驅動開發:內核字元串拷貝與比較

来源:https://www.cnblogs.com/LyShark/archive/2022/09/29/16740467.html
-Advertisement-
Play Games

在上一篇文章`《驅動開發:內核字元串轉換方法》`中簡單介紹了內核是如何使用字元串以及字元串之間的轉換方法,本章將繼續探索字元串的拷貝與比較,與應用層不同內核字元串拷貝與比較也需要使用內核專用的API函數,字元串的拷貝往往伴隨有內核記憶體分配,我們將首先簡單介紹內核如何分配堆空間,然後再以此為契機簡介字... ...


在上一篇文章《驅動開發:內核字元串轉換方法》中簡單介紹了內核是如何使用字元串以及字元串之間的轉換方法,本章將繼續探索字元串的拷貝與比較,與應用層不同內核字元串拷貝與比較也需要使用內核專用的API函數,字元串的拷貝往往伴隨有內核記憶體分配,我們將首先簡單介紹內核如何分配堆空間,然後再以此為契機簡介字元串的拷貝與比較。

首先內核中的堆棧分配可以使用ExAllocatePool()這個內核函數實現,此外還可以使用ExAllocatePoolWithTag()函數,兩者的區別是,第一個函數可以直接分配記憶體,第二個函數在分配時需要指定一個標簽,此外內核屬性常用的有兩種NonPagedPool用於分配非分頁記憶體,而PagePool則用於分配分頁記憶體,在開發中推薦使用非分頁記憶體,因為分頁記憶體數量有限。

記憶體分配使用ExAllocatePool函數,記憶體拷貝可使用RtlCopyMemory函數,需要註意該函數其實是對Memcpy函數的包裝。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	UNICODE_STRING uncode_buffer = { 0 };

	DbgPrint("hello lyshark \n");

	wchar_t * wchar_string = L"hello lyshark";

	// 設置最大長度
	uncode_buffer.MaximumLength = 1024;

	// 分配記憶體空間
	uncode_buffer.Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024);

	// 設置字元長度 因為是寬字元,所以是字元長度的 2 倍
	uncode_buffer.Length = wcslen(wchar_string) * 2;

	// 保證緩衝區足夠大,否則程式終止
	ASSERT(uncode_buffer.MaximumLength >= uncode_buffer.Length);

	// 將 wchar_string 中的字元串拷貝到 uncode_buffer.Buffer
	RtlCopyMemory(uncode_buffer.Buffer, wchar_string, uncode_buffer.Length);

	// 設置字元串長度 並輸出
	uncode_buffer.Length = wcslen(wchar_string) * 2;
	DbgPrint("輸出字元串: %wZ \n", uncode_buffer);

	// 釋放堆空間
	ExFreePool(uncode_buffer.Buffer);
	uncode_buffer.Buffer = NULL;
	uncode_buffer.Length = uncode_buffer.MaximumLength = 0;

	DbgPrint("驅動已載入 \n");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

實現空間分配,字元串結構UNICODE_STRING可以定義數組,空間的分配也可以迴圈進行,例如我們分配十個字元串結構,並輸出結構內的參數。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	UNICODE_STRING uncode_buffer[10] = { 0 };
	wchar_t * wchar_string = L"hello lyshark";

	DbgPrint("hello lyshark \n");

	int size = sizeof(uncode_buffer) / sizeof(uncode_buffer[0]);
	DbgPrint("數組長度: %d \n", size);

	for (int x = 0; x < size; x++)
	{
		// 分配空間
		uncode_buffer[x].Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024);

		// 設置長度
		uncode_buffer[x].MaximumLength = 1024;
		uncode_buffer[x].Length = wcslen(wchar_string) * sizeof(WCHAR);
		ASSERT(uncode_buffer[x].MaximumLength >= uncode_buffer[x].Length);

		// 拷貝字元串並輸出
		RtlCopyMemory(uncode_buffer[x].Buffer, wchar_string, uncode_buffer[x].Length);
		uncode_buffer[x].Length = wcslen(wchar_string) * sizeof(WCHAR);
		DbgPrint("迴圈: %d 輸出字元串: %wZ \n", x, uncode_buffer[x]);

		// 釋放記憶體
		ExFreePool(uncode_buffer[x].Buffer);
		uncode_buffer[x].Buffer = NULL;
		uncode_buffer[x].Length = uncode_buffer[x].MaximumLength = 0;
	}

	DbgPrint("驅動載入成功 \n");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

實現字元串拷貝,此處可以直接使用RtlCopyMemory函數直接對記憶體操作,也可以調用內核提供的RtlCopyUnicodeString函數來實現,具體代碼如下。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	UNICODE_STRING uncode_buffer_target = { 0 };

	// 該函數可用於初始化字元串
	RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");

	// 初始化target字元串,分配空間
	uncode_buffer_target.Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024);
	uncode_buffer_target.MaximumLength = 1024;

	// 將source中的內容拷貝到target中
	RtlCopyUnicodeString(&uncode_buffer_target, &uncode_buffer_source);

	// 輸出結果
	DbgPrint("source = %wZ \n", &uncode_buffer_source);
	DbgPrint("target = %wZ \n", &uncode_buffer_target);

	// 釋放空間 source 無需銷毀
	// 如果強制釋放掉source則會導致系統藍屏,因為source是在棧上的
	RtlFreeUnicodeString(&uncode_buffer_target);

	DbgPrint("驅動載入成功 \n");

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

實現字元串比較,如果需要比較兩個UNICODE_STRING字元串結構體是否相等,那麼可以使用RtlEqualUnicodeString這個內核函數實現,該函數第三個參數是返回值類型,如果是TRUE則預設返回真,否則返回假,具體代碼如下。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	UNICODE_STRING uncode_buffer_target = { 0 };

	// 該函數可用於初始化字元串
	RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");
	RtlInitUnicodeString(&uncode_buffer_target, L"hello lyshark");

	// 比較字元串是否相等
	if (RtlEqualUnicodeString(&uncode_buffer_source, &uncode_buffer_target, TRUE))
	{
		DbgPrint("字元串相等 \n");
	}
	else
	{
		DbgPrint("字元串不相等 \n");
	}

	DbgPrint("驅動載入成功 \n");

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

有時在字元串比較時需要統一字元串格式,例如全部變大寫以後在做比較等,此時可以使用RtlUpcaseUnicodeString函數將小寫字元串為大寫,然後在做比較,代碼如下。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	UNICODE_STRING uncode_buffer_target = { 0 };

	// 該函數可用於初始化字元串
	RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");
	RtlInitUnicodeString(&uncode_buffer_target, L"HELLO LYSHARK");

	// 字元串小寫變大寫
	RtlUpcaseUnicodeString(&uncode_buffer_target, &uncode_buffer_source, TRUE);
	DbgPrint("小寫輸出: %wZ \n", &uncode_buffer_source);
	DbgPrint("變大寫輸出: %wZ \n", &uncode_buffer_target);

	// 銷毀字元串
	RtlFreeUnicodeString(&uncode_buffer_target);

	DbgPrint("驅動載入成功 \n");

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

文章作者:lyshark (王瑞)
文章出處:https://www.cnblogs.com/LyShark/p/16740467.html
版權聲明:本博客文章與代碼均為學習時整理的筆記,文章 [均為原創] 作品,轉載請 [添加出處] ,您添加出處是我創作的動力!

轉載文章,請遵守《中華人民共和國著作權法》相關規定或遵守《署名CC BY-ND 4.0國際》禁止演繹規範,合理合規,攜帶原創出處轉載。
您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • Nginx平滑升級版本 一,查看現目前版本,準備預升級版本的安裝包 #查看nginx版本 /usr/local/nginx/sbin/nginx -v #測試nginx訪問是否正常,此處開放的為19999埠 #新建下載目錄 mkdir -p /home/nginx #下載預升級版本的安裝包 wge ...
  • 在學習之前,我們先瞭解一個網站mybatis-spring,這是mybatis-spring整合的官方文檔,裡面有詳細的教程,網址如下: https://mybatis.org/spring/zh/index.html 一、什麼是mybatis-spring 以下是mybatis-spring官方給 ...
  • 2022-09-29 問題描述: 在“setting.py”的配置文件中修改資料庫引擎中,將系統預設的"sqlite3"尾碼改為了“sql”。出現問題。 原因分析: 問題查看: 修改後: 上述問題修改後,在“setting”中設置資料庫的其他內容(主機、埠、用戶、密碼、使用的指定數據名的資料庫), ...
  • 在Word中創建報告時,我們經常會遇到這樣的情況:我們需要將數據從Excel中複製和粘貼到Word中,這樣讀者就可以直接在Word中瀏覽數據,而不用打開Excel文檔 ...
  • 近期在處理一個將NVR錄像機上的錄像下載到伺服器並通過瀏覽器播放的需求。 梳理記錄下過程,做個備忘,同時遇到的一些細節問題解決,也供需要的同學參考。 需求比較簡單,就是把指定時間段的錄像上傳到伺服器保存,並且允許用戶通過web頁面web瀏覽器,進行播放, 並且可以拖動控制播放進度。效果如。 一、 視 ...
  • Python常用的英語單詞就那麼幾個,多打就熟悉了 說來好笑,我壓根就沒記英語單詞… 真的就是純靠多打多練, 畢竟打多了之後肌肉記憶就在那裡了 下麵就給大家帶來常用python清單彙總~ 一、互動式環境與print輸出(https://jq.qq.com/?_wv=1027&k=2Q3YTfym) ...
  • 一、線程的概念線程是CPU分配資源的基本單位。當一程式開始運行,這個程式就變成了一個進程,而一個進程相當於一個或者多個線程。當沒有多線程編程時,一個進程相當於一個主線程;當有多線程編程時,一個進程包含多個線程(含主線程)。使用線程可以實現程式大的開發。 多個線程可以在同一個程式中運行,並且每一個線程 ...
  • 一、整型數據類型 1、整型數據類型名稱及關鍵詞 2、為什麼要定義不同的整型類型? 因為不同的數據類型所占用的記憶體大小是不同的,他們可表示的數據範圍也是不同的。那麼char,short,int,long,long long,分別占用幾個位元組?具體的數值範圍又是多少?C語言並未規定數據類型的大小範圍,具 ...
一周排行
    -Advertisement-
    Play Games
  • Timer是什麼 Timer 是一種用於創建定期粒度行為的機制。 與標準的 .NET System.Threading.Timer 類相似,Orleans 的 Timer 允許在一段時間後執行特定的操作,或者在特定的時間間隔內重覆執行操作。 它在分散式系統中具有重要作用,特別是在處理需要周期性執行的 ...
  • 前言 相信很多做WPF開發的小伙伴都遇到過表格類的需求,雖然現有的Grid控制項也能實現,但是使用起來的體驗感並不好,比如要實現一個Excel中的表格效果,估計你能想到的第一個方法就是套Border控制項,用這種方法你需要控制每個Border的邊框,並且在一堆Bordr中找到Grid.Row,Grid. ...
  • .NET C#程式啟動閃退,目錄導致的問題 這是第2次踩這個坑了,很小的編程細節,容易忽略,所以寫個博客,分享給大家。 1.第一次坑:是windows 系統把程式運行成服務,找不到配置文件,原因是以服務運行它的工作目錄是在C:\Windows\System32 2.本次坑:WPF桌面程式通過註冊表設 ...
  • 在分散式系統中,數據的持久化是至關重要的一環。 Orleans 7 引入了強大的持久化功能,使得在分散式環境下管理數據變得更加輕鬆和可靠。 本文將介紹什麼是 Orleans 7 的持久化,如何設置它以及相應的代碼示例。 什麼是 Orleans 7 的持久化? Orleans 7 的持久化是指將 Or ...
  • 前言 .NET Feature Management 是一個用於管理應用程式功能的庫,它可以幫助開發人員在應用程式中輕鬆地添加、移除和管理功能。使用 Feature Management,開發人員可以根據不同用戶、環境或其他條件來動態地控制應用程式中的功能。這使得開發人員可以更靈活地管理應用程式的功 ...
  • 在 WPF 應用程式中,拖放操作是實現用戶交互的重要組成部分。通過拖放操作,用戶可以輕鬆地將數據從一個位置移動到另一個位置,或者將控制項從一個容器移動到另一個容器。然而,WPF 中預設的拖放操作可能並不是那麼好用。為瞭解決這個問題,我們可以自定義一個 Panel 來實現更簡單的拖拽操作。 自定義 Pa ...
  • 在實際使用中,由於涉及到不同編程語言之間互相調用,導致C++ 中的OpenCV與C#中的OpenCvSharp 圖像數據在不同編程語言之間難以有效傳遞。在本文中我們將結合OpenCvSharp源碼實現原理,探究兩種數據之間的通信方式。 ...
  • 一、前言 這是一篇搭建許可權管理系統的系列文章。 隨著網路的發展,信息安全對應任何企業來說都越發的重要,而本系列文章將和大家一起一步一步搭建一個全新的許可權管理系統。 說明:由於搭建一個全新的項目過於繁瑣,所有作者將挑選核心代碼和核心思路進行分享。 二、技術選擇 三、開始設計 1、自主搭建vue前端和. ...
  • Csharper中的表達式樹 這節課來瞭解一下表示式樹是什麼? 在C#中,表達式樹是一種數據結構,它可以表示一些代碼塊,如Lambda表達式或查詢表達式。表達式樹使你能夠查看和操作數據,就像你可以查看和操作代碼一樣。它們通常用於創建動態查詢和解析表達式。 一、認識表達式樹 為什麼要這樣說?它和委托有 ...
  • 在使用Django等框架來操作MySQL時,實際上底層還是通過Python來操作的,首先需要安裝一個驅動程式,在Python3中,驅動程式有多種選擇,比如有pymysql以及mysqlclient等。使用pip命令安裝mysqlclient失敗應如何解決? 安裝的python版本說明 機器同時安裝了 ...