Windows驱动程序框架理解_经典入门

标题: 【原创】Windows驱动程序框架

windows驱动程序入门比较坑爹一点，本文旨在降低入门的门槛。注：下面的主要以NT式驱动为例，部分涉及到WDM驱动的差别会有特别说明。

首先，肯定是配置好对应的开发环境啦，不懂的就百度下吧，这里不再次描述了。

在Console控制台下，我们的有一个入口函数main；在Windows图形界面平台下，有另外一个入口函数Winmain。我们只要在这入口函数里面调用其他相关的函数，程序就会按照我们的意愿跑起来了。在我们用IDE开发的时候，也许你不会发现这些细微之处是如何配置出来的，一般来说我们也不用理会，因为在新建工程的时候，IDE已经帮我们把编译器（Compiler）以及连接器（Linker）的相关参数设置好，在正式编程的时候，我们只要按照规定的框架编程就行了。

同样，在驱动程序也有一个入口函数DriverEntry，这并不是一定的，但这是微软默认的、推荐使用的。在我们配置开发环境的时候我们有机会指定入口函数，这是链接器的参数/entry:"DriverEntry"。

入口函数的声明

代码:

DriverEntry主要是对驱动程序进行初始化工作，它由系统进程（System）创建，系统启动的时候System系统进程就被创建了。

驱动加载的时候，系统进程将会创建新的线程，然后调用执行体组件中的对象管理器，创建一个驱动对象（DRIVER_OBJECT）。另外，系统进程还得调用执行体组件中的配置管理程序，查询此驱动程序在注册表中对应项。系统进程在调用驱动程序的Driv erEntry的时候就会将这两个值传到pDriverObject和pRegistryPath。

接下来，我们介绍下上面出现的几个数据结构：

typedef LONG NTSTATUS

在驱动开发中，我们应习惯于用NTSTATUS返回信息，NTSTATUS各个位有不同的含义，我们可以也应该用宏NT_SUCCESS来判断是否返回成功。

代码:

NTSTAUS的编码意义：

其中

Ser是Serviity的缩写，代表严重程度。

00：成功01：信息10：警告11：错误

C是Customer的缩写，代表自定义的位。

Facility：设备位

Code：设备的状态代码。

根据这定义编码，还有补码的概念，那么只要是错误的时候，最高位就是1，NTSTATUS的值就是负数，所以可以大于零来判断，但无论如何都希望读者用NT_SUCCESS宏来判断是否成功，因为这可能在以后会有所改动，即使这么多年来都一直沿用着。

同样的，微软也为我们定义了其他几个判断宏：

代码:

有了之前的介绍，这三个相信不说大家也能领会了。但最常用的还是NT_SUCCESS。

我们继续说其他的两个数据结构，先说PUNICODE_STRING吧，P代表这是一个指针类型，指向一个UNICODE_STRING结构。

宽字符串结构体（UNICODE_STRING）

代码:

其中，

ØLength：Unicode字符串当前的字符长度。注意不是字节数，每个Unicode字符占用两个字节。

ØMaximumLength：该Unicode字符串的最大容纳长度。

ØBuffer：Unicode字符串的缓冲地址。

UNICODE_STRING是Windows驱动开发里面经常用到的一个结构，用Length来标记字符串的长度而不再用\0来表示结束。可以用RtlInitUnicodeString来对其初始化，但这里的pRegistryPath是直接由创建驱动程序的线程传进来的参数，如果在接下来仍需要用到该值，最好是使用RtlCopyUnicodeString函数将其值另外保存下来，因为这个字符串并不是长期存在的，DriverEn try函数返回的时候可能就会被销毁了。

PDRIVER_OBJECT，P代表这是一个指针类型，指向一个驱动对象（DRIVER_OBJECT），每个驱动程序都有一个驱动对象。这是一个半透明的数据结构，微软没有公开它的完全定义，只是有提到几个成员，但我们依旧可以通过WinDbg看到它的定义，只是不同的系统可能会存在不同的结构。不过我另外在WDK的头文件WDM.h里面发现了它的定义：

驱动对象（DRIVER_OBJECT）

代码:

这里提下几个比较重要的字段，

ØDeviceObject：指向由此驱动创建的设备对象。每个驱动程序都会有一个或多个的设备对象。其中，每个设备对象都会有一个指针指向下一个设备对象，这在我们介绍设备对象的时候再继续说。

ØDriverName：驱动的名字，该字符串一般为\Driver\[驱动程序名称]。

ØHardwareDatabase：记录设备的硬件数据库键名。该字符串一般为"\REGISTRY\MACHINE\SYSTEM\ControlSet001\Services \[服务名]"。

ØFastIoDispatch：指向快速I/O函数入口，是文件驱动中用到的排遣函数。

ØDriverStartIo:记录StartIo例程的函数地址，用于串行化操作。

ØDriverUnload：指定驱动卸载时所用的回调函数地址。

ØMajorFunction：这是一个函数指针数组，每个指针指向的是一个函数，该函数就是处理相应IRP的排遣函数，数组的索引值与IRP_MJ_XXX相对应。

我们已经了解了DriverEntry函数头的那个数据结构了，但这还不够，在DriverEntry里，我们主要是对驱动程序进行初始化，这就涉及到其他的一些数据结构了，下面我们继续逐一地介绍。

设备对象（DEVICE_OBJECT）

代码: