with\Sessions\x\BaseNamedObjects\ где:[I]\BaseNamedObjects\.[/I]\Sessions\x\AppContainerNamedObjects\{AppContainerSID}Global\.Global\MyMutex создаст ее в \BaseNamedObjects.
bool KillProcess(DWORD pid) {
// open a powerful-enough handle to the process
HANDLE hProcess = OpenProcess(PROCESS_TERMINATE, FALSE, pid);
if (!hProcess)
return false;
// now kill it with some arbitrary exit code
BOOL success = TerminateProcess(hProcess, 1);
// close the handle
CloseHandle(hProcess);
return success != FALSE;
}
lkd> !object 0xFFFFA08F948AC0B0
Object: ffffa08f948ac0b0 Type: (ffffa08f684df140) Event
ObjectHeader: ffffa08f948ac080 (new version)
HandleCount: 2 PointerCount: 65535
Directory Object: ffff90839b63a700 Name: ShellDesktopSwitchEvent
lkd> !trueref ffffa08f948ac0b0
ffffa08f948ac0b0: HandleCount: 2 PointerCount: 65535 RealPointerCount: 3
NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath);NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
return STATUS_SUCCESS;
}#include <ntddk.h>NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
UNREFERENCED_PARAMETER(DriverObject);
UNREFERENCED_PARAMETER(RegistryPath);
return STATUS_SUCCESS;
}extern "C"
NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
UNREFERENCED_PARAMETER(DriverObject);
UNREFERENCED_PARAMETER(RegistryPath);
return STATUS_SUCCESS;
}DriverObject->DriverUnload = SampleUnload;void SampleUnload(_In_ PDRIVER_OBJECT DriverObject) {
UNREFERENCED_PARAMETER(DriverObject);
}#include <ntddk.h>
void SampleUnload(_In_ PDRIVER_OBJECT DriverObject) {
UNREFERENCED_PARAMETER(DriverObject);
}
extern "C"
NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
UNREFERENCED_PARAMETER(RegistryPath);
DriverObject->DriverUnload = SampleUnload;
return STATUS_SUCCESS;
}sc create sample type= kernel binPath= c:\dev\sample\x64\debug\sample.sysHKLM\System\CurrentControlSet\Services\Sample[/B].
sc start samplebcdedit /set testsigning on
void SampleUnload(_In_ PDRIVER_OBJECT DriverObject) {
UNREFERENCED_PARAMETER(DriverObject);
KdPrint(("Sample driver Unload called\n"));
}
extern "C"
NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
UNREFERENCED_PARAMETER(RegistryPath);
DriverObject->DriverUnload = SampleUnload;
KdPrint(("Sample driver initialized successfully\n"));
return STATUS_SUCCESS;
}HKLM\SYSTEM\CurrentControlSet\Control\Session Manager[/B][/I]
Visual Studio 2012 и WDK 8.DriverEntry).try, catch, throw) не компилируются. Это потому что механизм обработки исключений C ++ требует собственной среды выполнения, которой нет в ядре.std::vector<>, std::wstring и т. д.KdPrint: в сборках Debug он компилируется в вызов DbgPrint, а в сборке Release он компилируется в пустую строку, в результате чего вызовы KdPrint не влияют на сборку Release.NtOskrnl.exe), но некоторые могут быть реализованы другими модулями ядра, такими как HAL (hal.dll).
NtCreateFile, она фактически вызывает NtCreateFile в ядерном режиме.NtCreateFile может сделать различные проверки, основанные на том, что исходный вызывающий абонент находится в режиме пользователя.[ICODE]PreviousMode[/ICODE] в KTHREAD структуры для каждого потока.ZwCreateFile устанавливает текущего вызывающего в kernelMode и затем вызывает NtCreateFile, заставляя NtCreateFile обойти некоторые проверки безопасности, которые в противном случае необходимо выполнить.NTSTATUS, 32-разрядное целое число со знаком.STATUS_SUCCESS(0) указывает на успех. Отрицательный значение указывает на какую-то ошибку.NT_SUCCESS.NTSTATUS DoWork() {
NTSTATUS status = CallSomeKernelFunction();
if(!NT_SUCCESS(Statue)) {
KdPirnt((L"Error occurred: 0x%08X\n", status));
return status;
}
// continue with more operations
return STATUS_SUCCESS;
}typedef struct _UNICODE_STRING {
USHORT Length;
USHORT MaximumLength;
PWCH
Buffer;
}UNICODE_STRING;
typedef UNICODE_STRING *PUNICODE_STRING;
typedef const UNICODE_STRING *PCUNICODE_STRING;wcscpy, wcscat, wcslen, wcscpy_s, wcschr, strcpy, strcpy_s и другие.
// define a tag (because of little endianess, viewed in PoolMon as 'abcd')
#define DRIVER_TAG 'dcba'
UNICODE_STRING g_RegistryPath;
extern "C" NTSTATUS
DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
DriverObject->DriverUnload = SampleUnload;
g_RegistryPath.Buffer = (WCHAR*)ExAllocatePoolWithTag(PagedPool,
RegistryPath->Length, DRIVER_TAG);
if (g_RegistryPath.Buffer == nullptr) {
KdPrint(("Failed to allocate memory\n"));
return STATUS_INSUFFICIENT_RESOURCES;
}
g_RegistryPath.MaximumLength = RegistryPath->Length;
RtlCopyUnicodeString(&g_RegistryPath, (PCUNICODE_STRING)RegistryPath);
// %wZ is for UNICODE_STRING objects
KdPrint(("Copied registry path: %wZ\n", &g_RegistryPath));
//...
return STATUS_SUCCESS;
}
void SampleUnload(_In_ PDRIVER_OBJECT DriverObject) {
UNREFERENCED_PARAMETER(DriverObject);
ExFreePool(g_RegistryPath.Buffer);
KdPrint(("Sample driver Unload called\n"));
}EPROCESS, связанными в круговой двойной список, где хранится его голова, в переменной PsActiveProcessHead.LIST_ENTRY, определенной следующим образом:typedef struct _LIST_ENTRY {
struct _LIST_ENTRY *Flink;
struct _LIST_ENTRY *Blink;
} LIST_ENTRY, *PLIST_ENTRY;
ActiveProcessLinks имеет тип LIST_ENTRY, указывая на следующий и предыдущие объект LIST_ENTRY других структур EPROCESS. Заголовок списка хранится отдельно.PsActiveProcessHead.struct MyDataItem {
// some data members
LIST_ENTRY Link;
// more data members
};MyDataItem* GetItem(LIST_ENTRY* pEntry) {
return CONTAINING_RECORD(pEntry, MyDataItem, Link);
}DriverEntry принимает два аргумента, первый - это объект драйвера.DRIVER_OBJECT, определенная в WDK заголовке.DRIVER_OBJECT. Этот набор указывает, какие конкретные операции драйвер поддерживает, например, создание, чтение, запись и т. д. Эти показатели определяются с префиксом IRP_MJ_.IRP_MJ_CREATE и операции IRP_MJ_CLOSE, чтобы позволить открыть дескриптор для одного объекта устройства драйвера.FILE_OBJECT.
\Device\PROCEXP152, который является внутренним именем доступным только для ядра.HANDLE hDevice = CreateFile(L"\\\\.\\PROCEXP152", GENERIC_WRITE | GENERIC_READ, 0, nullptr, OPEN_EXISTING, 0, nullptr);IoCreateDevice. Эта функция выделяет и инициализирует структуру объекта устройства и возвращает его указатель вызывающей стороне.DeviceObject структуры DRIVER_OBJECT.DEVICE_-OBJECT указывает на следующий объект устройства.
Можно разделить переводы, если-что...
