学习1下mj的驱动 整理1下部分代码

学习1下mj的驱动 整理1下部分代码
争取每天逆向几个函数 慢慢把他搞完
ARP的发包是处于相当底层的地方了 还要花点时间学习1下
#define DEVICE_NAME L"//Device//360AntiARP" //Driver Name
#define LINK_NAME L"//DosDevices//360AntiARP" //Link Name

#define DEVICE_NAME1002 L"//Device//360AntiARP1002" //Driver Name
#define LINK_NAME1002 L"//DosDevices//360AntiARP1002" //Link Name
驱动创建DriverEntry
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj, PUNICODE_STRING pRegistryString)
{
NTSTATUS status = STATUS_SUCCESS;
UNICODE_STRING ustrLinkName;
UNICODE_STRING ustrDevName;
PDEVICE_OBJECT pDevObj;

if (*InitSafeBootMode > 0)
{
//系统处于 Safe Mode.
return STATUS_UNSUCCESSFUL;
}

// Create dispatch points for device control, create, close.
pDriverObj->MajorFunction[IRP_MJ_CREATE] = AntiARPDispatchRoutine;
pDriverObj->MajorFunction[IRP_MJ_CLOSE] = AntiARPDispatchRoutine;
pDriverObj->MajorFunction[IRP_MJ_DEVICE_CONTROL] = AntiARPDispatchRoutine;
pDriverObj->DriverUnload = DriverUnload;
//
dprintf("[360AntiARP] DriverEntry: %S/n",pRegistryString->Buffer);

// Create dispatch points for device control, create, close.
pDriverObj->MajorFunction[IRP_MJ_CREATE] = DispatchCreate;
pDriverObj->MajorFunction[IRP_MJ_CLOSE] = DispatchClose;
pDriverObj->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DispatchIoctl;
pDriverObj->DriverUnload = DriverUnload;
//

RtlInitUnicodeString(&ustrDevName, DEVICE_NAME);

status = IoCreateDevice(pDriverObj,
0,
&ustrDevName,
FILE_DEVICE_UNKNOWN,
0,
FALSE,
&pDevObj);

dprintf("[360AntiARP] Device Name %S",ustrDevName.Buffer);

if(!NT_SUCCESS(status))
{
dprintf("[360AntiARP] IoCreateDevice = 0x%x/n", status);
return status;
}


RtlInitUnicodeString(&ustrLinkName, LINK_NAME);

status = IoCreateSymbolicLink(&ustrLinkName, &ustrDevName);
if(!NT_SUCCESS(status))
{
dprintf("[360AntiARP] IoCreateSymbolicLink = 0x%x/n", status);
IoDeleteDevice(pDevObj);
return status;
}

dprintf("[360AntiARP] SymbolicLink:%S",ustrLinkName.Buffer);

RtlInitUnicodeString(&ustrDevName, DEVICE_NAME1002);

status = IoCreateDevice(pDriverObj,
0,
&ustrDevName,
FILE_DEVICE_UNKNOWN,
0,
FALSE,
&pDevObj);

dprintf("[360AntiARP] Device Name %S",ustrDevName.Buffer);

if(!NT_SUCCESS(status))
{
dprintf("[360AntiARP] IoCreateDevice = 0x%x/n", status);
return status;
}


RtlInitUnicodeString(&ustrLinkName, LINK_NAME1002);

status = IoCreateSymbolicLink(&ustrLinkName, &ustrDevName);
if(!NT_SUCCESS(status))
{
dprintf("[360AntiARP] IoCreateSymbolicLink = 0x%x/n", status);
IoDeleteDevice(pDevObj);
return status;
}

dprintf("[360AntiARP] SymbolicLink:%S",ustrLinkName.Buffer);

AllocatePool();
PsSetLoadImageNotifyRoutine(NotifyRoutine);
QuerySystemModuleSize();

return STATUS_SUCCESS;
}

DriverUnload函数
VOID DriverUnload(PDRIVER_OBJECT pDriverObj)
{
UNICODE_STRING strLink;
RtlInitUnicodeString(&strLink, LINK_NAME);
//
// Delete the symbolic link
//
IoDeleteSymbolicLink(&strLink);
//
// Delete the device object
//
IoDeleteDevice(pDriverObj->DeviceObject);
dprintf("[360AntiARP] Unloaded/n");

// UNICODE_STRING strLink;
RtlInitUnicodeString(&strLink, LINK_NAME1002);
//
// Delete the symbolic link
//
IoDeleteSymbolicLink(&strLink);
//
// Delete the device object
//
IoDeleteDevice(pDriverObj->DeviceObject);
dprintf("[360AntiARP] Unloaded/n");
}

NTSTATUS
AntiARPDispatchRoutine(
IN PDEVICE_OBJECT DeviceObject,
IN PIRP Irp
)
{
NTSTATUS ntStatus = STATUS_SUCCESS;
PIO_STACK_LOCATION irpSp;
ULONG CtlCode;
PVOID InputBuffer;
PVOID OutputBuffer;
PIO_STATUS_BLOCK ioStatus;

ioStatus = &Irp->IoStatus;
ioStatus->Status = ntStatus;
ioStatus->Information = 0;

irpSp = IoGetCurrentIrpStackLocation( Irp );
CtlCode = irpSp->Parameters.DeviceIoControl.IoControlCode;
if (irpSp->MajorFunction != IRP_MJ_DEVICE_CONTROL)
{
goto End;
}

InputBuffer = Irp->AssociatedIrp.SystemBuffer;
if ((CtlCode & METHOD_NEITHER) == METHOD_NEITHER)
{
OutputBuffer = Irp->UserBuffer;
}
else
{
OutputBuffer = Irp->AssociatedIrp.SystemBuffer;
}

AntiARPIoControl(irpSp->FileObject,
1,
InputBuffer,
irpSp->Parameters.DeviceIoControl.InputBufferLength,
OutputBuffer,
irpSp->Parameters.DeviceIoControl.OutputBufferLength,
CtlCode,
ioStatus,
DeviceObject);

End:
IoCompleteRequest(Irp, IO_NO_INCREMENT);
return ntStatus;
}
VOID
DisableWriteProtect(
VOID
)
{
__asm
{
push eax
mov eax, cr0
mov OldCr0, eax
and eax, 0FFFEFFFFh
mov cr0, eax
pop eax
cli
}
}

__inline
VOID
EnableWriteProtect(
VOID
)
{
__asm
{
sti
push eax
mov eax, OldCr0
mov cr0, eax
pop eax
}
}

驱动安装的时候会建立2个设备 并且设置PsSetLoadImageNotifyRoutine监视
接下来hoo了 IoCreateDevice 首先使用1个RtlImageDirectoryEntryToData函数 当然在此之前先用MmGetSystemRoutineAddress获得了函数所在地址 这个函数作用

; RtlImageDirectoryEntryToData
; come form:http://bbs.pediy.com/showthread.php?p=254245
; 反汇编的结果如下：
; DWORD RtlImageDirectoryEntryToData(DWORD imagebase,BOOL bVA,DWORD dwDataDirectoryIndex, DWORD *size);
;
; 其中，imagebase 为模块基址， bVA为真表示函数返回一个VA， 否则函数返回一个PointerToRawData(减去基址就是在文件中的位置),
; dwDataDirectoryIndex为索引值， 从0到f，如0表示导出表。
; size为接受这项数据目录大小的指针。
;
; 如果该索引不存在， 那么函数返回0， 并且不改变size指针的值。

简单的说 就是获取IoCreateDevice 的所在地址不过mj是在模块中搜索的方式获取的
接下来 经过一些VA转换计算 获得真实地址
KeInitializeSpinLock ＋ KfAcquireSpinLock＋DisableWriteProtect
修改完毕以后EnableWriteProtect＋KfReleaseSpinLock

相关说明　
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－　
1.3.8同步

　　如果驱动程序有可能在某时刻有多个部分在同时运行，比如有中断处理过程，或存在多个设备等，对公共数据或代码的访问就需要同步。方法有:

i)自旋锁(SpinLock)

　　驱动程序可以在初始化时调用KeInitializeSpinLock创建该对象。在任何代码段访问被保护的数据之前，先调用 KeAcquireSpinLock试图获得该对象的所有权，如果成功,该段代码被系统提升至 DISPATCH_LEVEL，进行数据访问。访问完毕后须调用KeRelease SpinLock释放所有权，运行级别也被恢复。此方法只适用于同步运行级别小于等于DISP ATCH_LEVEL的代码，主要用于多CPU的情形。此外，还有一种中断自旋锁用于与中断处理过程同步，可以将较低级别的代码提升到需要与之同步的中断 DIRQL。

ii)控制器（Controller）

　　该对象主要用于同步一个驱动程序中的多个设备，保证它们能顺序地访问特定的代码或数据。该对象在驱动程序初始化调用 IoCreateController被创建。设备在StartIo过程中调用IoAllocateController请求获得Controller对象的独占权。使用完后调用IoFreeController释放。驱动程序停止时调用IoDeleteController从内存删除该对象。该对象有一个指针ControllerExtension指向一块由驱动程序定义的结构，其中保存有此驱程序的公共数据。

iii)适配器（Adapter）

　　该对象用于同步多个设备（不一定在一个驱动程序中）对DMA通道的使用。该对象在系统启动侦测硬件时自动被创建。驱动程序在初始化时调用 HalGetAdapter获得该对象的指针。设备在StartIo过程中调用IoAllocateAdapterChannel请求获得DMA通道的独占权，然后开始传输数据。使用完后调用IoFreeControllerChannel释放DMA通道。

iv)DPC

　　由于DPC队列中的对象总是被系统顺序地处理，所以也可以将需要同步的代码做成Dpc过程，需要调用时将相应的DPC对象放到队列的末尾即可。

v)其他

　　同用户模式的应用程序类似，驱动程序也可以使用多线程，也提供了一套用来同步的对象，如Event,Mutex,Semaphore,Timer,Thread。其中Event对象可以被命名，不同的驱动程序可以利用同名的Event对象同步对公共数据的访问。