《Windows内核编程》---NT驱动程序的基本结构和实例

Windows驱动程序分为两类：一类是不支持即插即用功能的NT式驱动程序；另一类是支持即插即用功能的WDM驱动程序。

NT式驱动的基本结构：

1）驱动加载过程与驱动入口函数DriverEntry：

驱动程序入口点函数通常命名为DriverEntry，也可以指定另外的名字，但最好遵循这个名字：

DRIVER_INITIALIZE DriverEntry;

NTSTATUS DriverEntry(

__in struct _DRIVER_OBJECT *DriverObject, //指向驱动对象的指针

__in PUNICODE_STRING RegistryPath //指向设备服务键的键名字符串的指针

)

{ ... }

DriverEntry主要是对驱动程序进行初始化工作，它是由系统进程所调用的。在Windows中有个特殊的进程叫做系统进程，它是名为System的进程。系统进程在系统启动时就已经被创建了。

驱动加载时，系统进程启动新的线程，调用执行体组件中的对象管理器，创建一个驱动对象，这个驱动对象就是一个DRIVER_OBJECT的结构体。此外，系统进程调用执行体组件中的配置管理程序，查询此驱动程序对应的注册表中的项。

在DriverEntry中，主要功能是对系统进程创建的驱动对象进行初始化。另外，设备服务键的键名有时候需要保存下来，因为这个字符串不是长期存在的（函数返回后可能消失）。这个字符串内容一般是/REGISTRY/MACHINE/SYSTEM/ControlSet/Services/[服务名]

DriverEntry返回值是NTSTATUS的数据，NTSTATUS是被定义为32位的无符号长整型。在驱动开发中，习惯用NTSTATUS返回状态，其中0~0x7FFFFFFF是正确的状态；0x80000000~0xFFFFFFFF是错误的状态。可以使用宏NT_SUCCESS来检测状态的正确性。

注意：DriverEntry参数的修饰“IN(__in)”、“OUT(__out)”、“INOUT(__inout)”在DDK中被定义为空串，它们的功能类似与程序注释：“IN(__in)”表示该参数纯粹用于输入目的；“OUT(__out)”表示该参数仅用于函数的输出参数；“INOUT(__inout)”用于既可以输入又可以输出的参数。

2）创建设备对象：

在NT式驱动中，创建设备对象由IoCreateDevice内核函数完成：

NTSTATUS IoCreateDevice(

__in PDRIVER_OBJECT DriverObject, //指向驱动对象的指针

__in ULONG DeviceExtensionSize, //指定设备扩展的大小（I/O管理器根据这个大小在内存中

//创建设备扩展，并与驱动对象关联）

__in_opt PUNICODE_STRING DeviceName, //设置设备对象的名字

__in DEVICE_TYPE DeviceType, //设置设备对象的类型

__in ULONG DeviceCharacteristics, //设置设备对象的特征

__in BOOLEAN Exclusive, //设置设备对象是否在内核模式下使用，一般设置为TRUE

__out PDEVICE_OBJECT *DeviceObject //I/O管理器负责创建这个设备对象，

//并返回设备对象的地址

);

设备名称用UNICODE字符串指定，并且字符串必须是“/Device/[设备名]”的形式，在Windows下所有设备都是以类似名字命名的，例如磁盘分区的C盘、D盘分别是“/Device/HarddiskVolume1”、“/Device/HarddiskVolume2”。当然也可以不指定设备名字，这时I/O管理器会自动分配一个数字作为设备的设备名：如“/Device/00000001”。

指定的设备名只能被内核模式下的其他驱动所识别，在用户模式下的应用程序是无法识别这个设备的，对此，有两种解决方法：一是通过符号链接找到设备；一是通过设备接口找到设备，这种在NT驱动中很少使用。

符号链接可以理解成为设备对象起一个“别名”。设备对象的名字只能被内核模式驱动识别，而别名可以被用户模式下的应用程序识别。所谓的C盘，指的是名为“C:”的符号链接，其真正的设备对象是“/Device/HarddiskVolume1”。创建符号链接的函数是IoCreateSymbolicLink：

NTSTATUS IoCreateSymbolicLink(

__in PUNICODE_STRING SymbolicLinkName, //符号链接的字符串

__in PUNICODE_STRING DeviceName //设备对象名的字符串

);

在内核模式下，符号链接是以“/??/”开头的（或者是“/DosDevices/”开头），如C盘就是“/??/C:”。而用户模式下则是以//./开头的，如C盘就是//./C:。

3）DriverUnload例程

在驱动对象中会设置DriverUnload例程，此例程在驱动被卸载时被调用。在NT驱动中，DriverUnload一般负责删除在DriverEntry中创建的设备对象，并且将设备对象所关联的符号链接删除，另外，DriverUnload还负责对一些资源进行回收。

下面代码是一个简单的NT式驱动程序，先看头文件HelloDDK.h：

#pragma once

/**

* 这里采用C++语言编写，如果直接包含ntddk.h，函数的符号表

* 会导入错误，所以需要加入extern "C"，以保证符号表的正确导入

*/

#ifdef __cplusplus

extern "C"

{

#endif

#include <NTDDK.h> //所有NT式驱动程序都要包含该头文件

#ifdef __cplusplus

}

#endif

/**

* 定义分页标记、非分页标记和初始化内存块

*/

#define PAGEDCODE code_seg("PAGE")

#define LOCKEDCODE code_seg()

#define INITCODE code_seg("INIT")

#define PAGEDDATA data_seg("PAGE")

#define LOCKEDDATA data_seg()

#define INITDATA data_seg("INIT")

#define ARRAYSIZE(p) (sizeof(p)/sizeof((p)[0]))

/**

* 指定设备扩展结构体，这种结构体广泛应用与驱动程序中

* 根据不同驱动程序的需要，它负责补充定义设备的相关信息

*/

typedef struct _DEVICE_EXTENSION

{

PDEVICE_OBJECT pDevice;

UNICODE_STRING ustrDeviceName; //设备名称

UNICODE_STRING ustrSymLinkName; //符号链接名

}DEVICE_EXTENSION, *PDEVICE_EXTENSION;

/**

* 函数声明

*/

NTSTATUS CreateDevice(IN PDRIVER_OBJECT pDriverObject);

VOID HelloDDKUnload(IN PDRIVER_OBJECT pDriverObject);

NTSTATUS HelloDDKDispatchRoutine(IN PDEVICE_OBJECT pDevObj,

IN PIRP pIrp);

和普通的应用程序不同，Windows驱动程序的入口函数不是main函数，而是一个叫做DriverEntry的函数，DriverEntry函数由内核中的I/O管理器负责调用：

DRIVER_INITIALIZE DriverEntry; （最新版，下面用到的有点不同）

NTSTATUS DriverEntry(

__in struct _DRIVER_OBJECT *DriverObject, //I/O管理器传递进来的驱动对象

__in PUNICODE_STRING RegistryPath //Unicode字符串，指向此驱动负责的注册表

)

{ ... }

代码如下：

#include "HelloDDK.h"

/**

* 函数名称：DriverEntry

* 功能描述：初始化驱动程序，定位和申请硬件资源，创建内核对象

* 参数列表：

* pDriverObject:从I/O管理器中传过来的驱动对象

* pRegistryPath:驱动程序在注册表中的路径

* 返回值：返回初始化驱动状态

*/

#pragma INITCODE //指明此函数是加载到INIT内存区域中，即成功加载后，可以退出内存

extern "C" NTSTATUS DriverEntry(//extern "C"指明按C方式编译成_DriverEntry@8的符号，而非C++方式

IN PDRIVER_OBJECT pDriverObject,

IN PUNICODE_STRING pRegistryPath)

{

NTSTATUS status;

KdPrint(("Enter DriverEntry/n")); //宏，调试版本会用DbgPrint代替，发行版本不执行任何操作

//注册其他驱动调用函数入口

pDriverObject->DriverUnload = HelloDDKUnload;

pDriverObject->MajorFunction[IRP_MJ_CREATE] = HelloDDKDispatchRoutine;

pDriverObject->MajorFunction[IRP_MJ_CLOSE] = HelloDDKDispatchRoutine;

pDriverObject->MajorFunction[IRP_MJ_WRITE] = HelloDDKDispatchRoutine;

pDriverObject->MajorFunction[IRP_MJ_READ] = HelloDDKDispatchRoutine;

//创建驱动设备对象

status = CreateDevice(pDriverObject);

KdPrint(("DriverEntry end/n"));

return status;

}

CreateDevice函数是一个帮助函数，辅助DriverEntry创建一个设备对象。其完全可以展开在DriverEntry中，此处是为了代码的简洁好看：

/**

* 函数名称：CreateDevice

* 功能描述：初始化设备对象

* 参数列表：

* pDriverObject:从I/O管理器中传进来的驱动对象

* 返回值：返回初始化状态

*/

#pragma INITCODE

NTSTATUS CreateDevice(

IN PDRIVER_OBJECT pDriverObject)

{

NTSTATUS status;

PDEVICE_OBJECT pDevObj;

PDEVICE_EXTENSION pDevExt;

//创建设备名称

UNICODE_STRING devName;

RtlInitUnicodeString(&devName, L"//Device//ASCEDDKDevice");

//创建设备对象

status = IoCreateDevice(pDriverObject,

sizeof(DEVICE_EXTENSION),

&(UNICODE_STRING)devName,

FILE_DEVICE_UNKNOWN,

0, TRUE, &pDevObj);

if(!NT_SUCCESS(status))

return status;

//设备对内存的操作分为两种：DO_BUFFERED_IO和DO_DIRECT_IO

pDevObj->Flags |= DO_BUFFERED_IO;

pDevExt = (PDEVICE_EXTENSION)pDevObj->DeviceExtension;

pDevExt->pDevice = pDevObj;

pDevExt->ustrDeviceName = devName;

//创建符号链接。驱动程序虽然有了设备名称，但是这种设备名称只能在内核态可见

//对于应用程序不可见，因此，驱动需要向外界提供一个符号链接，该链接指向真正的设备名称

UNICODE_STRING symLinkName;

RtlInitUnicodeString(&symLinkName, L"//??//HelloDDK");

pDevExt->ustrSymLinkName = symLinkName;

status = IoCreateSymbolicLink(&symLinkName, &devName);

if(!NT_SUCCESS(status))

{

IoDeleteDevice(pDevObj);

return status;

}

return STATUS_SUCCESS;

}

卸载驱动例程用于设备被卸载的情况，由I/O管理器负责调用此回调函数。此例程遍历系统中所有此类设备对象。第一个设备对象的地址存在于驱动对象的DeviceObject域中，每个设备对象的NextDevice域记录着下一个设备对象的地址，这样就形成一个链表。卸载驱动例程的主要目的就是遍历系统中所有此类设备对象，然后删除设备对象以及符号链接：

/**

* 函数名称：HelloDDKUnload

* 功能描述：负责驱动程序的卸载操作

* 参数列表：

* pDriverObject：驱动对象

* 返回值：返回状态

*/

#pragma PAGEDCODE

VOID HelloDDKUnload(IN PDRIVER_OBJECT pDriverObject)

{

PDEVICE_OBJECT pNextObj;

KdPrint(("Enter DriverUnload/n"));

pNextObj = pDriverObject->DeviceObject;

while(pNextObj != NULL)

{

PDEVICE_EXTENSION pDevExt =

(PDEVICE_EXTENSION)pNextObj->DeviceExtension;

//删除符号链接

UNICODE_STRING pLinkName = pDevExt->ustrSymLinkName;

IoDeleteSymbolicLink(&pLinkName);

pNextObj = pNextObj->NextDevice;

IoDeleteDevice(pDevExt->pDevice);

}

}

对设备对象的创建、关闭和读写操作都被指定到以下这个默认的派遣例程中：

/**

* 函数名称：HelloDDKDispatchRoutine

* 功能描述：对读IRP进行处理

* 参数列表：

* pDevObj:功能设备对象

* pIrp:从I/O请求包

* 返回值：返回状态

*/

#pragma PAGEDCODE

NTSTATUS HelloDDKDispatchRoutine(IN PDEVICE_OBJECT pDevObj,

IN PIRP pIrp)

{

KdPrint(("Enter HelloDDKDispatchRoutine/n"));

NTSTATUS status = STATUS_SUCCESS;

//完成IRP

pIrp->IoStatus.Status = status;

pIrp->IoStatus.Information = 0;

IoCompleteRequest(pIrp, IO_NO_INCREMENT);

KdPrint(("Leave HelloDDKDispatchRoutine/n"));

return status;

}