windows 驱动开发入门——驱动中的数据结构

最近在学习驱动编程方面的内容，在这将自己的一些心得分享出来，供大家参考，与大家共同进步，本人学习驱动主要是通过两本书——《独钓寒江 windows安全编程》 和 《windows驱动开发技术详解》。
驱动开发过程中，主要使用的C语言，虽说C中定义了许多数据类型，但是一般来说在编码上还是习惯与使用WDK的规范，虽说这个不是必须的，比如有这样一句

unsigned long ul = 0;

这个数据的大小根据不同的机器不同的编译器环境略有不同，这样代码就产生了不可控的行为，但是WDK上专门定义了相关的宏，环境不同，只需要修改一下宏定义，这样就避免了这个问题。
在这列举一些常用的数据类型，以免以后在编写代码或者查看例子代码时犯迷糊：

普通数据类型

#define ULONG unsigned long
#define UCHAR unsigned char
#define UINT unsigned int
#define VOID void
#define PULONG unsigned *
#define PUCHAR unsigned char*
#define PUINT unsigned int*
#define PVOID void* 

字符串类型

在驱动的编程中，为字符串操作专门定义了一个数据类型UNICODE_STRING ANSI_STRING，他们的定义大致相同，只是一个是表示UNICODE字符串，一个表示ANSI字符串，下面主要来说明一下UNICODE_STRING

typedef struct _UNICODE_STRING {
    USHORT Length; // 字符串的中字符所占的内存大小
    USHORT MaximumLength;//用来存储字符串缓冲的大小
    PWCHAR   Buffer;//缓冲的地址
} UNICODE_STRING;

这个结构体在使用是需要注意的是上述两个大小单位是字节数而不是字符个数，另外在操作UNICODE_STRING 的时候只是简单的操作Buffer指向的内存，并不会特意的为其分配另外的空间，字符串处理函数主要有这样几个：

RtlInitUnicodeString(&uStr1, str1);
RtlCopyUnicodeString(&uStr1, &uStr2);
RtlAppendUnicodeToString(&uStr1, str1);
RtlAppendUnicodeStringToString(&uStr1, &uStr2);
RtlCompareUnicodeString(&uStr1, &uStr2, TRUE/FALSE);
RtlAnsiStringToUnicodeString(&uStr1, &aStr1, TRUE/FALSE);
RtlFreeUnicodeString(&uStr1);

这些函数从字面上就可以知道它们是干什么用的，需要注意的是，除了Init，这些函数只是简单的操作Buffer已指向的内存，并不会改变指针的指向。所以在使用时要特别注意不要试图改变静态常量区的内容，也要特别注意指向的内存是在栈中还是在堆中。下面是一个简单的例子：

    UNICODE_STRING uStr1 = { 0 };
    UNICODE_STRING uStr2 = { 0 };
    UNICODE_STRING uStr3 = { 0 };

    ANSI_STRING aStr = { 0 };
    RtlInitUnicodeString(&uStr1, L"Hello");
    RtlInitUnicodeString(&uStr2, L"Goodbye");

    //打印字符串结构用%Z表示%wZ表示是宽字符
    DbgPrint("uStr1 = %wZ\n", &uStr1);
    DbgPrint("uStr2 = %wZ\n", &uStr2);

    RtlInitAnsiString(&aStr, "Hello World");
    DbgPrint("aStr = %Z\n", &aStr);

    /*这个操作是由于uStr3中的Buffer指向NULL，所以会失败*/
    RtlCopyUnicodeString(&uStr3, &uStr1);
    DbgPrint("uStr3 = %wZ\n", &uStr3); //失败

    /*下面两个失败是由于Str1 Str2 指向的是字符串常量区，不可修改*/
    RtlAppendUnicodeToString(&uStr1, &uStr2);
    DbgPrint("uStr1 = %wZ\n", &uStr1); //失败

    RtlAppendUnicodeStringToString(&uStr1, L"World");
    DbgPrint("uStr1 = %wZ\n", &uStr1); //失败

LARGE_INTEGER

这个结构就像它的名字一样，用来表示一个比较大的整数，它的定义如下：

typedef union _LARGE_INTEGER {  
    struct {    
        DWORD LowPart;    
        LONG HighPart;  
    };  
    struct {    
    DWORD LowPart;    
    LONG HighPart;  
    } u;  
    LONGLONG QuadPart;
} LARGE_INTEGER,  *PLARGE_INTEGER;

这是一个公用体，可以认为它是由两部分组成高32位的HighPart和低32位的LowPart，它分了高位优先和低位优先两种情况，也可以认为它是一个64位的整形。在使用时根据需求来决定

NTSTATUS

绝大多数驱动函数都返回这个值，用来表示当前处理的状态，一般STATUS_SUCCESS表示成功，其余的都表示失败。微软根据不同情况定义了它的状态值，一般常用的有下面几个

另外在使用WinDbg进行调试的时候，一般都会得到函数调用的错误码，根据错误码可以找到对应的错误信息，微软提供了一种解决方案：

LPVOID lpMessageBuffer;
HMODULE Hand = LoadLibrary(_T("NTDLL.DLL"));
DWORD dwErrCode = 0;
//获取错误码

FormatMessage( 
    FORMAT_MESSAGE_ALLOCATE_BUFFER | 
    FORMAT_MESSAGE_FROM_SYSTEM | 
    FORMAT_MESSAGE_FROM_HMODULE,
    Hand, 
    dwErrCode,  
    MAKELANGID(LANG_NEUTRAL, SUBLANG_DEFAULT),
    (LPTSTR) &lpMessageBuffer,  
    0,  
    NULL );

// Now display the string.
// Free the buffer allocated by the system.
LocalFree( lpMessageBuffer ); 
FreeLibrary(Hand);

驱动对象

驱动程序的入口函数是DriverEntry，函数会传入一个驱动对象的指针——PDRIVER_OBJECT，每个驱动都有一个唯一的驱动对象，就好像每个Win32应用程序有一个唯一的实例句柄。它的定义如下：

typedef struct _DRIVER_OBJECT {
    CSHORT Type;
    CSHORT Size;
    PDEVICE_OBJECT DeviceObject;
    ULONG Flags;
    PVOID DriverStart;
    ULONG DriverSize;
    PVOID DriverSection;
    PDRIVER_EXTENSION DriverExtension;
    UNICODE_STRING DriverName;
    PUNICODE_STRING HardwareDatabase;
    PFAST_IO_DISPATCH FastIoDispatch;
    PDRIVER_INITIALIZE DriverInit;
    PDRIVER_STARTIO DriverStartIo;
    PDRIVER_UNLOAD DriverUnload;
    PDRIVER_DISPATCH MajorFunction[IRP_MJ_MAXIMUM_FUNCTION + 1];
} DRIVER_OBJECT;

下面主要对几个重要的部分做介绍：
1. DeviceObject：保存的是驱动中设备对象的指针，另外每个设备对象又有一个指向下一个设备对象的指针，这样同一个驱动程序中的不同设备对象就构成了一个链表
2. DriverName：这个里面存储的是驱动程序的名称，该字符串一般为“\Driver\驱动名称”
3. HardwareDatabase：这里记录的是设备的硬件数据库键名，这个数据库一般是注册表，字符串一般为“REGISTRY\MACHINE\HARDWARE\DESCRIPTION\SYSTEM”
4. DriverStartIo：记录StartIo这个例程回调函数的地址
5. DriverUnload：当驱动卸载时会调用这个指针所指向的函数
6. MajorFunction，这是一个回调函数的指针数组，处理IRP包的不同请求，就好像应用层里面的消息处理函数，根据不同的请求，调用不同的函数。

设备对象

在windows平台将每个设备抽象为一个设备对象，驱动层一般通过设备对象来操作具体的设备，每个驱动可以有多个设备对象。

typedef struct DECLSPEC_ALIGN(MEMORY_ALLOCATION_ALIGNMENT) _DEVICE_OBJECT {
    ...
    struct _DRIVER_OBJECT *DriverObject;
    struct _DEVICE_OBJECT *NextDevice;
    struct _DEVICE_OBJECT *AttachedDevice;
    struct _IRP *CurrentIrp;
    ULONG Flags;
    PVOID DeviceExtension;
    DEVICE_TYPE DeviceType;
    CCHAR StackSize;
    ...
} DEVICE_OBJECT;

设备对象本身定义是十分复杂的，在这我们只列举出部分，以后写程序会经常使用的部分，下面是对这些部分的说明：
1. DriverObject： 指向所属驱动的驱动对象的指针
2. NextDevice：指向下一个设备驱动的指针
3. AttachedDevice：指向它被附加的驱动的指针，设备对象之上还可以在附加上其他的设备对象，这样每当有消息传来时总会由附加在它之上的设备对象处理，然后才会交由它自身处理，这个指针就是指向附加在它之上的设备对象的指针
4. CurrentIrp：指向当前IRP域的指针
5. Flags：表名该设备的一些标志信息，主要有下面几个值：

6. DeviceExtension：指向一块扩展的内存，系统允许用户在创建设备对象时自定义一块区域用来保存结构体中没有但是用户自己感兴趣的内容。在驱动程序中需要尽量避免使用全局变量，所以可以通过使用这块扩展内存来传输全局变量
7. DeviceType：驱动的类型，主要有下面几个值

在创建设备对象时如果不知道这个设备对象是何种类型，可以直接给FILE_DEVICE_UNKNOWN；
8. StackSize：之前说到过，设备对象存在附加的情况，附加时每个设备对象会存储它上层的设备对象的指针，这样就形成了类似堆栈的结构，而这个值就表示从该设备对象到栈底还有多少个设备对象
为了便于理解我们做了这样一个示意图：