1、Version 1.0extern“C”#include extern CNTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegistryPath)NTSTATUS status=STATUS_UNSUCCESSFUL;KdPrint(Hello World!);return status;NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegistryPath)return status;参数参数Drive
2、rObject表示指向表示指向驱动对象驱动对象的指针；的指针；参数参数RegistryPath表示该驱动所对应的注册表表示该驱动所对应的注册表服务键服务键的子目录的子目录 返回值表示初始化是否成功返回值表示初始化是否成功 Windows内核输出的内核输出的内核内核API函数函数；DDK提供的运行时间库提供的运行时间库 其它驱动程序提供的服务其它驱动程序提供的服务 Windows的的用户模式用户模式API函数函数；ISO规定的规定的C/C+标准函数库标准函数库 MAKEFILE文件，一般不作改动文件，一般不作改动 Sources文件文件：(1)指示了整个工程由哪些源程序和指示了整个工程由哪些源程
3、序和资源文件构成资源文件构成;(2)包含了主要的编译参数，指导包含了主要的编译参数，指导编译器和链接器的工作。编译器和链接器的工作。.cpp文件和文件和.h文件文件 方法方法1：在注册表：在注册表HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices下增加一下增加一个新的项目。可以将该个新的项目。可以将该服务服务指定为指定为开机自启动开机自启动，也，也可以指定为可以指定为按需启动按需启动。如果是按需启动，则可以用。如果是按需启动，则可以用net start命令启动，用命令启动，用net stop命令停止。命令停止。方法方法2：编写另外的用户模式程序利
4、用：编写另外的用户模式程序利用SCM函数按函数按需启动。需启动。方法方法3：在调试阶段可以利用第三方的工具如：在调试阶段可以利用第三方的工具如：DriverMoniter和和IntallDriver随时安装和卸载。随时安装和卸载。必须编写一个必须编写一个安装指示文件安装指示文件(.inf)指导指导Windows将驱将驱动程序安装到指定位置动程序安装到指定位置(一般安装在一般安装在windowssystem32drivers子目录下子目录下)，并在注册表，并在注册表中进行登记。中进行登记。对于对于即插即用即插即用类设备的驱动，操作系统会自动发现类设备的驱动，操作系统会自动发现该设备并调用该设备并
5、调用“添加新硬件添加新硬件”程序向用户询问相应程序向用户询问相应的的inf文件的位置。文件的位置。对于非即插即用类设备的驱动，用户必须自己手动对于非即插即用类设备的驱动，用户必须自己手动调用调用“添加新硬件添加新硬件”程序，并通过告诉该程序程序，并通过告诉该程序inf文文件的位置。件的位置。设备类型、设备型号、厂商信息、程序版本号设备类型、设备型号、厂商信息、程序版本号。对操作系统版本和对操作系统版本和CPU类型的要求类型的要求 源文件源文件(.sys文件文件)的文件名和所在位置的文件名和所在位置 安装目标子目录安装目标子目录 在注册表中添加哪些内容在注册表中添加哪些内容 硬件配置信息硬件配置
6、信息 安全配置信息安全配置信息 在操作系统首次装载一个驱动程序之后，它会创建在操作系统首次装载一个驱动程序之后，它会创建一个数据结构用来记录该驱动，该数据结构我们称一个数据结构用来记录该驱动，该数据结构我们称为为驱动对象驱动对象(Driver Object)。驱动对象驱动对象记录与驱动程序本身相关的信息，它主要记录与驱动程序本身相关的信息，它主要包含了除了包含了除了DriverEntry之外的其它驱动程序入口之外的其它驱动程序入口函数的入口地址。（函数的入口地址。（驱动程序是一种具有多个入口驱动程序是一种具有多个入口函数的程序函数的程序）驱动对象是由操作系统创建，然后作为驱动对象是由操作系统创
7、建，然后作为DriverEntry的第一个参数传递给你的程序。的第一个参数传递给你的程序。在获得驱动对象的指针之后，你的程序需要对其中在获得驱动对象的指针之后，你的程序需要对其中的一些字段进行初始化。的一些字段进行初始化。驱动对象在驱动对象在DDK的头文件的头文件(ntddk.h)中按如下方式中按如下方式定义：。定义：。typedefstruct_DRIVER_OBJECTCSHORTType;CSHORTSize;DRIVER_OBJECT,*PDRIVER_OBJECT;由上面的定义可以看成，驱动对象不同于由上面的定义可以看成，驱动对象不同于C+中的中的Class，它只是一个，它只是一个S
8、truct。DriverStartIo(PDRIVER_STARTIO):指向指向StartIO入口函数的指针入口函数的指针.DriverUnload(PDRIVER_UNLOAD)：指向：指向DriverUnload入口函数的指针。在驱动程序被从内入口函数的指针。在驱动程序被从内存中卸载时，存中卸载时，DriverUnload入口函数会被操作系统入口函数会被操作系统调用，你应该在该函数内部做一些与调用，你应该在该函数内部做一些与DriverEntry向对应的资源清除工作。向对应的资源清除工作。MajorFunction(一个数组，数组中每一元素又是一一个数组，数组中每一元素又是一个指向函数的
9、指针个指向函数的指针 PDRIVER_DISPATCH)：数组：数组中每一个指针指向一个入口函数。在接收到不同的中每一个指针指向一个入口函数。在接收到不同的请求包请求包(IRP)时，时，OS会调用不同的入口函数。会调用不同的入口函数。DeviceObject(PDEVICE_OBJECT):指向一个链表指向一个链表的指针，该链表中每一个节点都存储了一个的指针，该链表中每一个节点都存储了一个FDO对对象。每一个象。每一个FDO都代表一个由该驱动维护的硬件设都代表一个由该驱动维护的硬件设备实例。备实例。在在WDM模型中，该链表由模型中，该链表由OS自动维护自动维护。DriverExtension(
10、PDRIVER_EXTENSION)：指向：指向另外一个结构体，该结构体中唯一有用的字段为另外一个结构体，该结构体中唯一有用的字段为 AddDevice。AddDevice字段指向一个入口函数。字段指向一个入口函数。在操作系统发现一个新的设备实例时，它会自动调在操作系统发现一个新的设备实例时，它会自动调用用AddDevice函数，你应该在该函数中做一些与设函数，你应该在该函数中做一些与设备实例相关的初始化工作。备实例相关的初始化工作。在操作系统创建的在操作系统创建的驱动对象驱动对象中填写其它中填写其它入口函数入口函数的地址，的地址，使得操作系统在必要的时候能够找到这些入口函数并调用使得操作系统
11、在必要的时候能够找到这些入口函数并调用它们。它们。创建一个或多个设备对象，并将这些对象挂接在驱动对象创建一个或多个设备对象，并将这些对象挂接在驱动对象所指示的链表上。（只针对所指示的链表上。（只针对NT型驱动）型驱动）与该设备相关的其他初始化工作与该设备相关的其他初始化工作VOID(*PDRIVER_UNLOAD)(INPDRIVER_OBJECTDriverObject);VOID(*PDRIVER_STARTIO)(INPDEVICE_OBJECTDeviceObject,INPIRPIrp);NTSTATUS(*PDRIVER_DISPATCH)(INPDEVICE_OBJECTDevi
12、ceObject,INPIRPIrp);NTSTATUS(*PDRIVER_ADD_DEVICE)(INPDRIVER_OBJECTDriverObject,INPDEVICE_OBJECTPhysicalDeviceObject);删除以链表形式挂接在删除以链表形式挂接在驱动对象驱动对象上的一个或多个上的一个或多个 设备对象设备对象。（只针对。（只针对NT型驱动）型驱动）进行与进行与DriverEntry函数中相对应的函数中相对应的反初始化反初始化工作。工作。例如如果在例如如果在DriverEntry函数中申请了堆内存，那函数中申请了堆内存，那么在么在DriverUnload函数中应该释放该
13、堆内存。函数中应该释放该堆内存。VOIDDriverUnload(PDRIVER_OBJECTDriverObject)RtlFreeUnicodeString(&servkey);extern“C”#include VOID HelloDDKUnload(IN PDRIVER_OBJECT pDriverObject);NTSTATUS HelloDDKDispatchRoutine(IN PDEVICE_OBJECT pDevObj,IN PIRP pIrp);extern C NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject,IN
14、PUNICODE_STRING pRegistryPath)NTSTATUS status=STATUS_SUCCESS;KdPrint(Enter DriverEntryn);KdPrint(RegistryPath:%wZn,pRegistryPath);pDriverObject-DriverUnload=HelloDDKUnload;pDriverObject-MajorFunctionIRP_MJ_CREATE=HelloDDKDispatchRoutine;pDriverObject-MajorFunctionIRP_MJ_CLOSE=HelloDDKDispatchRoutine
15、;pDriverObject-MajorFunctionIRP_MJ_WRITE=HelloDDKDispatchRoutine;pDriverObject-MajorFunctionIRP_MJ_READ=HelloDDKDispatchRoutine;KdPrint(Leave DriverEntryn);return status;VOID HelloDDKUnload(IN PDRIVER_OBJECT pDriverObject)KdPrint(Enter DriverUnloadn);KdPrint(Leave DriverUnloadn);NTSTATUS HelloDDKDis
16、patchRoutine(IN PDEVICE_OBJECT pDevObj,IN PIRP pIrp)NTSTATUS status=STATUS_SUCCESS;KdPrint(Enter HelloDDKDispatchRoutinen);KdPrint(Leave HelloDDKDispatchRoutinen);return status;针对每一个硬件设备，针对每一个硬件设备，Windows都需要用一个数据都需要用一个数据结构来记录它的相关信息，这个数据结构就叫做结构来记录它的相关信息，这个数据结构就叫做 设备对象设备对象(Devcie Object)。因为一个驱动程序可以同时管
17、理多个同类型的硬件因为一个驱动程序可以同时管理多个同类型的硬件设备，因此设备，因此一个驱动对象可以对应多个设备对象一个驱动对象可以对应多个设备对象。对应同一个驱动对象的多个设备对象构成一个链表对应同一个驱动对象的多个设备对象构成一个链表挂接在驱动对象的挂接在驱动对象的DeviceObject字段上。字段上。设备对象由驱动程序负责创建和初始化，由操作系设备对象由驱动程序负责创建和初始化，由操作系统负责保存和管理。统负责保存和管理。设备对象可以有名字，其他驱动程序或应用程序可设备对象可以有名字，其他驱动程序或应用程序可以通过该名字找到该设备对象。以通过该名字找到该设备对象。DriverObject
18、(PDRIVER_OBJECT)：指向与该设备：指向与该设备对象相对应的驱动对象的指针。对象相对应的驱动对象的指针。NextDevice(PDEVICE_OBJECT)：指向下一个设：指向下一个设备对象的指针，利用该字段与同一个驱动对象对应备对象的指针，利用该字段与同一个驱动对象对应的多个设备对象就可以构成一个单链表，该链表最的多个设备对象就可以构成一个单链表，该链表最后挂接在驱动对象的后挂接在驱动对象的DeviceObject字段上。字段上。Flags(ULONG)：保存了一些标志位，这些标志位：保存了一些标志位，这些标志位指示了该设备的一些工作方式。指示了该设备的一些工作方式。DO_BUF
19、FERED_IO Reads and writes use the buffered method(system copy buffer)for accessing user-mode data.DO_DIRECT_IO Reads and writes use the direct method(memory descriptor list)for accessing user-mode data.DO_EXCLUSIVEOnly one thread at a time is allowed to open a-handle.DO_DEVICE_INITIALIZING Device ob
20、ject isnt initialized yet.DO_POWER_PAGABLE IRP_MJ_PNP must be handled at PASSIVE_LEVEL.DO_POWER_INRUSH Device requires large inrush of current during power-on.Characteristics(ULONG)：另外一组标志位集合。另外一组标志位集合。DeviceExtension(PVOID)：指向一个扩展内存区，：指向一个扩展内存区，该内存区的大小和使用方式由程序员规定。一般在该内存区的大小和使用方式由程序员规定。一般在该区域存放一个自定义
21、的结构体，用于存储硬件设该区域存放一个自定义的结构体，用于存储硬件设备特有的信息。今后称该结构体为备特有的信息。今后称该结构体为设备扩展对象设备扩展对象。该扩展内存区由操作系统负责创建并维护。该扩展内存区由操作系统负责创建并维护。DeviceType(DEVICE_TYPE)：一个枚举型变量，：一个枚举型变量，指明该设备的类型指明该设备的类型 (FILE_DEVICE_UNKNOWN)AlignmentRequirement(ULONG)：指定该设备使用：指定该设备使用内存时的对齐方式内存时的对齐方式(FILE_BYTE_ALIGNMENT、FILE_WORD_ALIGNMENT FILE_5
22、12_BYTE_ALIGNMENT)利用内核利用内核API函数函数 IoCreateDevice创建设备对象。创建设备对象。OS负责申负责申请并管理设备对象所需内存，并对其中的一些字段按照输请并管理设备对象所需内存，并对其中的一些字段按照输入参数做了初始化，最后入参数做了初始化，最后OS将其挂接在设备对象链表上。将其挂接在设备对象链表上。NTSTATUSIoCreateDevice(INPDRIVER_OBJECTDriverObject,/设备对象所对应的驱动对象设备对象所对应的驱动对象INULONGDeviceExtensionSize,/设备扩展区的大小设备扩展区的大小INPUNICOD
23、E_STRINGDeviceNameOPTIONAL,/设备对象名称设备对象名称INDEVICE_TYPEDeviceType,/设备类型设备类型INULONGDeviceCharacteristics,/设备对象特征设备对象特征INBOOLEANExclusive,/一般设为一般设为TRUEOUTPDEVICE_OBJECT*DeviceObject/由操作系统创建的设备对象由操作系统创建的设备对象 /的起始地址利用该参数返回的起始地址利用该参数返回);在在WDM驱动中，如果接收到驱动中，如果接收到 IRP_MN_REMOVE_DEVICE 消息，消息，则应删除设备对象；在则应删除设备对象；
24、在NT式驱动中，在式驱动中，在DriverUnload函数中函数中删除设备对象。删除设备对象。在创建设备对象之后如果出错也应该及时删除对象。在创建设备对象之后如果出错也应该及时删除对象。通过调用内核通过调用内核API函数函数IoDeleteDevice 删除设备对象删除设备对象NTSTATUSstatus=IoCreateDevice(.);if(!NT_SUCCESS(status)returnstatus;.if()IoDeleteDevice(pdo);returnstatus;Windows系统中有一个称为系统中有一个称为“对象管理器对象管理器”的执行的执行模块复杂集中管理系统中所有的
25、内核对象，其中包模块复杂集中管理系统中所有的内核对象，其中包括括驱动对象驱动对象和和设备对象设备对象。对象管理器给大多数内核对象都起了名字，并把这对象管理器给大多数内核对象都起了名字，并把这些名字组织为具有些名字组织为具有树形结构的命名空间树形结构的命名空间。设备对象一般都位于该命名空间的设备对象一般都位于该命名空间的Device子目录下子目录下 其他内核模块和驱动程序都可以通过设备的名字获其他内核模块和驱动程序都可以通过设备的名字获得该设备对象的指针得该设备对象的指针(利用利用IoGetDeviceObjectPointer)，并通过该指针向驱动对象发送并通过该指针向驱动对象发送IRP。用户
26、模式的应用程序对用户模式的应用程序对Device子目录没有访问权子目录没有访问权 为了给自己的设备对象命名，必须将名字存放在一为了给自己的设备对象命名，必须将名字存放在一个个UNCODE_STRING型的字符串中，并将其作为型的字符串中，并将其作为IoCreateDevice的第的第3个参数传入。个参数传入。UNICODE_STRINGdevname;RtlInitUnicodeString(&devname,LDeviceSimple0);IoCreateDevice(DriverObject,sizeof(DEVICE_EXTENSION),&devname,.);因为应用程序只能访问因为
27、应用程序只能访问Windows内核对象空间中的内核对象空间中的“?”子目录，而对对子目录，而对对Device子目录没有访问权限，子目录没有访问权限，因此必须在因此必须在“?”子目录中创建一个符号链接，将子目录中创建一个符号链接，将其指向其指向Device子目录中的名字。子目录中的名字。符号链接就类似于符号链接就类似于Windows文件系统中的快捷方式文件系统中的快捷方式 创建符号链接的方法是调用创建符号链接的方法是调用IoCreateSymbolicLinkUNICODE_STRINGdevname;UNICODE_STRINGlinkname;RtlInitUnicodeString(&de
28、vname,LDeviceSimple0);RtlInitUnicodeString(&linkname,L“?Simple1);IoCreateDevice(DriverObject,sizeof(DEVICE_EXTENSION),&devname,.);RtlInitUnicodeString(&targname,LDeviceSimple0);IoCreateSymbolicLink(&linkname,&devname);在用户模式下在用户模式下“?”子目录叫做子目录叫做“.”子目录，因子目录，因此通过此通过“.”子目录下的符号链接名就可以找到设备子目录下的符号链接名就可以找到设备对
29、象，并打开指向设备对象的句柄。对象，并打开指向设备对象的句柄。hDevice=CreateFile(.Simple1,GENERIC_WRITE|GENERIC_READ,FILE_SHARE_WRITE|FILE_SHARE_READ,NULL,OPEN_EXISTING,0,NULL);ReadFile(hDevice,lpBuffer,.);WriteFile(hDevice,lpBuffer,.);.设置设备扩展对象的内容设置设备扩展对象的内容 设置设备对象的设置设备对象的flags字段设定该设备的工作方式。字段设定该设备的工作方式。fdo-AlignmentRequirement=.
30、fdo-Flags=DO_BUFFERED_IODO_POWER_PAGABLE;创建设备对象栈创建设备对象栈(可选可选)等所有准备工作做完之后一定要清除等所有准备工作做完之后一定要清除flags字段的字段的DO_DEVICE_INITIALIZING标志告诉标志告诉OS可以接收可以接收IRP了了fdo-Flags&=DO_DEVICE_INITIALIZING;Windows应用程序与应用程序与WDM通信的一般过程是：应用程序先用通信的一般过程是：应用程序先用CreateFile函数打开设备，然后用函数打开设备，然后用ReadFile从从WDM中读取数据，中读取数据，用用WriteFile函
31、数向函数向WDM写数据，用写数据，用DeviceIoControl函数向函数向WDM发发送自定义的控制信息，最后用送自定义的控制信息，最后用CloseHandle函数关闭设备。对函数关闭设备。对于异步于异步IO请求还可以用请求还可以用CancelIo函数取消。函数取消。这些函数调用使得这些函数调用使得IO管理器产生相应的管理器产生相应的IRP发送给驱动程序发送给驱动程序Win32函数函数IRP主功能代码主功能代码Parameters结构结构CreateFileIRP_MJ_CREATECreateReadFileIRP_MJ_READReadWriteFileIRP_MJ_WRITEWriteDeviceIoControlIRP_MJ_DEVICE_CONTROLDeviceIoControlCloseHandleIRP_MJ_CLOSE/CLEANUPClose
