[Windows驱动开发]（四）Windows驱动框架

待我称王封你为后i 2022-09-18 06:53 300阅读 0赞

转自:

[http://blog.csdn.net/baggiowangyu/article/details/7839938][http_blog.csdn.net_baggiowangyu_article_details_7839938]

一、NT式驱动的基本例程

> **1. 驱动入口函数——DriverEntry**
> 
> **\[cpp\]**  [view plain][] [copy][view plain]
> 
> 1.  // 驱动程序的一般性定义  
> 2.    
> 3.  NTSTATUS DriverEntry(IN PDRIVER\_OBJECT pDriverObject, IN PUNICODE\_STRING pRegistryPath);  
> 4.    
> 5.  //   
> 
>   
> DriverEntry的主要工作是对驱动程序进行初始化。它由系统进程System调用的。
> 
> 驱动被加载的时候会创建一个驱动对象，查询此驱动程序对应的注册表项。
> 
> DriverEntry被调用的时候会传进两个参数。他们分别是刚才创建的驱动对象的指针和指向设备服务键的键名字符串指针。这个字符串的内容一般是**\\RESGISTRY\\MACHINE\\SYSTEM\\ControlSet\\Services\\\[服务名\]**。在驱动程序中，字符串一般以UNICODE形式存在：
> 
> **注：设备服务键的键名有时候需要保存下来，当函数返回的时候此值可能会被清空。**
> 
> DriverEntry等内核函数的返回值一般是NTSTATUS类型的。使用宏NT\_SUCCESS(NTSTATUS status)可检测返回状态是否成功。
> 
> 在DriverEntry中，一般需要做一下几件事情：
> 
> > a. 设置驱动卸载例程
> > 
> > b. IRP的派发函数
> > 
> > c. 创建设备对象
> 
> > 其中，驱动卸载例程与IRP派发函数都是对驱动对象设置的。设备对象中有一个MajorFunction数字，用来存放哥哥IRP派发函数的函数指针。
> > 
> > 在NT式驱动中，创建设备对象可以调用IoCreateDevice：
> > 
> > **\[cpp\]**  [view plain][] [copy][view plain]
> > 
> > 1.  // IoCreateDevice在WDK中的定义  
> > 2.    
> > 3.  NTKERNELAPI  
> > 4.  NTSTATUS  
> > 5.  IoCreateDevice(  
> > 6.      \_\_in  PDRIVER\_OBJECT DriverObject,  
> > 7.      \_\_in  **ULONG** DeviceExtensionSize,  
> > 8.      \_\_in\_opt PUNICODE\_STRING DeviceName,  
> > 9.      \_\_in  DEVICE\_TYPE DeviceType,  
> > 10.     \_\_in  **ULONG** DeviceCharacteristics,  
> > 11.     \_\_in  **BOOLEAN** Exclusive,  
> > 12.     \_\_out  
> > 13.     \_\_drv\_out\_deref(  
> > 14.         \_\_drv\_allocatesMem(Mem)  
> > 15.         \_\_drv\_when((((inFunctionClass$("DRIVER\_INITIALIZE"))  
> > 16.              ||(inFunctionClass$("DRIVER\_DISPATCH")))),  
> > 17.              \_\_drv\_aliasesMem)  
> > 18.         \_\_on\_failure(\_\_null))  
> > 19.     PDEVICE\_OBJECT \*DeviceObject  
> > 20.     );  
> > 21.   
> > 22. //  
> > 
> >   
> > 
> > 
> > **DriverObject**：当前驱动对象指针。  
> > 
> > 
> > **DeviceExtensionSize**：设备扩展的大小。IO管理器会根据这个大小在内存中创建设备扩展，并与驱动对象关联。
> > 
> > **DeviceName**：设备对象的名称。
> > 
> > **DeviceCharacteristics**：设备对象的特征。
> > 
> > **Exclusive**：设备对象是否为内核模式下使用，一般固定为TRUE。
> > 
> > **DeviceObject**：创建好的设备对象指针。
> > 
> > **注：设备名称字符串必须是\\Device\\\[设备名\]的形式。**
> > 
> >   
> > 
> > 
> > 让用户态的应用程序能识别设备一般有两种方法：
> > 
> > > a. 符号链接
> > 
> > > b. 设备接口（在NT式驱动很少使用）
> > 
> > 符号链接可以理解为设备对象在用户态的名称。即：设备名称在内核态使用，符号链接在用户态使用。
> > 
> > 创建符号链接可以使用IoCreateSymbolicLink：
> > 
> > **\[cpp\]**  [view plain][] [copy][view plain]
> > 
> > 1.  // IoCreateSymbolicLink在WDK中的定义  
> > 2.    
> > 3.  NTKERNELAPI  
> > 4.  NTSTATUS  
> > 5.  IoCreateSymbolicLink(  
> > 6.      \_\_in PUNICODE\_STRING SymbolicLinkName,  
> > 7.      \_\_in PUNICODE\_STRING DeviceName  
> > 8.      );  
> > 9.    
> > 10. //  
> > 
> >   
> > **SymbolicLinkName**：符号链接名。
> > 
> > **DeviceName**：设备对象名。
> > 
> > **注：在内核态，符号链接是以“\\??\\”或者“\\DosDevices\\”开头的。而在用户模式下则是以“\\\\.\\”开头的。**
> > 
> >   
> > 
> > 
> > 设备扩展在被使用时可使用如下的代码：  
> > 
> > 
> > **\[cpp\]**  [view plain][] [copy][view plain]
> > 
> > 1.  // Code:使用设备扩展  
> > 2.    
> > 3.  PDEVICE\_EXTENSION pDeviceExtension = (PDEVICE\_EXTENSION)pDeviceObject->DeviceExtension;  
> > 4.    
> > 5.  //   
> > 
> >   
> > 
> > 
> > 2. 驱动卸载例程——DriverUnload
> > 
> > 此例程在驱动卸载的时候被调用。在NT式驱动里面负责删除在DriverEntry中创建的设备对象，并且删除与其相关联的符号链接。同时还负责某些资源的回收工作。
> > 
> > 删除设备对象的函数是IoDeleteDevice
> > 
> > **\[cpp\]**  [view plain][] [copy][view plain]
> > 
> > 1.  // IoDeleteDevice在WDK中的定义  
> > 2.    
> > 3.  NTKERNELAPI  
> > 4.  **VOID**  
> > 5.  IoDeleteDevice(  
> > 6.      \_\_in \_\_drv\_mustHold(Memory) \_\_drv\_freesMem(Mem) PDEVICE\_OBJECT DeviceObject  
> > 7.      );  
> > 8.    
> > 9.  //  
> > 
> >   
> > **DeviceObject**：要被删除的设备对象指针。
> > 
> >   
> > 
> > 
> > 删除符号链接的函数是IoDeleteSymbolicLink
> > 
> > **\[cpp\]**  [view plain][] [copy][view plain]
> > 
> > 1.  // IoDeleteSymbolicLink在WDK中的定义  
> > 2.    
> > 3.  NTKERNELAPI  
> > 4.  NTSTATUS  
> > 5.  IoDeleteSymbolicLink(  
> > 6.      \_\_in PUNICODE\_STRING SymbolicLinkName  
> > 7.      );  
> > 8.    
> > 9.  //  
> > 
> > **SymbolicLinkName**：已经被注册的、待删除的符号链接。
> > 
> >   
> > 
> > 
> > 根据驱动对象可以遍历所有由该驱动创建的设备对象。通过驱动对象的DeviceObject域可以找到驱动对象的第一个设备，然后根据设备对象的NextDevice域，就可以找到设备链表中其他的设备对象。
> 
>   
> 
> 
> 二、WDM式驱动的基本例程  
> 
> 
> //
> 
> 在WDM模型中，一个设备的操作至少需要两个设备对象共同来完成。一个是物理设备对象（Physical Device Object，简称PDO），一个是功能设备对象（Function Device Object，简称FDO）。当计算机插入某个设备的时候，总线驱动会自动创建PDO。PDO不能单独操作设备，必须与FDO一起使用。当Windows提示要安装驱动的时候，实际上安装的是WDM驱动程序，负责创建FDO，并附加到PDO上。
> 
> 当一个FDO附加在PDO的时候，PDO的AttachedDevice会记录FDO的位置。PDO是底层驱动（下层驱动），FDO是高层驱动（上层驱动）。
> 
> 在FDO与PDO之间还会存在过滤驱动。在FDO上面的叫做上层过滤驱动，在FDO下层的叫做下层过滤驱动。一个WDM驱动可以有很多个上层过滤驱动和下层过滤驱动。设备对象的StackSize子域表明该设备对象到最下层的物理设备中间还存在的设备对象数。
> 
> **1. WDM驱动的入口函数——DriverEntry**
> 
> 和NT式驱动一样，WDM驱动的入口程序也是DriverEntry。但是创建设备对象的功能并不在DriverEntry中执行，而是交给了新的例程——AddDevice；同时增加了对IRP\_MJ\_PNP处理的派发函数。
> 
> AddDevice例程是WDM特有的，在DriverEntry中需要设置AddDevice例程的函数地址。设置的方式是在驱动对象的DriverExtension子域的AddDevice子域保存AddDevice实际例程的函数地址。AddDevice例程的名字可以随意命名。

> **\[cpp\]**  [view plain][] [copy][view plain]
> 
> 1.  // AddDevice函数声明  
> 2.  NTSTAUS MyAddDevice(IN PDRIVER\_OBJECT pDriverObject, IN PDEVICE\_OBJECT PhysicalDeviceObject)  
> 3.    
> 4.  // 设置AddDevice实际例程的地址  
> 5.  pDriverObject->DriverExtension-> AddDevice = MyAddDevice;  
> 6.    
> 7.  //

> **2. 驱动卸载例程——DriverUnload()**  
> 
> 
> 在WDM驱动中，实际的卸载工作被IRP\_MN\_REMOVE\_DEVICE对应的派发函数处理了，这里的DriverUnload主要处理在DriverEntry中申请的内存。
> 
>   
> 
> 
>     a. IRP\_MN\_REMOVE\_DEVICE处理
> 
>     驱动横须内部是由IRP驱动的，IRP\_MN\_REMOVE\_DEVICE这个IRP是当设备需要被卸载的时候，由即插即用管理器创建，并发送到驱动程序中的。IRP一般由两个号码指定该IRP的具体意义，一个是主IRP号（Major IRP），一个是辅IRP号（Minor IRP）。
> 
>     当设备需要被卸载的时候，会先后发出多个IRP\_MJ\_PNP。这些IRP的辅IRP号会有所不同。其中之一的IRP\_MN\_REMOVE\_DEVICE。
> 
>     在WDM驱动程序中，对设备的卸载一般是在对IRP\_MN\_REMOVE\_DEVICE的出口函数中进行卸载。其除了需要删除学部，取消符号链接外，还需要将FDO从PDO的堆栈中移除。需要调用IoDetachDevice：
> 
> **\[cpp\]**  [view plain][] [copy][view plain]
> 
> 1.  // IoDetachDevice在WDK中的定义：  
> 2.    
> 3.  NTKERNELAPI  
> 4.  **VOID**  
> 5.  IoDetachDevice(  
> 6.      \_\_inout PDEVICE\_OBJECT TargetDevice    // 下层堆栈上的设备对象  
> 7.      );  
> 8.    
> 9.  //   
> 
> 此时，FDO从设备链上删除，但是PDO还在。PDO由操作系统负责删除。   
>   
> 
> 
>   
> 
> 
> >   
> > 
> > 
> > AddDevice基本步骤：
> > 
> > 1. AddDevice通过IoCreateDevice函数创建FDO，创建FDO的符号链接
> > 
> > 2. 在驱动设备扩展保存刚才创建的FDO的地址。
> > 
> > 3. 调用IoAttachDeviceToDeviceStack()将FDO附加到PDO上。

> **\[cpp\]**  [view plain][] [copy][view plain]
> 
> 1.  // IoAttachDeviceToDeviceStack在WDK中的定义  
> 2.    
> 3.  NTKERNELAPI  
> 4.  PDEVICE\_OBJECT  
> 5.  IoAttachDeviceToDeviceStack(  
> 6.      \_\_in \_\_drv\_mustHold(Memory) \_\_drv\_when(**return**!=0, \_\_drv\_aliasesMem)  
> 7.      PDEVICE\_OBJECT SourceDevice,  
> 8.      \_\_in PDEVICE\_OBJECT TargetDevice  
> 9.      );  
> 10.   
> 11. //

> > SourceDevice：FDO附加在PDO上时，这个参数代表FDO。
> > 
> > TargetDevice：被附加的设备。如果在FDO与PDO之间存在过滤驱动，则FDO实际上是附加在过滤驱动上的，过滤驱动则附加在PDO上。
> > 
> > 返回值：返回SourceDevice的下层设备。
> > 
> >   
> > 
> > 
> >   
> > 
> > 
> >   
> >

**\[cpp\]**  [view plain][] [copy][view plain]

1.  // 根据上面的一个设备扩展定义  
2.    
3.  **typedef** **struct** \_DEVICE\_EXTENSION  
4.  \{  
5.      PDEVICE\_OBJECT pFunctionDeviceObject;  // 设备对象（FDO）  
6.      UNICODE\_STRING ustrDeviceName;         // 设备名称  
7.      UNICODE\_STRING ustrSymbolicLinkName;   // 符号链接名  
8.    
9.      PDEVICE\_OBJECT pNextStackDevice;       // 下一个设备对象（FDO）的地址  
10. \} DEVICE\_EXTENSION, \*PDEVICE\_EXTENSION;  
11.   
12.   
13. //

> >   
> > 
> > 
> > 4. 设置设备扩展pFunctionDeviceObject->Flags。
> > 
> >     DO\_BUFFERED\_IO：缓冲内存设备
> > 
> >     ~DO\_DEVICE\_INITIALIZING：这个必须设置，表示完成Flags的初始化。

[http_blog.csdn.net_baggiowangyu_article_details_7839938]: http://blog.csdn.net/baggiowangyu/article/details/7839938
[view plain]: http://blog.csdn.net/baggiowangyu/article/details/7839938#