Chinaunix首页 | 论坛 | 博客
  • 博客访问: 73982
  • 博文数量: 18
  • 博客积分: 1549
  • 博客等级: 上尉
  • 技术积分: 170
  • 用 户 组: 普通用户
  • 注册时间: 2009-04-23 12:13
文章分类
文章存档

2012年(3)

2011年(3)

2010年(4)

2009年(8)

我的朋友
最近访客

分类: WINDOWS

2011-11-08 16:43:09

1. 下载和使用WDK

应用程序使用开发包SDK,类似的,内核编程使用"Windows Driver Kit",简称WDK。WDK已经自带所有需要的头文件、库、C/C++语言及汇编语言的编译器和链接器

如何获取WDK
参见

安装注意:
  • 尽量安装到相对简单路径,避免特殊情况配置路径时麻烦以及可能出现的编译问题
  • 选择“完全安装”

2.编写第一个内核模块
=============================
#include

VOID DriverUnload(PDRIVER_OBJECT driver)
{
     DbgPrint("first: Our driver is unloading...\r\n");
}

NTSTATUS DriverEntry (PDRIVER_OBJECT driver, PUNICODE_STRING reg_path)
{
#if DBG
     _asm int 3
#endif

DbgPrint("first: Hello Windows kernel!!");
driver->DriverUnload = DriverUnload;
return STATUS_SUCCESS;
}
==============================
以上是一个最简单的示例程序
DriverEntry是每个内核模块的入口,在加载这个模块时被系统进程System调用一次。

3.编译该内核模块
在first.c相同工程目录下增加两个文件:makefile和sources

内容分别为:
makefile
==============================

#############################################################################
#
#       Copyright (C) Microsoft Corporation 1995
#       All Rights Reserved.
#                                                                          
#       MAKEFILE for WDM device driver kit
#
#############################################################################

#
# DO NOT EDIT THIS FILE!!!  Edit .\sources. if you want to add a new source
# file to this component.  This file merely indirects to the real make file
# that is shared by all the driver components of the Windows NT DDK
#

!if "$(WIN2K_DDKBUILD)" == ""
!INCLUDE $(NTMAKEENV)\makefile.def
!endif

===============================

sources
===============================
# ############################################################
#
#Copyright (c) 2000  Microsoft Corporation
#
#Date:
#   19-Jul-2000
#
#Module Name:
#    sources.
#
#Abstract:
#    This file specifies the target component being built and the list of
#    sources files needed to build that component.  Also specifies optional
#    compiler switches and libraries that are unique for the component being
#    built.
#
#  This directory builds
#       WIA Sample Camera Driver
#
# ############################################################

TARGETNAME=first
TARGETTYPE=DRIVER
SOURCES=first.c
===============================

开始->程序->Windows Driver Kits-> WDK XXXX.XXXX ->Build Enviroments ->Windows XP ->Launch Windows XP x86 Checked Build Enviroment

编译即得到first.sys

4. Vmware创建一个新的虚拟机,并安装WindowsXP SP3系统
步骤在此不再详述,可搜索相关帖子
记得安装Vmware tools, 以方便虚拟机内外共享文件

5. 在虚拟机中下载并安装srvinstw
srvinstw即services installation for windows
搜索下载,参考

a. 将刚刚编译生成的first.sys拖入虚拟机
b. 安装服务->本地计算机->输入不与已存在服务重名的服务名
c. 手动输入sys文件的路径
d. 选择“设备驱动”
e. 选择启动类型为手动

6. 运行与查看输出信息
至此内核模块已经可以运行了,可以通过net start first / net stop first来启动和停止该服务
内核模块的输出可以在WinDbg中查看;也可以直接用DbgView.exe来查看输出

去微软的网站上下载DebugView.exe,参考地址
 
DebugView需要在Capture菜单中将Capture Kernel勾上

再次启动/停止服务,就可以在DbgView中看到输出了

7. 在调试机(宿主机)安装WinDbg
WinDbg下载地址参考:

8. 设置Windows XP调试执行
显示所有文件,不隐藏系统保护的文件后
在系统盘下打开并修改boot.ini文件

内容通常为:
============================
[boot loader]
timeout=0
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
============================
最后一行复制一下,并加上新的参数使之以调试方法启动
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect /debug /debugport=com1 /baudrate=115200

9. 设置VMWare的管道虚拟串口
调试机应与被调试机以串口相连,若被调试机是虚拟机,可以在虚拟机上生成一个用管道虚拟的串口

打开虚拟机,不要启动->左边Commands栏->Edit virtual machine settings->Hardware->Add
在Add Hardware Wizard中,
类型选择"Serial Port"
选择"Output to named pipe"
接下来分别选择"\\.\pipe\com_1"和"This end is the server"以及"The other end is an application."
完成即可

10. WinDbg的启动参数
在调试机上加上如下参数启动WinDbg,使之连接一个管道,并把这个管道当作一个串口来处理

windbg.exe -b -k com:port=\\.=pipe\com_1,baud=115200,pipe

在控制台执行此命令或者在windbg.exe的快捷方式属性中“目标”中增加上述启动参数

先打开虚拟机,启动到调试模式下的Windows,然后启动WinDbg,显示已连接上的信息就表示成功了
刚连接上时虚拟机里的系统会被中断,这时要在WinDbg的命令提示符“kd>”后输入“g”并回车

11. 设置Windows的内核符号表
WindDbg把内核视为一个整体,只要告诉它代码的路径和符号表的路径就可以了
调试连接上之后,File->Symbol File Path, 输入符号表位置,指定编译结果所在的objchk_wxp_x86\i386即可
还需要指定Windows的内核符号表,在上文的符号表路径中增加一条路径,与之前的用分号隔开:
srv*c:\symbols*

可打开C:\symbols查看是否将符号表下下来;若没有,多Reload几次

12. 调试first
源码中
#if DBG
  _asm int 3
#endif

int 3是一句汇编指令,执行到此程序会中断;若不是调试状态执行则会直接蓝屏
加上宏DBG测试以保证只有调试版本该语句才会被编译

在虚拟机中运行net start first, 则会看到弹出断点


此时可以打开Watch窗口观察和修改变量了

本文是根据谭文《Windows内核安全编程》一书,结合自己的实际应用进行整理所得
阅读(2132) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~