驅動開發:內核字元串拷貝與比較

来源:https://www.cnblogs.com/LyShark/archive/2022/09/29/16740467.html
-Advertisement-
Play Games

在上一篇文章`《驅動開發:內核字元串轉換方法》`中簡單介紹了內核是如何使用字元串以及字元串之間的轉換方法,本章將繼續探索字元串的拷貝與比較,與應用層不同內核字元串拷貝與比較也需要使用內核專用的API函數,字元串的拷貝往往伴隨有內核記憶體分配,我們將首先簡單介紹內核如何分配堆空間,然後再以此為契機簡介字... ...


在上一篇文章《驅動開發:內核字元串轉換方法》中簡單介紹了內核是如何使用字元串以及字元串之間的轉換方法,本章將繼續探索字元串的拷貝與比較,與應用層不同內核字元串拷貝與比較也需要使用內核專用的API函數,字元串的拷貝往往伴隨有內核記憶體分配,我們將首先簡單介紹內核如何分配堆空間,然後再以此為契機簡介字元串的拷貝與比較。

首先內核中的堆棧分配可以使用ExAllocatePool()這個內核函數實現,此外還可以使用ExAllocatePoolWithTag()函數,兩者的區別是,第一個函數可以直接分配記憶體,第二個函數在分配時需要指定一個標簽,此外內核屬性常用的有兩種NonPagedPool用於分配非分頁記憶體,而PagePool則用於分配分頁記憶體,在開發中推薦使用非分頁記憶體,因為分頁記憶體數量有限。

記憶體分配使用ExAllocatePool函數,記憶體拷貝可使用RtlCopyMemory函數,需要註意該函數其實是對Memcpy函數的包裝。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	UNICODE_STRING uncode_buffer = { 0 };

	DbgPrint("hello lyshark \n");

	wchar_t * wchar_string = L"hello lyshark";

	// 設置最大長度
	uncode_buffer.MaximumLength = 1024;

	// 分配記憶體空間
	uncode_buffer.Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024);

	// 設置字元長度 因為是寬字元,所以是字元長度的 2 倍
	uncode_buffer.Length = wcslen(wchar_string) * 2;

	// 保證緩衝區足夠大,否則程式終止
	ASSERT(uncode_buffer.MaximumLength >= uncode_buffer.Length);

	// 將 wchar_string 中的字元串拷貝到 uncode_buffer.Buffer
	RtlCopyMemory(uncode_buffer.Buffer, wchar_string, uncode_buffer.Length);

	// 設置字元串長度 並輸出
	uncode_buffer.Length = wcslen(wchar_string) * 2;
	DbgPrint("輸出字元串: %wZ \n", uncode_buffer);

	// 釋放堆空間
	ExFreePool(uncode_buffer.Buffer);
	uncode_buffer.Buffer = NULL;
	uncode_buffer.Length = uncode_buffer.MaximumLength = 0;

	DbgPrint("驅動已載入 \n");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

實現空間分配,字元串結構UNICODE_STRING可以定義數組,空間的分配也可以迴圈進行,例如我們分配十個字元串結構,並輸出結構內的參數。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	UNICODE_STRING uncode_buffer[10] = { 0 };
	wchar_t * wchar_string = L"hello lyshark";

	DbgPrint("hello lyshark \n");

	int size = sizeof(uncode_buffer) / sizeof(uncode_buffer[0]);
	DbgPrint("數組長度: %d \n", size);

	for (int x = 0; x < size; x++)
	{
		// 分配空間
		uncode_buffer[x].Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024);

		// 設置長度
		uncode_buffer[x].MaximumLength = 1024;
		uncode_buffer[x].Length = wcslen(wchar_string) * sizeof(WCHAR);
		ASSERT(uncode_buffer[x].MaximumLength >= uncode_buffer[x].Length);

		// 拷貝字元串並輸出
		RtlCopyMemory(uncode_buffer[x].Buffer, wchar_string, uncode_buffer[x].Length);
		uncode_buffer[x].Length = wcslen(wchar_string) * sizeof(WCHAR);
		DbgPrint("迴圈: %d 輸出字元串: %wZ \n", x, uncode_buffer[x]);

		// 釋放記憶體
		ExFreePool(uncode_buffer[x].Buffer);
		uncode_buffer[x].Buffer = NULL;
		uncode_buffer[x].Length = uncode_buffer[x].MaximumLength = 0;
	}

	DbgPrint("驅動載入成功 \n");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

實現字元串拷貝,此處可以直接使用RtlCopyMemory函數直接對記憶體操作,也可以調用內核提供的RtlCopyUnicodeString函數來實現,具體代碼如下。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	UNICODE_STRING uncode_buffer_target = { 0 };

	// 該函數可用於初始化字元串
	RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");

	// 初始化target字元串,分配空間
	uncode_buffer_target.Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024);
	uncode_buffer_target.MaximumLength = 1024;

	// 將source中的內容拷貝到target中
	RtlCopyUnicodeString(&uncode_buffer_target, &uncode_buffer_source);

	// 輸出結果
	DbgPrint("source = %wZ \n", &uncode_buffer_source);
	DbgPrint("target = %wZ \n", &uncode_buffer_target);

	// 釋放空間 source 無需銷毀
	// 如果強制釋放掉source則會導致系統藍屏,因為source是在棧上的
	RtlFreeUnicodeString(&uncode_buffer_target);

	DbgPrint("驅動載入成功 \n");

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

實現字元串比較,如果需要比較兩個UNICODE_STRING字元串結構體是否相等,那麼可以使用RtlEqualUnicodeString這個內核函數實現,該函數第三個參數是返回值類型,如果是TRUE則預設返回真,否則返回假,具體代碼如下。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	UNICODE_STRING uncode_buffer_target = { 0 };

	// 該函數可用於初始化字元串
	RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");
	RtlInitUnicodeString(&uncode_buffer_target, L"hello lyshark");

	// 比較字元串是否相等
	if (RtlEqualUnicodeString(&uncode_buffer_source, &uncode_buffer_target, TRUE))
	{
		DbgPrint("字元串相等 \n");
	}
	else
	{
		DbgPrint("字元串不相等 \n");
	}

	DbgPrint("驅動載入成功 \n");

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

有時在字元串比較時需要統一字元串格式,例如全部變大寫以後在做比較等,此時可以使用RtlUpcaseUnicodeString函數將小寫字元串為大寫,然後在做比較,代碼如下。

#include <ntifs.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動已卸載 \n");
}

// PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	UNICODE_STRING uncode_buffer_target = { 0 };

	// 該函數可用於初始化字元串
	RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");
	RtlInitUnicodeString(&uncode_buffer_target, L"HELLO LYSHARK");

	// 字元串小寫變大寫
	RtlUpcaseUnicodeString(&uncode_buffer_target, &uncode_buffer_source, TRUE);
	DbgPrint("小寫輸出: %wZ \n", &uncode_buffer_source);
	DbgPrint("變大寫輸出: %wZ \n", &uncode_buffer_target);

	// 銷毀字元串
	RtlFreeUnicodeString(&uncode_buffer_target);

	DbgPrint("驅動載入成功 \n");

	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

代碼輸出效果:

文章作者:lyshark (王瑞)
文章出處:https://www.cnblogs.com/LyShark/p/16740467.html
版權聲明:本博客文章與代碼均為學習時整理的筆記,文章 [均為原創] 作品,轉載請 [添加出處] ,您添加出處是我創作的動力!

轉載文章,請遵守《中華人民共和國著作權法》相關規定或遵守《署名CC BY-ND 4.0國際》禁止演繹規範,合理合規,攜帶原創出處轉載。
您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • Nginx平滑升級版本 一,查看現目前版本,準備預升級版本的安裝包 #查看nginx版本 /usr/local/nginx/sbin/nginx -v #測試nginx訪問是否正常,此處開放的為19999埠 #新建下載目錄 mkdir -p /home/nginx #下載預升級版本的安裝包 wge ...
  • 在學習之前,我們先瞭解一個網站mybatis-spring,這是mybatis-spring整合的官方文檔,裡面有詳細的教程,網址如下: https://mybatis.org/spring/zh/index.html 一、什麼是mybatis-spring 以下是mybatis-spring官方給 ...
  • 2022-09-29 問題描述: 在“setting.py”的配置文件中修改資料庫引擎中,將系統預設的"sqlite3"尾碼改為了“sql”。出現問題。 原因分析: 問題查看: 修改後: 上述問題修改後,在“setting”中設置資料庫的其他內容(主機、埠、用戶、密碼、使用的指定數據名的資料庫), ...
  • 在Word中創建報告時,我們經常會遇到這樣的情況:我們需要將數據從Excel中複製和粘貼到Word中,這樣讀者就可以直接在Word中瀏覽數據,而不用打開Excel文檔 ...
  • 近期在處理一個將NVR錄像機上的錄像下載到伺服器並通過瀏覽器播放的需求。 梳理記錄下過程,做個備忘,同時遇到的一些細節問題解決,也供需要的同學參考。 需求比較簡單,就是把指定時間段的錄像上傳到伺服器保存,並且允許用戶通過web頁面web瀏覽器,進行播放, 並且可以拖動控制播放進度。效果如。 一、 視 ...
  • Python常用的英語單詞就那麼幾個,多打就熟悉了 說來好笑,我壓根就沒記英語單詞… 真的就是純靠多打多練, 畢竟打多了之後肌肉記憶就在那裡了 下麵就給大家帶來常用python清單彙總~ 一、互動式環境與print輸出(https://jq.qq.com/?_wv=1027&k=2Q3YTfym) ...
  • 一、線程的概念線程是CPU分配資源的基本單位。當一程式開始運行,這個程式就變成了一個進程,而一個進程相當於一個或者多個線程。當沒有多線程編程時,一個進程相當於一個主線程;當有多線程編程時,一個進程包含多個線程(含主線程)。使用線程可以實現程式大的開發。 多個線程可以在同一個程式中運行,並且每一個線程 ...
  • 一、整型數據類型 1、整型數據類型名稱及關鍵詞 2、為什麼要定義不同的整型類型? 因為不同的數據類型所占用的記憶體大小是不同的,他們可表示的數據範圍也是不同的。那麼char,short,int,long,long long,分別占用幾個位元組?具體的數值範圍又是多少?C語言並未規定數據類型的大小範圍,具 ...
一周排行
    -Advertisement-
    Play Games
  • 前言 當別人做大數據用Java、Python的時候,我使用.NET做大數據、數據挖掘,這確實是值得一說的事。 寫的並不全面,但都是實際工作中的內容。 .NET在大數據項目中,可以做什麼? 寫腳本(使用控制台程式+頂級語句) 寫工具(使用Winform) 寫介面、寫服務 使用C#寫代碼的優點是什麼? ...
  • 前言 本文寫給想學C#的朋友,目的是以儘快的速度入門 C#好學嗎? 對於這個問題,我以前的回答是:好學!但仔細想想,不是這麼回事,對於新手來說,C#沒有那麼好學。 反而學Java還要容易一些,學Java Web就行了,就是SpringBoot那一套。 但是C#方向比較多,你是學控制台程式、WebAP ...
  • 某一日晚上上線,測試同學在回歸項目黃金流程時,有一個工單項目介面報JSF序列化錯誤,馬上升級對應的client包版本,編譯部署後錯誤消失。 線上問題是解決了,但是作為程式員要瞭解問題發生的原因和本質。但這都是為什麼呢? ...
  • 本文介紹基於Python語言中TensorFlow的Keras介面,實現深度神經網路回歸的方法。 1 寫在前面 前期一篇文章Python TensorFlow深度學習回歸代碼:DNNRegressor詳細介紹了基於TensorFlow tf.estimator介面的深度學習網路;而在TensorFl ...
  • 前段時間因業務需要完成了一個工作流組件的編碼工作。藉著這個機會跟大家分享一下整個創作過程,希望大家喜歡,組件暫且命名為"easyFlowable"。 接下來的文章我將從什麼是工作流、為什麼要自研這個工作流組件、架構設計三個維度跟大家來做個整體介紹。 ...
  • 1 簡介 我們之前使用了dapr的本地托管模式,但在生產中我們一般使用Kubernetes托管,本文介紹如何在GKE(GCP Kubernetes)安裝dapr。 相關文章: dapr本地托管的服務調用體驗與Java SDK的Spring Boot整合 dapr入門與本地托管模式嘗試 2 安裝GKE ...
  • 摘要:在jvm中有很多的參數可以進行設置,這樣可以讓jvm在各種環境中都能夠高效的運行。絕大部分的參數保持預設即可。 本文分享自華為雲社區《為什麼需要對jvm進行優化,jvm運行參數之標準參數》,作者:共飲一杯無。 我們為什麼要對jvm做優化? 在本地開發環境中我們很少會遇到需要對jvm進行優化的需 ...
  • 背景 我們的業務共使用11台(阿裡雲)伺服器,使用SpringcloudAlibaba構建微服務集群,共計60個微服務,全部註冊在同一個Nacos集群 流量轉發路徑: nginx->spring-gateway->業務微服務 使用的版本如下: spring-boot.version:2.2.5.RE ...
  • 基於php+webuploader的大文件分片上傳,帶進度條,支持斷點續傳(刷新、關閉頁面、重新上傳、網路中斷等情況)。文件上傳前先檢測該文件是否已上傳,如果已上傳提示“文件已存在”,如果未上傳則直接上傳。視頻上傳時會根據設定的參數(分片大小、分片數量)進行上傳,上傳過程中會在目標文件夾中生成一個臨 ...
  • 基於php大文件分片上傳至七牛雲,使用的是七牛雲js-sdk V2版本,引入js文件,配置簡單,可以暫停,暫停後支持斷點續傳(刷新、關閉頁面、重新上傳、網路中斷等情況),可以配置分片大小和分片數量,官方文檔https://developer.qiniu.com/kodo/6889/javascrip ...