【免费】Windows信息安全与内核编程(试读版)资源-CSDN文库

共1个文件

doc：1个

Windows信息安全与内核编程(试读版)

需积分: 0 110 浏览量 2009-01-16 09:01:13 上传评论收藏 23KB ZIP 举报

资源详情

资源评论

资源推荐

收起资源包目录

Windows信息安全与内核编程(试读版).zip （1个子文件）

Windows信息安全与内核编程(试读版).doc 92KB

Windows 信息安全与内核编程（免费试读 2008 年 10 月 8 日版）

此书的读者，请点击

http://www.china-pub.com/209258

支持本文作者的第一本正式出版的书《天书夜读：从汇编语言到 Windows 内核编程》。您

的点击和评论可以提高此书在 china-pub 上的关注度排名，以便更多圈外的读者可以看到此

书。

作者：楚狂人

联系方式（QQ 16191935, MSN: walled_river@hotmail.com, Email: mfc_tan_wen@163.com）

版权信息

本书为楚狂人原创，保留一切权利。此为免费试读 2008 年 10 月 8 日星期三的版本。此书

依然在写作过程中。进度大约为每周一章。您可以在

http://bbs.driverdevelop.com/read.php?tid=98845&page=1&toread=1

下载最新的版本。最新的版本总是有最多的章节。并把读者的勘误和建议考虑进去。

欢迎勘误、或者对大纲提出建议、或是修改某些章节（请用 doc 修订模式修改，改后发邮

件到：mfc_tan_wen@163.com）

严禁拷贝全部或部分用于商业出版物。严禁不经作者同意的情况下，剽窃本文全部或部分

内容到其他文章、著作中。

前言

本书介绍的是如何使用 Windows 的驱动开发技术，来完成一些安全相关的软件的关键

部分。所谓的安全相关包括反病毒软件、防火墙、监控软件、信息防泄密、加密、备份、

还原软件等。全书的例子都要利用 Windows 的 WDK 开发包进行开发，使用 WinDBG 进行

调试。所以读者必须先学会 WDK 的安装和环境设置，并能使用 WinDBG 进行驱动程序调

试。如果读者对此有困难，请先阅读附录 A、B、C 中的说明。

第一章过滤简单设备

第二章键盘的保护

第三章虚拟的磁盘

第四章磁盘上层过滤与加密

第五章磁盘还原与穿透

第六章绑定文件系统

第七章文件系统 IRP

第八章解决重入问题

第九章监控打印文件

第十章文件系统透明加密

第十一章 minifilter 文件系统过滤

第十三章绑定 TDI 设备

第十四章过滤 TDI 请求

第十六章绑定 NDIS 设备

第十四章 NDIS 网络包过滤

第十五章平台过滤驱动

第一章过滤简单设备

1-1 过滤的概念

在 Windows 系统上的安全软件相关的驱动开发过程中，“过滤”(filter)是极其重要的一个

概念。过滤是在不影响上层和下层接口的情况下加入在 Windows 系统内核中加入新的层。

从而不需要修改上层的软件或者下层的真实驱动程序，就加入新的功能。

举一个比较容易理解的例子：实时监控的反病毒程序。任何高层软件或者是 Windows

的文件系统都没有考虑过应该什么时候去检查文件中是否含有某个病毒的特征码。实际上

也不应该要求某个软件或者是 Windows 的文件系统去考虑这些。反病毒程序需要在不改变

文件系统的上层和下层接口的情况下，在中间加入一个过滤层。这样就可以在上层软件读

取文件、下层驱动提供数据的时候，对这些数据进行扫描看其中是否含有某个病毒的特征

码。这是一个很典型的过滤过程。

之所以这一章从串口过滤出发，是因为串口在 Windows 中是非常简单的设备。对一个

安全软件来说，串口过滤似乎没有什么意义。不过有一些特殊场合的计算机，要求防止“信

息外泄”或者需要知道“哪些信息外泄”了。除了网络和可移动存储设备之外，有时串口也在

考虑的范围之内。

此外这种同样的方法也可以绑定键盘。从而截获用户的击键。但是这就不像是一个安

全软件了（倒是盗号木马常用）。

要禁止使用串口非常容易（给串口贴上封条，或者写个简单的程序始终占用串口）。

但是要捕获串口上流过的数据，然而又不影响其他的程序使用串口，就有一定难度了。这

一章里，我们通过给串口设备增加一个过滤层来实现这个功能。

1-2 设备绑定的内核 API 之一

进行过滤的最主要的方法是对一个设备对象（DeviceObject）进行绑定。读者可以想象

Windows 系统之所以可以运作，是因为 Windows 中已经存在许多提供了各种功能的设备对

象。这些设备接受请求，并完成实际硬件的功能。

读者可以首先认为：一个真实的设备对应一个设备对象（虽然实际对应关系可能复杂

得多）。通过编程我们可以生成一个虚拟的设备对象，并“绑定”在一个真实的设备上。一

旦绑定，则本来操作系统发给真实设备的请求，则首先会发到这个虚拟设备。

下面本书会结合代码进行讲解。读者可能会希望能编译执行这些代码。驱动的初学者

请先阅读附录 A，B，C，以便学会如何安装开发环境、编译代码和调试程序。

在 WDK 中，有好几个内核 API 能实现绑定的功能。下面是其中一个函数的原型：

NTSTATUS>

>> IoAttachDevice(

>>>> IN>PDEVICE_OBJECT>>SourceDevice,

>>>> IN>PUNICODE_STRING>>TargetDevice,

>>>> OUT>PDEVICE_OBJECT>>*AttachedDevice

);

IoAttachDevice 参数如下：SourceDevice 是调用者生成的用来过滤的虚拟设备。而

TargetDevice 是要被绑定的目标设备。请注意这里的 TargetDevice 并不是一个

PDEVICE_OBJECT（DEVICE_OBJECT 是设备对象的数据结构，P 开头的是其指针），而

是一个字符串（在驱动开发中字符串用 UNICODE_STRING 来表示）。实际上，这个字符

串是要被绑定的设备的名字。

Windows 中许多设备对象是有名字的。但是并不是所有的设备对象都有名字。这里有

一个疑问：如果这个函数绑定一个名字所对应的设备，那么如果这个设备已经被别的设备

绑定了，会怎么样呢？

如果一个设备被其他设备绑定，它们在一起的一组设备，被称为设备栈（之所以称为

栈，是和请求的传递方式有关）。实际上 IoAttachDevice 总是会绑定设备栈上最顶层的那

个设备。

AttachedDevice 是一个用来返回的指针的指针。绑定成功后，被绑定的设备的指针被

返回到这个地址。

下面这个例子绑定串口 1。之所以这里绑定很方便，是因为 Windows 中，串口设备是

有固定名字的。第一个串口名字为“\Device\Serial0”,第二个为“\Device\Serial1”，依次类推。

请注意实际编码的时候 C 语言中“\”要写成“\\” 。下面是绑定第一个串口的例子：

UNICODE_STRING com_name = RLT_CONSTANT_STRING(L“\\Device\\Serial0”);

NTSTATUS status = IoAttachDevice(

com_filter_device, // 我们自己生成的过滤设备

&com_device_name, // 串口的设备名

&attached_device); // 被绑定的设备的指针被返回到这里

当然试图执行这段代码的读者可能会发现这里没有提供如何生成一个过滤设备的代码。

在紧接下来的第二个 API 介绍之后，读者会看到完整的例子。

1-3 绑定设备的内核 API 之二

前面已经提到了并不是所有的设备都有设备名字。所以依靠 IoAttachDevice 来一招吃

遍天下是不现实的。另外还有两个 API，一个是 IoAttachDeviceToDeviceStack，另一个是

IoAttachDeviceToDeviceStackSafe。这两个函数功能一样，都是根据设备对象的指针（而不

是名字）进行绑定。区别是 IoAttachDeviceToDeviceStackSafe 更加安全。而且只有在

2000SP4 和 XP 以上的系统上才有。一般都使用 IoAttachDeviceToDeviceStackSafe。但当试

图兼容较低版本的 2000 的时候，应该使用 IoAttachDeviceToDeviceStack。

NTSTATUS

IoAttachDeviceToDeviceStackSafe(

IN PDEVICE_OBJECT SourceDevice, // 过滤设备

IN PDEVICE_OBJECT TargetDevice, // 要被绑定的设备栈中的设备

IN OUT PDEVICE_OBJECT *AttachedToDeviceObject // 返回最终被绑定的设备

);

和上面的一个 API 是类似的。只是 TargetDevice 换成了一个指针。另外，

AttachedToDeviceObject 同样也是返回最终被绑定的设备。实际上也就是绑定之前设备栈上

最顶端的那个设备。

在 2000 下应该使用另外一个函数 IoAttachDeviceToDeviceStack，这个函数除了缺少最

后一个参数之外（实际上放到返回值里了），其他和 IoAttachDeviceToDeviceStackSafe 相

同。

PDEVICE_OBJECT

IoAttachDeviceToDeviceStack(

IN PDEVICE_OBJECT SourceDevice,

IN PDEVICE_OBJECT TargetDevice

);

这个函数返回了最终被绑定的设备指针。这也就导致了它不能返回一个明确的错误码。

但是如果 NULL 则表示绑定失败了。

读到这里，读者一定迫不及待想试试如何绑定一个串口了，但问题是，这里还没有介

绍如何打开串口设备（从名字获得设备对象指针）和如何生成一个串口。那么下面就给出

绑定的完整例子。

1-4 生成过滤设备并绑定

在绑定一个设备之前，读者先要知道如何生成一个用于过滤的过滤设备。函数

IoCreateDevice 被用于生成设备：

NTSTATUS>

>> IoCreateDevice(

>>>> IN>PDRIVER_OBJECT>>DriverObject,

>>>> IN>ULONG>>DeviceExtensionSize,

>>>> IN>PUNICODE_STRING>>DeviceName>>OPTIONAL,

>>>> IN>DEVICE_TYPE>>DeviceType,

>>>> IN>ULONG>>DeviceCharacteristics,

>>>> IN>BOOLEAN>>Exclusive,

>>>> OUT>PDEVICE_OBJECT>>*DeviceObject

>>>> );

这个函数看上去很复杂，但是目前使用的时候，还无须了解太多。DriverObject 是本驱

动的驱动对象。这个指针是系统提供给我们的，从 DriverEntry 中传入。在最后完整的例子

中再解释。DeviceExtensionSize 是设备扩展。读者请先简单的传入 0。DeviceName 是设备

名称。一个规则是：过滤设备一般不需要名称。所以传入 NULL 即可。DeviceType 是设备

评论收藏

内容反馈

boblee8091

粉丝: 0
资源: 3

Windows信息安全与内核编程(试读版)

评论0

最新资源

Windows信息安全与内核编程(试读版)

评论0

寒江独钓——Windows 内核编程与信息安全（免费试读版）

寒江独钓--Windows内核安全编程 正式试读样章

寒江独钓-Windows内核安全编程(高清完整版).part1

寒江独钓-Windows内核安全编程(高清完整版).part4

寒江独钓-Windows内核安全编程(高清完整版).part6

寒江独钓-Windows内核安全编程(高清完整版).part7

寒江独钓-Windows内核安全编程(高清完整版).part3

寒江独钓-Windows内核安全编程(高清完整版).part5

寒江独钓-Windows内核安全编程(高清完整版).part2

汇编\天书夜读(完整版).pdf

天书夜读（完整版PDF）

python大作业 含爬虫、数据可视化、地图、报告、及源码（整和为一个文件）（2014-2020全国各地区原油加工量）.rar

仿真电路以及操作方法

【纯干货啊】华为IPD流程管理(完整版).pptx

可编程语言标准IEC61131-3中文版.pdf

OFDM完整仿真过程与教程.zip

信号与系统——保研复习资料.pdf

Landsat_WRS2.zip

最全的Visio形状/图形库

AxureRP9项目原型50套、案例20个、元件库1套.zip

北理工+成电+东南——通信/信号保研面试真题.pdf

数字信号处理——保研复习资料.pdf

风电和储能并网Simulink模型

使用STM32F103C8T6+L298N+MG513P30电机使用外部中断法和输入捕获法进行编码器测速

COMSOL各个模块中文使用手册及教程，入门必备

FMEA第五版（中文版）

通信原理——保研复习资料.pdf

离散数学及其应用第八版偶数题答案

xmind软件所需文件.7z

最新资源

寒江独钓--Windows内核安全编程正式试读样章

python大作业含爬虫、数据可视化、地图、报告、及源码（整和为一个文件）（2014-2020全国各地区原油加工量）.rar