成0,系统将会崩溃。就是说,最底层的驱动程序不会调用IoCallDriver例程。

 

 

 

另一张图:

 

 

 

 

一个过滤驱动程序必须支持在它之下的驱动程序的相同功能。以下是一个简单的DEMO,只是将所有IRP传递到次低层的驱动程序。

NTSTATUS MyPassThru(PDEVICE_OBJECT theCurrentDeviceObject, PIRP theIRP) { IoSkipCurrentIrpStackLocation(theIRP); Return IoCallDriver(gNextDevice, theIRP); } ... for(int i = 0; i < IRP_MJ_MAXIMUM_FUNCTION; i++) pDriverObject->MajorFunction[i] = MyPassThru; ...

上面这段代码会使下一层的驱动接到IRP时,指向当前IO_STACK_LOCATION的指针并没有改变,这主要是因为IoSkipCurrentIrpStackLocation函数。它实际上是递增了指针的值,然后IoCallDriver又会递减,因此总的净变化是0,就体现出指针没有改变。这是使下一层驱动使用上一层IO_STACK_LOCATION的一个技巧。

后面是两个分层驱动程序例子的分析,这里就不把代码贴出来了。

---EOF---

 

你可能感兴趣的:(Windows驱动)