高手进阶windows内核定时器之一
谈到定时器在ring3下有一个，启动和关闭都比较简单，通过两个api函数SetTimer和KillTimer来完成的。对于ring0中的定时器，稍微复杂一些。
Ring0 下的定时器有两个，今天我们先看一个。
即：利用I/O定时器例程实现的。用于进行固定的1秒时间间隔的操作定时。对应的函数有三个。
在IoInitializeTimer 函数中，我们设置回调函数，回调函数定义格式如下：
VOID (*PIO_TIMER_ROUTINE) (
IN PDEVICE_OBJECT DeviceObject,
IN PVOID Context
);
说明如下：
对于这三个函数，我们用windbg看看都作了些什么工作。
一、NTSTATUS IoInitializeTimer(
IN PDEVICE_OBJECT DeviceObject,
IN PIO_TIMER_ROUTINE TimerRoutine,
IN PVOID Context
);
typedef struct _IO_TIMER
{
SHORT Type;
SHORT TimerFlag;
LIST_ENTRY TimerList;
PVOID TimerRoutine;
PVOID Context;
PDEVICE_OBJECT DeviceObject;
} IO_TIMER, *PIO_TIMER;
lkd> u IoInitializeTimer l 50
nt!IoInitializeTimer:
80569792 8bff mov edi,edi
80569794 55 push ebp
80569795 8bec mov ebp,esp
80569797 56 push esi
80569798 8b7508 mov esi,dword ptr [ebp+8] ;参数1，DeviceObject
8056979b 8b5618 mov edx,dword ptr [esi+18h];DeviceObject->Timer
8056979e 85d2 test edx,edx
;判断DEVICE_OBJECT中的Timer是否为null. 如果为空则为其申请内存，然后再初始化
805697a0 7530 jne nt!IoInitializeTimer+0x40 (805697d2)
805697a2 68496f5469 push 69546F49h ;"IoTI"
805697a7 6a18 push 18h
805697a9 52 push edx
805697aa e8d1bcfdff call nt!ExAllocatePoolWithTag (80545480)
805697af 8bd0 mov edx,eax
805697b1 85d2 test edx,edx
805697b3 7507 jne nt!IoInitializeTimer+0x2a (805697bc)
;如果申请内存不成功则，直接返回STATUS_INSUFFICIENT_RESOURCES
805697b5 b89a0000c0 mov eax,0C000009Ah
805697ba eb36 jmp nt!IoInitializeTimer+0x60 (805697f2)
;内存申请成功，则初始化申请的24字节内存为0，IO_TIMER大小为24字节
805697bc 57 push edi
805697bd 6a06 push 6
805697bf 59 pop ecx
805697c0 33c0 xor eax,eax
805697c2 8bfa mov edi,edx
805697c4 f3ab rep stos dword ptr es:[edi]
805697c6 66c7020900 mov word ptr [edx],9 ;设置IO_TIMER.Type
;将参数1，DeviceObject赋值给IO_TIMER.DeviceObject
805697cb 897214 mov dword ptr [edx+14h],esi
;DeviceObject->Timer 指向刚申请的IO_TIMER内存
805697ce 895618 mov dword ptr [esi+18h],edx
805697d1 5f pop edi
;开始初始化DeviceObject->Timer
805697d2 8b450c mov eax,dword ptr [ebp+0Ch] ;取TimerRoutine参数
;设置IO_TIMER.TimerRoutine = 参数2,TimerRoutine
805697d5 89420c mov dword ptr [edx+0Ch],eax
;取参数3 Context
805697d8 8b4510 mov eax,dword ptr [ebp+10h]
;设置IO_TIMER.Context = 参数3 Context
805697db 894210 mov dword ptr [edx+10h],eax
805697de 6844b35480 push offset nt!IopTimerLock (8054b344) ;参数3
805697e3 83c204 add edx,4 ;参数2
805697e6 b9601e5580 mov ecx,offset nt!IopTimerQueueHead (80551e60) ;参数1
805697eb e8f893fdff call nt!ExfInterlockedInsertTailList (80542be8);调用
805697f0 33c0 xor eax,eax
805697f2 5e pop esi
805697f3 5d pop ebp
805697f4 c20c00 ret 0Ch
下面看看ExfInterlockedInsertTailList函数：
PLIST_ENTRY _fastcall
ExfInterlockedInsertTailList(PLIST_ENTRY ListHead , PLIST_ENTRY
ListEntry , PKSPIN_LOCK Lock ) ;
由于采用fastcall调用约定， ecx = ListHead ,edx = ListEntry ,[ebp+8] = 参数3
该函数功能是把IO_TIMER.TimerList加入对象链表。
nt!ExfInterlockedInsertTailList:
80542be8 9c pushfd
80542be9 fa cli
;eax = ListHead.Blink
80542bea 8b4104 mov eax,dword ptr [ecx+4]
; ListEntry.Flink = ListHead
80542bed 890a mov dword ptr [edx],ecx
; ListEntry.Blink = ListHead.Blink
80542bef 894204 mov dword ptr [edx+4],eax
;ListHead.Blink = ListEntry
80542bf2 895104 mov dword ptr [ecx+4],edx
;ListHead.Blink Flink = ListEntry
80542bf5 8910 mov dword ptr [eax],edx
80542bf7 9d popfd
80542bf8 33c1 xor eax,ecx
80542bfa 7402 je nt!ExfInterlockedInsertTailList+0x16 (80542bfe)
80542bfc 33c1 xor eax,ecx
80542bfe c20400 ret 4
其中，ListHead 对应于
805697e6 b9601e5580 mov ecx,offset nt!IopTimerQueueHead (80551e60) ;参数1
这个ListHead是:
lkd> dd 80551e60
80551e60 89aaf434 8987852c
其中：ListHead.Flink = 89aaf434, ListHead.Blink = 8987852c
二、VOID IoStartTimer(
IN PDEVICE_OBJECT DeviceObject
);
lkd> u IoStartTimer l 30
nt!IoStartTimer:
804f02da 8bff mov edi,edi
804f02dc 55 push ebp
804f02dd 8bec mov ebp,esp
804f02df 8b4d08 mov ecx,dword ptr [ebp+8] ;取参数
804f02e2 8b4118 mov eax,dword ptr [ecx+18h];取DeviceObject->Timer
;取DeviceObject->DeviceObjectExtension
804f02e5 8b89b0000000 mov ecx,dword ptr [ecx+0B0h]
;DeviceObject->DeviceObjectExtension.ExtensionFlags = 0Fh
804f02eb f641100f test byte ptr [ecx+10h],0Fh
804f02ef 7515 jne nt!IoStartTimer+0x2c (804f0306)
804f02f1 fa cli
;DeviceObject->Timer.TimerFlag与0比较
804f02f2 6683780200 cmp word ptr [eax+2],0
804f02f7 750c jne nt!IoStartTimer+0x2b (804f0305) ; != 0跳
;DeviceObject->Timer.TimerFlag = 1
804f02f9 66c740020100 mov word ptr [eax+2],1
;计数变量+1
804f02ff ff05f41d5580 inc dword ptr [nt!IoAdapterObjectType+0x4 (80551df4)]
804f0305 fb sti
804f0306 5d pop ebp
804f0307 c20400 ret 4
三，VOID IoStopTimer(
IN PDEVICE_OBJECT DeviceObject
);
lkd> u IoStopTimer l 20
nt!IoStopTimer:
804f0310 8bff mov edi,edi
804f0312 55 push ebp
804f0313 8bec mov ebp,esp
804f0315 8b4508 mov eax,dword ptr [ebp+8] ;取参数
804f0318 8b4018 mov eax,dword ptr [eax+18h];取DeviceObject->Timer
804f031b fa cli
;DeviceObject->Timer.TimerFlag与0比较
804f031c 6683780200 cmp word ptr [eax+2],0
804f0321 740b je nt!IoStopTimer+0x1e (804f032e) ；=0跳
;DeviceObject->Timer.TimerFlag = 0
804f0323 6683600200 and word ptr [eax+2],0
;计数变量-1
804f0328 ff0df41d5580 dec dword ptr [nt!IopTimerCount (80551df4)]
804f032e fb sti
804f032f 5d pop ebp
804f0330 c20400 ret 4
总结：通过上述分析可以看出这个定时器跟一个驱动程序创建的设备对象相关联，一个设备只能对应一个这样的定时器。定时器的启停在于DeviceObject->Timer.TimerFlag值。并且这个Timer位于DeviceObject->Timer。