基　礎　篇
第1章　內核上機指導 2
1.1 下載和使用WDK 2
1.1.1 下載並安裝WDK 2
1.1.2 編寫第一個C文件 4
1.1.3 編譯一個工程 5
1.2 安裝與運行 6
1.2.1 下載一個安裝工具 6
1.2.2 運行與查看輸齣信息 7
1.2.3 在虛擬機中運行 8
1.3 調試內核模塊 9
1.3.1 下載和安裝WinDbg 9
1.3.2 設置Windows XP調試執行 9
1.3.3 設置Vista調試執行 10
1.3.4 設置VMware的管道虛擬串口 11
1.3.5 設置Windows內核符號錶 12
1.3.6 實戰調試first 13
第2章　內核編程環境及其特殊性 16
2.1 內核編程的環境 16
2.1.1 隔離的應用程序 16
2.1.2 共享的內核空間 17
2.1.3 無處不在的內核模塊 18
2.2 數據類型 19
2.2.1 基本數據類型 19
2.2.2 返迴狀態 19
2.2.3 字符串 20
2.3 重要的數據結構 21
2.3.1 驅動對象 21
2.3.2 設備對象 22
2.3.3 請求 24
2.4 函數調用 25
2.4.1 查閱幫助 25
2.4.2 幫助中有的幾類函數 26
2.4.3 幫助中沒有的函數 28
2.5 Windows的驅動開發模型 29
2.6 WDK編程中的特殊點 30
2.6.1 內核編程的主要調用源 30
2.6.2 函數的多綫程安全性 30
2.6.3 代碼的中斷級 32
2.6.4 WDK中齣現的特殊代碼 32
第3章　字符串與鏈錶 35
3.1 字符串操作 35
3.1.1 使用字符串結構 35
3.1.2 字符串的初始化 36
3.1.3 字符串的拷貝 37
3.1.4 字符串的連接 38
3.1.5 字符串的打印 38
3.2 內存與鏈錶 40
3.2.1 內存的分配與釋放 40
3.2.2 使用LIST_ENTRY 41
3.2.3 使用長長整型數據 43
3.3 自鏇鎖 44
3.3.1 使用自鏇鎖 44
3.3.2 在雙嚮鏈錶中使用自鏇鎖 45
3.3.3 使用隊列自鏇鎖提高性能 46
第4章　文件、注冊錶、綫程 47
4.1 文件操作 47
4.1.1 使用OBJECT_ATTRIBUTES 47
4.1.2 打開和關閉文件 48
4.1.3 文件讀/寫操作 51
4.2 注冊錶操作 53
4.2.1 注冊錶鍵的打開 53
4.2.2 注冊錶鍵值的讀 55
4.2.3　注冊錶鍵值的寫 57
4.3 時間與定時器 58
4.3.1 獲得當前“滴答”數 58
4.3.2 獲得當前係統時間 58
4.3.3 使用定時器 59
4.4 綫程與事件 62
4.4.1 使用係統綫程 62
4.4.2 在綫程中睡眠 63
4.4.3 使用同步事件 64
第5章　應用與內核通信 67
5.1 內核方麵的編程 68
5.1.1 生成控製設備 68
5.1.2 控製設備的名字和符號鏈接 70
5.1.3 控製設備的刪除 71
5.1.4 分發函數 72
5.1.5 請求的處理 73
5.2 應用方麵的編程 74
5.2.1 基本的功能需求 74
5.2.2 在應用程序中打開與關閉設備 75
5.2.3 設備控製請求 75
5.2.4 內核中的對應處理 77
5.2.5 結閤測試的效果 79
5.3 阻塞、等待與安全設計 80
5.3.1 驅動主動通知應用 80
5.3.2 通信接口的測試 81
5.3.3 內核中的緩衝區鏈錶結構 83
5.3.4 輸入：內核中的請求處理中的安全檢查 84
5.3.5 輸齣處理與卸載清理 85
第6章　64位和32位內核開發差異 88
6.1 64位係統新增機製 88
6.1.1 WOW64子係統 88
6.1.2 PatchGuard技術 91
6.1.3 64位驅動的編譯、安裝與運行 91
6.2 編程差異 92
6.2.1 匯編嵌入變化 92
6.2.2 預處理與條件編譯 93
6.2.3 數據結構調整 93
開　發　篇
第7章　串口的過濾 96
7.1 過濾的概念 96
7.1.1 設備綁定的內核API之一 97
7.1.2 設備綁定的內核API之二 98
7.1.3 生成過濾設備並綁定 98
7.1.4 從名字獲得設備對象 100
7.1.5 綁定所有串口 101
7.2 獲得實際數據 102
7.2.1 請求的區分 102
7.2.2 請求的結局 103
7.2.3 寫請求的數據 104
7.3 完整的代碼 105
7.3.1 完整的分發函數 105
7.3.2 如何動態卸載 106
7.3.3 代碼的編譯與運行 107
第8章　鍵盤的過濾 109
8.1 技術原理 110
8.1.1 預備知識 110
8.1.2 Windows中從擊鍵到內核 110
8.1.3 鍵盤硬件原理 112
8.2 鍵盤過濾的框架 112
8.2.1 找到所有的鍵盤設備 112
8.2.2 應用設備擴展 115
8.2.3 鍵盤過濾模塊的DriverEntry 117
8.2.4 鍵盤過濾模塊的動態卸載 117
8.3 鍵盤過濾的請求處理 119
8.3.1 通常的處理 119
8.3.2 PNP的處理 120
8.3.3 讀的處理 121
8.3.4 讀完成的處理 122
8.4 從請求中打印齣按鍵信息 123
8.4.1 從緩衝區中獲得KEYBOARD_INPUT_DATA 123
8.4.2 從KEYBOARD_INPUT_DATA中得到鍵 124
8.4.3 從MakeCode到實際字符 124
8.5 Hook分發函數 126
8.5.1 獲得類驅動對象 126
8.5.2 修改類驅動的分發函數指針 127
8.5.3 類驅動之下的端口驅動 128
8.5.4 端口驅動和類驅動之間的協作機製 129
8.5.5 找到關鍵的迴調函數的條件 129
8.5.6 定義常數和數據結構 130
8.5.7 打開兩種鍵盤端口驅動尋找設備 131
8.5.8 搜索在KbdClass類驅動中的地址 133
8.6 Hook鍵盤中斷反過濾 135
8.6.1 中斷：IRQ和INT 136
8.6.2 如何修改IDT 136
8.6.3 替換IDT中的跳轉地址 137
8.6.4 QQ的PS/2反過濾措施 139
8.7 直接用端口操作鍵盤 139
8.7.1 讀取鍵盤數據和命令端口 139
8.7.2 p2cUserFilter的最終實現 140
第9章　磁盤的虛擬 143
9.1 虛擬的磁盤 143
9.2 一個具體的例子 143
9.3 入口函數 144
9.3.1 入口函數的定義 144
9.3.2 Ramdisk驅動的入口函數 145
9.4 EvtDriverDeviceAdd函數 146
9.4.1 EvtDriverDeviceAdd的定義 146
9.4.2 局部變量的聲明 146
9.4.3 磁盤設備的創建 147
9.4.4 如何處理發往設備的請求 148
9.4.5 用戶配置的初始化 149
9.4.6 鏈接給應用程序 151
9.4.7 小結 152
9.5 FAT12/16磁盤捲初始化 152
9.5.1 磁盤捲結構簡介 152
9.5.2 Ramdisk對磁盤的初始化 154
9.6 驅動中的請求處理 160
9.6.1 請求的處理 160
9.6.2 讀/寫請求 160
9.6.3 DeviceIoControl請求 162
9.7 Ramdisk的編譯和安裝 164
9.7.1 編譯 164
9.7.2 安裝 164
9.7.3 對安裝的深入探究 165
第10章　磁盤的過濾 167
10.1 磁盤過濾驅動的概念 167
10.1.1 設備過濾和類過濾 167
10.1.2 磁盤設備和磁盤捲設備過濾驅動 167
10.1.3 注冊錶和磁盤捲設備過濾驅動 168
10.2 具有還原功能的磁盤捲過濾驅動 168
10.2.1 簡介 168
10.2.2 基本思想 169
10.3 驅動分析 169
10.3.1 DriverEntry函數 169
10.3.2 AddDevice函數 170
10.3.3 PnP請求的處理 174
10.3.4 Power請求的處理 178
10.3.5 DeviceIoControl請求的處理 178
10.3.6 bitmap的作用和分析 182
10.3.7 boot驅動完成迴調函數和稀疏文件 187
10.3.8 讀/寫請求的處理 190
第11章　文件係統的過濾與監控 199
11.1 文件係統的設備對象 200
11.1.1 控製設備與捲設備 200
11.1.2 生成自己的一個控製設備 201
11.2 文件係統的分發函數 202
11.2.1 普通的分發函數 202
11.2.2 文件過濾的快速IO分發函數 203
11.2.3 快速IO分發函數的一個實現 205
11.2.4 快速IO分發函數逐個簡介 206
11.3 設備的綁定前期工作 207
11.3.1 動態地選擇綁定函數 207
11.3.2 注冊文件係統變動迴調 208
11.3.3 文件係統變動迴調的一個實現 209
11.3.4 文件係統識彆器 211
11.4 文件係統控製設備的綁定 212
11.4.1 生成文件係統控製設備的過濾設備 212
11.4.2 綁定文件係統控製設備 213
11.4.3 利用文件係統控製請求 215
11.5 文件係統捲設備的綁定 217
11.5.1 從IRP中獲得VPB指針 217
11.5.2 設置完成函數並等待IRP完成 218
11.5.3 捲掛載IRP完成後的工作 221
11.5.4 完成函數的相應實現 223
11.5.5 綁定捲的實現 224
11.6 讀/寫操作的過濾 226
11.6.1 設置一個讀處理函數 226
11.6.2 設備對象的區分處理 227
11.6.3 解析讀請求中的文件信息 228
11.6.4 讀請求的完成 230
11.7 其他操作的過濾 234
11.7.1 文件對象的生存周期 234
11.7.2 文件的打開與關閉 235
11.7.3 文件的刪除 237
11.8 路徑過濾的實現 238
11.8.1 取得文件路徑的三種情況 238
11.8.2 打開成功後獲取路徑 238
11.8.3 在其他時刻獲得文件路徑 240
11.8.4 在打開請求完成之前獲得路徑名 240
11.8.5 把短名轉換為長名 242
11.9 把sfilter編譯成靜態庫 243
11.9.1 如何方便地使用sfilter 243
11.9.2 初始化迴調、卸載迴調和綁定迴調 244
11.9.3 綁定與迴調 245
11.9.4 插入請求迴調 246
11.9.5 如何利用sfilter.lib 249
第12章　文件係統透明加密 252
12.1 文件透明加密的應用 252
12.1.1 防止企業信息泄密 252
12.1.2 文件透明加密防止企業信息泄密 253
12.1.3 文件透明加密軟件的例子 253
12.2 區分進程 254
12.2.1 機密進程與普通進程 254
12.2.2 找到進程名字的位置 255
12.2.3 得到當前進程的名字 256
12.3 內存映射與文件緩衝 257
12.3.1 記事本的內存映射文件 257
12.3.2 Windows的文件緩衝 258
12.3.3 文件緩衝：明文還是密文的選擇 259
12.3.4 清除文件緩衝 260
12.4 加密標識 263
12.4.1 保存在文件外、文件頭還是文件尾 263
12.4.2 隱藏文件頭的大小 264
12.4.3 隱藏文件頭的設置偏移 266
12.4.4 隱藏文件頭的讀/寫偏移 267
12.5 文件加密錶 267
12.5.1 何時進行加密操作 267
12.5.2 文件控製塊與文件對象 268
12.5.3 文件加密錶的數據結構與初始化 269
12.5.4 文件加密錶的操作：查詢 270
12.5.5 文件加密錶的操作：添加 271
12.5.6 文件加密錶的操作：刪除 272
12.6 文件打開處理 273
12.6.1 直接發送IRP進行查詢與設置操作 274
12.6.2 直接發送IRP進行讀/寫操作 276
12.6.3 文件的非重入打開 277
12.6.4 文件的打開預處理 280
12.7 讀/寫加密和解密 285
12.7.1 在讀取時進行解密 285
12.7.2 分配與釋放MDL 286
12.7.3 寫請求加密 287
12.8 crypt_file的組裝 289
12.8.1 crypt_file的初始化 289
12.8.2 crypt_file的IRP預處理 290
12.8.3 crypt_file的IRP後處理 293
第13章　文件係統微過濾驅動 297
13.1 文件係統微過濾驅動簡介 297
13.1.1 文件係統微過濾驅動的由來 297
13.1.2 Minifilter的優點與不足 298
13.2 Minifilter的編程框架 298
13.2.1 微文件係統過濾的注冊 299
13.2.2 微過濾器的數據結構 300
13.2.3 卸載迴調函數 303
13.2.4 預操作迴調函數 303
13.2.5 後操作迴調函數 306
13.2.6 其他迴調函數 307
13.3 Minifilter如何與應用程序通信 309
13.3.1 建立通信端口的方法 310
13.3.2 在用戶態通過DLL使用通信端口的範例 311
13.4 Minifilter的安裝與加載 314
13.4.1 安裝Minifilter的INF文件 314
13.4.2 啓動安裝完成的Minifilter 316
第14章　網絡傳輸層過濾 317
14.1 TDI概要 317
14.1.1 為何選擇TDI 317
14.1.2 從socket到Windows內核 318
14.1.3 TDI過濾的代碼例子 319
14.2 TDI的過濾框架 319
14.2.1 綁定TDI的設備 319
14.2.2 唯一的分發函數 320
14.2.3 過濾框架的實現 322
14.2.4 主要過濾的請求類型 323
14.3 生成請求：獲取地址 324
14.3.1 過濾生成請求 324
14.3.2 準備解析IP地址與端口 326
14.3.3 獲取生成的IP地址和端口 327
14.3.4 連接終端的生成與相關信息的保存 329
14.4 控製請求 330
14.4.1 TDI_ASSOCIATE_ADDRESS的過濾 330
14.4.2 TDI_CONNECT的過濾 332
14.4.3 其他的次功能號 333
14.4.4 設置事件的過濾 334
14.4.5 TDI_EVENT_CONNECT類型的設置事件的過濾 336
14.4.6 直接獲取發送函數的過濾 337
14.4.7 清理請求的過濾 339
14.5 本書例子tdifw.lib的應用 341
14.5.1 tdifw庫的迴調接口 341
14.5.2 tdifw庫的使用例子 342
第15章　Windows過濾平颱 345
15.1 WFP簡介 345
15.2 WFP框架 345
15.3 基本對象模型 347
15.3.1 過濾引擎 347
15.3.2 墊片 347
15.3.3 呼齣接口 347
15.3.4 分層 348
15.3.5 子層 349
15.3.6 過濾器 350
15.3.7 呼齣接口迴調函數 354
15.4 WFP操作 359
15.4.1 呼齣接口的注冊與卸載 360
15.4.2 呼齣接口的添加與移除 360
15.4.3 子層的添加與移除 361
15.4.4 過濾器的添加 362
15.5 WFP過濾例子 362
第16章　NDIS協議驅動 370
16.1 以太網包和網絡驅動架構 370
16.1.1 以太網包和協議驅動 370
16.1.2 NDIS網絡驅動 371
16.2 協議驅動的DriverEntry 372
16.2.1 生成控製設備 372
16.2.2 注冊協議 374
16.3 協議與網卡的綁定 375
16.3.1 協議與網卡的綁定概念 375
16.3.2 綁定迴調處理的實現 376
16.3.3 協議綁定網卡的API 378
16.3.4 解決綁定競爭問題 379
16.3.5 分配接收和發送的包池與緩衝池 380
16.3.6 OID請求的發送和請求完成迴調 381
16.3.7 ndisprotCreateBinding的最終實現 385
16.4 綁定的解除 390
16.4.1 解除綁定使用的API 390
16.4.2 ndisprotShutdownBinding的實現 392
16.5 在用戶態操作協議驅動 395
16.5.1 協議的收包與發包 395
16.5.2 在用戶態編程打開設備 396
16.5.3 用DeviceIoControl發送控製請求 397
16.5.4 用WriteFile發送數據包 399
16.5.5 用ReadFile發送數據包 400
16.6 在內核態完成功能的實現 402
16.6.1 請求的分發與實現 402
16.6.2 等待設備綁定完成與指定設備名 402
16.6.3 指派設備的完成 403
16.6.4 處理讀請求 406
16.6.5 處理寫請求 408
16.7 協議驅動的接收迴調 412
16.7.1 和接收包有關的迴調函數 412
16.7.2 ReceiveHandler的實現 413
16.7.3 TransferDataCompleteHandler的實現 417
16.7.4 ReceivePacketHandler的實現 418
16.7.5 接收數據包的入隊 420
16.7.6 接收數據包的齣隊和讀請求的完成 422
第17章　NDIS小端口驅動 427
17.1 小端口驅動的應用與概述 427
17.1.1 小端口驅動的應用 427
17.1.2 小端口驅動示例 428
17.1.3 小端口驅動的運作與編程
概述 429
17.2 小端口驅動的初始化 429
17.2.1 小端口驅動的DriverEntry 429
17.2.2 小端口驅動的適配器結構 431
17.2.3 配置信息的讀取 433
17.2.4 設置小端口適配器上下文 433
17.2.5 MPInitialize的實現 434
17.2.6 MPHalt的實現 437
17.3 打開ndisprot設備 438
17.3.1 IO目標 438
17.3.2 給IO目標發送DeviceIoControl請求 439
17.3.3 打開ndisprot接口並完成配置設備 441
17.4 使用ndisprot發送包 443
17.4.1 小端口驅動的發包接口 443
17.4.2 發送控製塊（TCB） 444
17.4.3 遍曆包組並填寫TCB 446
17.4.4 寫請求的構建與發送 449
17.5 使用ndisprot接收包 451
17.5.1 提交數據包的內核API 451
17.5.2 從接收控製塊（RCB）提交包 452
17.5.3 對ndisprot讀請求的完成函數 454
17.5.4 讀請求的發送 456
17.5.5 用於讀包的WDF工作任務 457
17.5.6 ndisedge讀工作任務的生成與入列 459
17.6 其他的特徵迴調函數的實現 461
17.6.1 包的歸還 461
17.6.2 OID查詢處理的直接完成 462
17.6.3 OID設置處理 465
第18章　NDIS中間層驅動 467
18.1 NDIS中間層驅動概述 467
18.1.1 Windows網絡架構總結 467
18.1.2 NDIS中間層驅動簡介 468
18.1.3 NDIS中間層驅動的應用 469
18.1.4 NDIS包描述符結構深究 470
18.2 中間層驅動的入口與綁定 473
18.2.1 中間層驅動的入口函數 473
18.2.2 動態綁定NIC設備 474
18.2.3 小端口初始化（MpInitialize） 475
18.3 中間層驅動發送數據包 477
18.3.1 發送數據包原理 477
18.3.2 包描述符“重利用” 478
18.3.3 包描述符“重申請” 481
18.3.4 發送數據包的異步完成 482
18.4 中間層驅動接收數據包 484
18.4.1 接收數據包概述 484
18.4.2 用PtReceive接收數據包 485
18.4.3 用PtReceivePacket接收 490
18.4.4 對包進行過濾 491
18.5 中間層驅動程序查詢和設置 494
18.5.1 查詢請求的處理 494
18.5.2 設置請求的處理 496
18.6 NDIS句柄 498
18.6.1 不可見的結構指針 498
18.6.2 常見的NDIS句柄 499
18.6.3 NDIS句柄誤用問題 500
18.6.4 一種解決方案 502
18.7 生成普通控製設備 503
18.7.1 在中間層驅動中添加普通設備 503
18.7.2 使用傳統方法來生成控製設備 505
第19章　IA-32匯編基礎 511
19.1 x86內存、寄存器與堆棧 511
19.1.1 _asm關鍵字 511
19.1.2 x86中的mov指令 512
19.1.3 x86中的寄存器與內存 512
19.1.4 賦值語句的實現 513
19.2 x86中函數的實現 514
19.2.1 一個函數的例子 514
19.2.2 堆棧的介紹 515
19.2.3 寄存器的備份和恢復 516
19.2.4 內部變量與返迴值 518
19.3 x86中函數的調用與返迴 521
19.3.1 函數的調用指令call 521
19.3.2 通過堆棧傳遞參數 521
19.3.3 從函數返迴 523
19.3.4 三種常見的調用協議 524
19.4 從32位匯編到64位匯編 526
19.4.1 Intel 64與IA-32體係架構簡介 526
19.4.2 64位指令與32位指令 526
19.4.3 通用寄存器 527
19.5 64位下的函數實現 528
19.5.1 函數概覽 528
19.5.2 32位參數的傳遞 529
19.5.3 64位參數與返迴值 530
19.5.4 棧空間的開闢與恢復 531
第20章　IA-32體係中的內存地址 534
20.1 內存的虛擬地址 534
20.1.1 C語言中的內存地址 534
20.1.2 虛擬地址的構成 535
20.1.3 段的選擇 536
20.2 全局描述符錶和段描述符 538
20.2.1 全局描述符錶 538
20.2.2 段類型 539
20.2.3 段寄存器與段選擇子 540
20.2.4 64位模式下的段 541
20.3 分段編程實踐 542
20.3.1 係統錶寄存器的結構 542
20.3.2 在匯編語言中獲取全局描述錶的位置 543
20.3.3　調試範例：sgdt指令的錯誤使用 545
20.3.4 在64位下獲得全局描述符錶 547
20.4 綫性地址基礎 549
20.4.1 分頁控製機製 550
20.4.2 綫性地址的轉換 551
20.4.3 混閤頁麵大小 552
20.4.4 32位物理地址的頁目錄和頁錶項 552
20.5 各種特殊分頁方式 555
20.5.1 PAE分頁方式 555
20.5.2 PSE-36分頁機製 558
20.5.3 IA-32e模式下的綫性地址 559
20.6 分頁編程實踐 562
20.6.1 頁目錄和頁目錄指針錶的獲取 562
20.6.2 頁錶的獲取 564
20.6.3 綫性地址的結構 567
第21章　處理器權限級彆切換 571
21.1 Ring0和Ring3權限級彆 571
21.2 保護模式下的分頁內存保護 572
21.3 分頁內存不可執行保護 574
21.3.1 不可執行保護原理 574
21.3.2 不可執行保護的漏洞 575
21.3.3 上機實踐 577
21.4 權限級彆的切換 579
21.4.1 調用門及其漏洞 579
21.4.2 sysenter和sysexit指令 581
21.4.3 上機實踐 583
第22章　IA-32體係結構中的中斷 585
22.1 中斷基礎知識 585
22.1.1 中斷描述符錶 585
22.1.2 中斷處理過程 587
22.1.3 64位模式下的中斷處理機製 589
22.1.4 多核下的中斷 589
22.2 Windows中斷機製 593
22.3 中斷編程實踐 596
22.3.1 IDT Hook 596
22.3.2 巧用IDT Hook實現安全防護 598
第23章　Windows內核掛鈎 601
23.1 係統服務描述符錶掛鈎 602
23.1.1 係統服務描述符錶（SSDT） 602
23.1.2 係統服務描述符錶掛鈎的意圖 603
23.1.3 尋找要掛鈎的函數的地址 604
23.1.4 函數被掛鈎的過程 605
23.1.5 具體實現的代碼 606
23.2 函數導齣錶掛鈎 608
23.2.1 內核函數的種類 608
23.2.2 掛鈎IoCallDriver 610
23.2.3 對跳轉地址進行修改 611
23.3 Windows 7係統下IofCallDriver的跟蹤 612
23.4 Windows 7係統下內聯掛鈎 615
23.4.1 寫入跳轉指令並拷貝代碼 615
23.4.2 實現中繼函數 617
高　級　篇
第24章　Windows通知與迴調 620
24.1 Windows的事件通知與迴調 620
24.2 常用的事件通知 620
24.2.1 創建進程通知 621
24.2.2 創建綫程通知 625
24.2.3 加載模塊通知 626
24.2.4 注冊錶操作通知 629
24.3 Windows迴調機製 636
24.3.1 迴調對象 636
24.3.2 迴調對象的創建 637
24.3.3 迴調對象的注冊 637
24.3.4 迴調的通告 638
24.4 安全的死角，迴調的應用 639
第25章　保護進程 640
25.1 內核對象簡介 640
25.2 內核對象的結構 641
25.3 保護內核對象 642
25.3.1 處理對象的打開 643
25.3.2 處理句柄的復製 644
25.3.3 處理句柄的繼承 646
25.4 進程的保護 652
25.4.1 保護原理 652
25.4.2 Vista以後的進程對象保護 654
25.4.3 進程的其他保護 655
附錄A　如何使用本書的源碼光盤 656
附錄B　練習題 659
· · · · · · (收起)