IO_STACK_LOCATION说明

转自http://hi.baidu.com/pinemoon/blog/item/01fa8c19fbccb7f0af513398.html

 

 

来自《《Rootkits:Subverting the Windows Kernel》学习笔记---第六章》

这一章讲的是驱动程序分层。分层？呵呵，没啥，就像网络协议一样，分为一层层。其实写过程序的人都会用过“分层”写程序，把一个程序分为一层一层地实现，这是一个相当简单的概念。

驱动与设备之间的关系：

 

IRP(I/O请求报文)：

IRP是一个大型结构，由windows内核的I/O管理器分配，用来在驱动程序中传递数据。对于分层的驱动程序，它们会注册到一个链中（我们会叫驱动程序链）。如果我们向该驱动程序链发出I/O请求，内核就会创建一个IRP并将它依次传递给该链中的所有驱动程序。位于最顶端的驱动程序最先接收到该IRP，位于最底端的驱动程序最后接收到该IRP，然后又会依次往上传。I/O管理器会知道我们驱动程序有几个分层，它会按照这个数目分配IO_STACK_LOCATION，每一层的驱动程序都使用专属于自己的IO_STACK_LOCATION。这么多的IO_STACK_LOCATION排列起来就是一个数组。IRP的头部有一个当前IO_STACK_LOCATION的数组索引，同时也有一个指向该IO_STACK_LOCATION的指针。索引是从1开始，没有0。当驱动程序准备向次低层驱动程序传递IRP时可以调用IoCallDriver例程，它其中的一个工作是递减当前IO_STACK_LOCATION的索引，使之与下一层的驱动程序匹配。但该索引不会设置成0，如果设置成0，系统将会崩溃。就是说，最底层的驱动程序不会调用IoCallDriver例程。

 

 

 

另一张图：

 

 

 

 

一个过滤驱动程序必须支持在它之下的驱动程序的相同功能。以下是一个简单的DEMO，只是将所有IRP传递到次低层的驱动程序。

NTSTATUS MyPassThru(PDEVICE_OBJECT theCurrentDeviceObject, PIRP theIRP) { IoSkipCurrentIrpStackLocation(theIRP); Return IoCallDriver(gNextDevice, theIRP); } ... for(int i = 0; i < IRP_MJ_MAXIMUM_FUNCTION; i++) pDriverObject->MajorFunction[i] = MyPassThru; ...

上面这段代码会使下一层的驱动接到IRP时，指向当前IO_STACK_LOCATION的指针并没有改变，这主要是因为IoSkipCurrentIrpStackLocation函数。它实际上是递增了指针的值，然后IoCallDriver又会递减，因此总的净变化是0，就体现出指针没有改变。这是使下一层驱动使用上一层IO_STACK_LOCATION的一个技巧。

后面是两个分层驱动程序例子的分析，这里就不把代码贴出来了。

---EOF---