麦洛克菲内核开发第一课解读.ppt

上课整体安排 周六，周日下午1点到6点 地点：清华园宾馆旁边 周三，周四晚上8点到10点辅导 时间：3月3日到7月1日（中间清明和五一正常放假） 手机调为震动 交作业时间：每周五晚上 意见反馈 学员群：183948142 邮箱 虚拟机设置 创建一个com1串口 XP BOOT.ini(com1可能为com2，取决于vmware这端的ID） multi(0)disk(0)rdisk(0)partition(1)\WINDOWS=Microsoft Windows XP Professional -debug /debug /debugport=com1 /baudrate=115200 /fastdetect WIN7 bcdedit /dbgsettings serial baudrate:115200 debugport:1 bcdedit /copy {current} /d DebugEntry bcdedit /displayorder {current} {d3d5f290-f64b-11de-a86d-aba3805c5629} bcdedit /debug {d3d5f290-f64b-11de-a86d-aba3805c5629} ON windbg.exe -k com:port=\\.\pipe\com_1,baud=115200,pipe 符号设置： srv*d:\symbols*/download/symbols;D:\Code\crash\Debug;D:\Code\crash\Debug\crash.pdb Vista上DbgPrint启用 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Debug Print Filter “DEFAULT” : REG_DWORD : 0xFFFFFFFF RING3与RING0通信 HANDLE hDevice = CreateFile(\\\\.\\NTModelDrv, GENERIC_WRITE | GENERIC_READ, 0, NULL, OPEN_EXISTING, 0, NULL); if( hDevice == INVALID_HANDLE_VALUE ) { return; } CHAR bufRead[1024]={0}; CHAR bufWrite[1024]=Hello, world; DWORD dwRead = 0; DWORD dwWrite = 0; ReadFile(hDevice, bufRead, 1024, dwRead, NULL); WriteFile(hDevice, bufWrite, strlen(bufWrite)+1, dwWrite, NULL); CHAR bufInput[1024] =Hello, world; CHAR bufOutput[1024] = {0}; DWORD dwRet = 0; DeviceIoControl(hDevice, IOCTL_HELLO, bufInput, sizeof(bufInput), bufOutput, sizeof(bufOutput), dwRet, NULL); CloseHandle( hDevice ); RING3与RING0开发区别（2） printf/scanf/fopen/fclose/fwrite/fread/malloc/free不能用 sprintf/strlen/strcpy/wcslen/wcscpy/memcpy/memset可用 NTSTATUS/NT_SUCCESS() STATUS_SUCCESS STATUS_UNSUCCESSFUL STATUS_ACCESS_DENIED STATUS_INSUFFICIENT_RESOURCES 内存分配：PagedPool/NonPagedPool/tag RING3与RING0开发区别（3） API调用与中断级别 驱动调试（2） ssdt:dds poi(nt!KeServiceDescriptorTable) L200 Shadow ssdt: 启动notepad !process 0 0 .process /p NOTEPAD eprocess .reload x win32k!* uf win32k!NtUserGetForegroundWindow 驱动调试（3） BSOD 关闭了无效的HANDLE 在没有ObReferenceObject(pFile