从头开始了解和使用Hypervisor（第1部分） - 嘶吼 RoarTalk – 网络安全行业综合服务平台,4hou.com
登录   |   注册

从头开始了解和使用Hypervisor（第1部分）

gejigeji web安全 2019-12-04 09:14:25
803383
收藏

导语：毫不夸张地说，学习完本文，你完全可以创建自己的虚拟环境，并且可以了解VMWare，VirtualBox，KVM和其他虚拟化软件如何使用处理器的函数来创建虚拟环境。

hypervisor-p1.png

毫不夸张地说，学习完本文，你完全可以创建自己的虚拟环境，并且可以了解VMWare，VirtualBox，KVM和其他虚拟化软件如何使用处理器的函数来创建虚拟环境。

Intel和AMD都在其现代CPU中支持虚拟化，Intel于2005年11月13日在奔腾4系列中推出了代号为“Vanderpool”的VT-x技术，VT-x是intel运用Virtualization虚拟化技术中的一个指令集。VT-x函数的CPU标志是“vmx”，代表虚拟机扩展。

另一方面，AMD开发了代号为“Pacifica”的第一代虚拟化扩展，并最初以AMD安全虚拟机（SVM）的形式发布，但后来以AMD Virtualization的商标销售，缩写为AMD-V。

虚拟机管理程序有两种类型，类型1的管理程序称为“裸机管理程序”或“本机”，因为它可以直接在裸机物理服务器上运行，因此类型1的管理程序可以直接访问硬件。使用类型1虚拟机管理程序时，没有要加载的操作系统作为虚拟机管理程序。

与类型1管理程序相反，就像其他任何应用程序一样，类型2管理程序加载在操作系统内部。由于类型2虚拟机管理程序必须通过操作系统并由操作系统进行管理，因此类型2虚拟机管理程序（及其虚拟机）的运行效率（较慢）将低于类型1虚拟机管理程序。

关于虚拟化的更多概念是相同的，但是在VT-x和AMD-V中需要有不同的考虑。这些教程的其余部分主要关注VT-x，因为IntelCPU越来越流行，使用也越来越广泛。在我看来，AMD在其手册中更清晰地描述了虚拟化，但是Intel在某种程度上使读者感到困惑，尤其是在虚拟化文件中。

虚拟机管理程序和平台

这些概念是与平台无关的，我的意思是你可以在Linux或Windows中轻松运行相同的代码例程，并期望CPU产生相同的行为，但我更喜欢使用Windows，因为Windows更易于调试。在需要时提供一些Linux系统的示例。就个人而言，由于Linux内核管理#GP和其他异常之类的错误，并尝试避免内核崩溃并保持系统正常运行，因此它更适合测试虚拟机管理程序或与CPU相关的任何事物。另一方面，Windows从不尝试管理任何意外的异常，每当你不管理异常时，它都会导致蓝屏死机，因此你可能会收到很多BSOD。最后，我可能（并且肯定）会犯错误，例如错误的实现或错误的信息。

需要的工具

安装WDK的Visual Studio，你可以在此处获取Windows Driver Kit（WDK）。

调试Windows和任何内核模式的最佳方法是使用Windows SDK中提供的Windbg。如果使用默认安装选项安装了WDK，则可能同时安装了WDK和SDK，因此可以跳过此步骤。

你应该能够使用Windbg调试操作系统（在本文中为Windows），更多信息请参见此处。OSR驱动程序加载器可以在这里下载，我们使用此工具将驱动程序加载到Windows计算机中。用于打印DbgPrint()结果的SysInternals调试视图：

1.jpg

创建测试环境

本教程中几乎所有代码都必须在内核级别运行，并且你必须设置Linux内核模块或Windows Driver Kit（WDK）模块。由于配置VMM涉及许多汇编代码，因此你应该知道如何在内核项目中运行内联汇编。在Linux中，你不需要做任何特别的事情，但在Windows中，WDK不再支持x64环境中的内联汇编，因此，如果你以前没有解决此问题，则可能会很难创建一个简单的x64内联项目，但是不用担心，在我后面的文章中我会一一讲到。

现在该创建驱动程序了！

如果你想从Windows Driver Kit（WDK）开始，则整个驱动程序是这样的：

#include <ntddk.h>
#include <wdf.h>
#include <wdm.h>

extern void inline AssemblyFunc1(void);
extern void inline AssemblyFunc2(void);

VOID DrvUnload(PDRIVER_OBJECT  DriverObject);
NTSTATUS DriverEntry(PDRIVER_OBJECT  pDriverObject, PUNICODE_STRING  pRegistryPath);

#pragma alloc_text(INIT, DriverEntry)
#pragma alloc_text(PAGE, Example_Unload)

NTSTATUS DriverEntry(PDRIVER_OBJECT  pDriverObject, PUNICODE_STRING  pRegistryPath)
{
	NTSTATUS NtStatus = STATUS_SUCCESS;
	UINT64 uiIndex = 0;
	PDEVICE_OBJECT pDeviceObject = NULL;
	UNICODE_STRING usDriverName, usDosDeviceName;

	DbgPrint("DriverEntry Called.");

	RtlInitUnicodeString(&usDriverName, L"\Device\MyHypervisor");
	RtlInitUnicodeString(&usDosDeviceName, L"\DosDevices\MyHypervisor");

	NtStatus = IoCreateDevice(pDriverObject, 0, &usDriverName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObject);

	if (NtStatus == STATUS_SUCCESS)
	{
		pDriverObject->DriverUnload = DrvUnload;
		pDeviceObject->Flags |= IO_TYPE_DEVICE;
		pDeviceObject->Flags &= (~DO_DEVICE_INITIALIZING);
		IoCreateSymbolicLink(&usDosDeviceName, &usDriverName);
	}
	return NtStatus;
}

VOID DrvUnload(PDRIVER_OBJECT  DriverObject)
{
	UNICODE_STRING usDosDeviceName;
	DbgPrint("DrvUnload Called rn");
	RtlInitUnicodeString(&usDosDeviceName, L"\DosDevices\MyHypervisor");
	IoDeleteSymbolicLink(&usDosDeviceName);
	IoDeleteDevice(DriverObject->DeviceObject);
}

AssemblyFunc1和AssemblyFunc2是定义为内联x64汇编代码的两个外部函数。

我们的驱动程序需要注册一个设备，以便我们可以通过用户模式代码与虚拟环境进行通信，另一方面，我定义了使用PnP Windows驱动程序函数的DrvUnload，你可以轻松卸载驱动程序并删除设备，然后重新加载并创建一个新设备。以下代码会负责创建新设备：

	RtlInitUnicodeString(&usDriverName, L"\Device\MyHypervisor");
	RtlInitUnicodeString(&usDosDeviceName, L"\DosDevices\MyHypervisor");

	NtStatus = IoCreateDevice(pDriverObject, 0, &usDriverName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObject);

	if (NtStatus == STATUS_SUCCESS)
	{
		pDriverObject->DriverUnload = DrvUnload;
		pDeviceObject->Flags |= IO_TYPE_DEVICE;
		pDeviceObject->Flags &= (~DO_DEVICE_INITIALIZING);
		IoCreateSymbolicLink(&usDosDeviceName, &usDriverName);
	}

如果你使用的是Windows，则应禁用驱动程序签名强制执行以加载驱动程序，这是因为Microsoft禁止任何未经验证的代码在Windows内核（Ring 0）中运行。

为此，请按住Shift键并重新启动计算机。你应该看到一个新窗口，然后：

1.单击高级选项；

2.在新窗口中，单击“启动设置”。

3.单击重新启动。

4.在“启动设置”屏幕上，按7或F7以禁用驱动程序签名；

4.png

通过注册表启用Windows调试消息，这样你就可以通过SysInternals DebugView获得DbgPrint()结果。

只需执行以下步骤：

1.在regedit中，添加一个密钥：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Debug Print Filter

接着，添加一个名为IHVDRIVER的DWORD值，其值为0xFFFF。重新启动计算机，你就可以开始了。

不过在重新开始之前，你需要了解一些基本概念：

1.虚拟机监控器（VMM）：VMM充当主机，并完全控制处理器和其他平台硬件，VMM能够保留对处理器资源，物理内存，中断管理和I/O的选择性控制。

2.客户软件（Guest Software）：每个虚拟机（VM）是一个客户软件环境。

3.VMX根操作和VMX非根操作：VMM将以VMX根操作运行，而客户软件将以VMX非根操作运行。

4.VMX转换：VMX根操作和VMX非根操作之间的转换。

5.VM条目：转换为VMX非根操作。

6.扩展页表（EPT）：一种现代机制，它使用第二层将客户物理地址转换为主机物理地址。

7.VM退出：从VMX非根操作转换为VMX根操作。

8.虚拟机控制结构（VMCS）：是内存中的数据结构，每个虚拟机仅存在一次或者更精确地说，每个VCPU[虚拟CPU]只存在一次，而由VMM管理。随着不同VM之间执行上下文的每次更改，将为当前VM重启VMCS，从而使用VMCS定义VM的虚拟处理器和VMM控制客户软件的状态。

VMCS包含六个逻辑组：

1.客户状态区域：处理器状态已保存到VM退出处的客户状态区域中，并已加载到VM条目中；

2. 主机状态区域：从VM上的主机状态区域加载的处理器状态；

3.VM执行控制字段：在VMX非root用户操作中控制处理器操作的字段；

4. VM退出控制字段：控制VM退出的字段。

5. VM条目控制字段：控制VM条目的字段。

6.VM退出信息字段：只读字段，用于接收有关VM退出的信息，描述VM退出的原因和性质。

详见下图：

5.jpeg

不用担心这些字段，我将在后面的文章中对它们中的大多数进行清楚的解释，只要记住VMCS结构在不同版本的处理器之间是不同的即可。

VMX指令

VMX引入了以下新指令。

1.INVEPT：使EPT衍生的翻译无效

2.INVVPID：基于VPID的翻译无效

3. VMCALL：调用VM监控器；

4. VMCLEAR：清晰的虚拟机控制结构；

5. VMFUNC：VM调用函数；

6.VMLAUNCH：启动虚拟机；

7. VMRESUME：重启虚拟机；

8.VMPTRLD；指向虚拟机控制结构的载荷指针；

9.VMPTRST：存储指向虚拟机控制结构的指针；

10. VMREAD：从虚拟机控制结构读取字段；

11. VMREAD：将字段写入虚拟机控制结构；

12.VMXOFF：退出VMX操作；

13.VMXON：输入VMX操作；

VMM软件的运行周期

6.png

以下各项概述了VMM及其客户软件的生命周期以及它们之间的交互：

1.软件通过执行VMXON指令进入VMX操作；

2.然后，使用VM条目，VMM可以将客户虚拟机变成VM（一次一个）。 VMM使用指令VMLAUNCH和VMRESUME来影响VM条目，它使用VM退出重新获得控制权。

3.VM退出到VMM指定的入口点的传输控制。 VMM可以采取适合于VM退出原因的操作，然后可以使用VM条目返回到VM。

4.最终，VMM可能会自我关闭并退出VMX操作，它通过执行VMXOFF指令来实现。

接下来，我将说明如何使用上面创建的工具在计算机上启用VMX。 

Intel结构和常量（包括VT-x标头）

在本部分中，我们将学习检测处理器对虚拟机监控器的支持，然后简单地配置基本内容以启用VMX和进入VMX操作，以及有关Window Driver Kit（WDK）的更多内容。

配置IRP主要函数

除了我们的内核模式驱动程序（“MyHypervisorDriver”）之外，我创建了一个用户模式应用程序称为“MyHypervisorApp”,首先，你应该在用户模式而不是内核模式中编写代码（源代码见此），这是因为你可能未处理异常，因此会导致BSOD，或者，另一方面，在内核模式下运行较少的代码，以减少出现漏洞的可能性。

如上所述，我们已经创建了一些Windows Driver Kit代码，现在我们要接着开发更多IRP函数。

IRP主要函数位于为每个设备创建的常规Windows表中，一旦在Windows中注册了设备，就必须引入这些函数来处理这些IRP主要函数。这就像每个设备都有其主要函数表，并且每次用户模式应用程序调用其中的任何函数时，Windows都会根据用户请求的设备查找相应的函数（如果设备驱动程序支持该MJ函数），然后调用它将IRP指针传递给内核驱动程序。它的职责是检查设备函数的权限，以下的代码创建设备：

	NTSTATUS NtStatus = STATUS_SUCCESS;
	UINT64 uiIndex = 0;
	PDEVICE_OBJECT pDeviceObject = NULL;
	UNICODE_STRING usDriverName, usDosDeviceName;

	DbgPrint("[*] DriverEntry Called.");	

	RtlInitUnicodeString(&usDriverName, L"\\Device\\MyHypervisorDevice");
	
	RtlInitUnicodeString(&usDosDeviceName, L"\\DosDevices\\MyHypervisorDevice");

	NtStatus = IoCreateDevice(pDriverObject, 0, &usDriverName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObject);
	NTSTATUS NtStatusSymLinkResult = IoCreateSymbolicLink(&usDosDeviceName, &usDriverName);

请注意，我们的设备名称为“\ device \MyHypervisorDevice”。之后，我们需要介绍设备的主要函数。

	if (NtStatus == STATUS_SUCCESS && NtStatusSymLinkResult == STATUS_SUCCESS)
	{
		for (uiIndex = 0; uiIndex < IRP_MJ_MAXIMUM_FUNCTION; uiIndex++)
			pDriverObject->MajorFunction[uiIndex] = DrvUnsupported;

		DbgPrint("[*] Setting Devices major functions.");
		pDriverObject->MajorFunction[IRP_MJ_CLOSE] = DrvClose;
		pDriverObject->MajorFunction[IRP_MJ_CREATE] = DrvCreate;
		pDriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DrvIOCTLDispatcher;
		pDriverObject->MajorFunction[IRP_MJ_READ] = DrvRead;
		pDriverObject->MajorFunction[IRP_MJ_WRITE] = DrvWrite;

		pDriverObject->DriverUnload = DrvUnload;
	}
	else {
		DbgPrint("[*] There was some errors in creating device.");
	}

你会看到我对所有函数都添加了“DrvUnsupported”，这是一个用于处理所有MJ函数的函数，并告诉用户不支持该函数。该函数的主体如下所示：

NTSTATUS DrvUnsupported(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	DbgPrint("[*] This function is not supported :( !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

我们还介绍了其他一些对我们的设备来说必不可少的主要函数，我们将在未来完成这些实现，现在先不要管这些函数，知道就行。

NTSTATUS DrvCreate(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	DbgPrint("[*] Not implemented yet :( !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

NTSTATUS DrvRead(IN PDEVICE_OBJECT DeviceObject,IN PIRP Irp)
{
	DbgPrint("[*] Not implemented yet :( !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

NTSTATUS DrvWrite(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	DbgPrint("[*] Not implemented yet :( !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

NTSTATUS DrvClose(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	DbgPrint("[*] Not implemented yet :( !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

现在，我们来看看IRP MJ 函数列表和其他类型的Windows Driver Kit处理程序例程。

5.png

IRP主要函数列表

这是IRP主要函数的列表，我们可以使用这些函数来执行不同的操作。

#define IRP_MJ_CREATE                   0x00
#define IRP_MJ_CREATE_NAMED_PIPE        0x01
#define IRP_MJ_CLOSE                    0x02
#define IRP_MJ_READ                     0x03
#define IRP_MJ_WRITE                    0x04
#define IRP_MJ_QUERY_INFORMATION        0x05
#define IRP_MJ_SET_INFORMATION          0x06
#define IRP_MJ_QUERY_EA                 0x07
#define IRP_MJ_SET_EA                   0x08
#define IRP_MJ_FLUSH_BUFFERS            0x09
#define IRP_MJ_QUERY_VOLUME_INFORMATION 0x0a
#define IRP_MJ_SET_VOLUME_INFORMATION   0x0b
#define IRP_MJ_DIRECTORY_CONTROL        0x0c
#define IRP_MJ_FILE_SYSTEM_CONTROL      0x0d
#define IRP_MJ_DEVICE_CONTROL           0x0e
#define IRP_MJ_INTERNAL_DEVICE_CONTROL  0x0f
#define IRP_MJ_SHUTDOWN                 0x10
#define IRP_MJ_LOCK_CONTROL             0x11
#define IRP_MJ_CLEANUP                  0x12
#define IRP_MJ_CREATE_MAILSLOT          0x13
#define IRP_MJ_QUERY_SECURITY           0x14
#define IRP_MJ_SET_SECURITY             0x15
#define IRP_MJ_POWER                    0x16
#define IRP_MJ_SYSTEM_CONTROL           0x17
#define IRP_MJ_DEVICE_CHANGE            0x18
#define IRP_MJ_QUERY_QUOTA              0x19
#define IRP_MJ_SET_QUOTA                0x1a
#define IRP_MJ_PNP                      0x1b
#define IRP_MJ_PNP_POWER                IRP_MJ_PNP      // Obsolete....
#define IRP_MJ_MAXIMUM_FUNCTION         0x1b

每个主要函数只有在我们从用户模式调用相应函数时才会被触发，例如，在用户模式下，有一个名为CreateFile的函数，它已经有了变体，如用于ASCII和Unicode的CreateFileA和CreateFileW。因此我们每次调用CreateFile时，都会调用注册为IRP_MJ_CREATE的函数，或者如果我们调用ReadFile，则调用IRP_MJ_READ和WriteFile，最后IRP_MJ_WRITE被调用。你可以看到Windows将其设备视为文件，并且当调用该函数时，PIRP Irp中提供了从用户模式传递到内核模式所需的所有内容，作为缓冲区。

在本文的示例中，Windows负责将用户模式缓冲区复制到内核模式堆栈。不用担心，我们在项目的其余部分会经常使用它，但是在本部分中我们仅支持IRP_MJ_CREATE，而在以后的部分中则没有实现其他函数。

IRP次要函数

IRP次要函数主要用于PnP管理器通知特殊事件，例如，PnP管理器在将硬件资源（如果有的话）分配给设备后发送IRP_MN_START_DEVICE或PnP管理器发送IRP_MN_STOP_DEVICE来停止设备，以便重新配置设备的硬件资源。

在后面部分，我们将需要这些次要函数。

IRP次要函数列表如下：

IRP_MN_START_DEVICE
IRP_MN_QUERY_STOP_DEVICE
IRP_MN_STOP_DEVICE
IRP_MN_CANCEL_STOP_DEVICE
IRP_MN_QUERY_REMOVE_DEVICE
IRP_MN_REMOVE_DEVICE
IRP_MN_CANCEL_REMOVE_DEVICE
IRP_MN_SURPRISE_REMOVAL
IRP_MN_QUERY_CAPABILITIES	
IRP_MN_QUERY_PNP_DEVICE_STATE
IRP_MN_FILTER_RESOURCE_REQUIREMENTS
IRP_MN_DEVICE_USAGE_NOTIFICATION
IRP_MN_QUERY_DEVICE_RELATIONS
IRP_MN_QUERY_RESOURCES
IRP_MN_QUERY_RESOURCE_REQUIREMENTS
IRP_MN_QUERY_ID
IRP_MN_QUERY_DEVICE_TEXT
IRP_MN_QUERY_BUS_INFORMATION
IRP_MN_QUERY_INTERFACE
IRP_MN_READ_CONFIG
IRP_MN_WRITE_CONFIG
IRP_MN_DEVICE_ENUMERATED
IRP_MN_SET_LOCK

快速I/O

为了优化VMM，可以使用快速I/O，这是一种启动I/O操作的方法，该方法比IRP快，快速的I/O操作始终是同步的。

快速I/O专为缓存文件上的快速同步I/O而设计。在快速I/O操作中，数据直接在用户缓冲区和系统缓存之间传输，而绕过文件系统和存储驱动程序堆栈。存储驱动程序不使用快速I/O，如果在收到快速I/O读或写请求时从文件读取的所有数据都驻留在系统高速缓存中，则该请求将立即得到满足。

当I/O管理器收到对同步文件I/O（而不是分页I/O）的请求时，它将首先调用快速I/O例程。如果快速I/O例程返回TRUE，则该操作由快速I/O例程提供服务。如果快速I/O例程返回FALSE，则I/O管理器将创建并发送IRP。

快速I/O调度表的定义如下：

typedef struct _FAST_IO_DISPATCH {
  ULONG                                  SizeOfFastIoDispatch;
  PFAST_IO_CHECK_IF_POSSIBLE             FastIoCheckIfPossible;
  PFAST_IO_READ                          FastIoRead;
  PFAST_IO_WRITE                         FastIoWrite;
  PFAST_IO_QUERY_BASIC_INFO              FastIoQueryBasicInfo;
  PFAST_IO_QUERY_STANDARD_INFO           FastIoQueryStandardInfo;
  PFAST_IO_LOCK                          FastIoLock;
  PFAST_IO_UNLOCK_SINGLE                 FastIoUnlockSingle;
  PFAST_IO_UNLOCK_ALL                    FastIoUnlockAll;
  PFAST_IO_UNLOCK_ALL_BY_KEY             FastIoUnlockAllByKey;
  PFAST_IO_DEVICE_CONTROL                FastIoDeviceControl;
  PFAST_IO_ACQUIRE_FILE                  AcquireFileForNtCreateSection;
  PFAST_IO_RELEASE_FILE                  ReleaseFileForNtCreateSection;
  PFAST_IO_DETACH_DEVICE                 FastIoDetachDevice;
  PFAST_IO_QUERY_NETWORK_OPEN_INFO       FastIoQueryNetworkOpenInfo;
  PFAST_IO_ACQUIRE_FOR_MOD_WRITE         AcquireForModWrite;
  PFAST_IO_MDL_READ                      MdlRead;
  PFAST_IO_MDL_READ_COMPLETE             MdlReadComplete;
  PFAST_IO_PREPARE_MDL_WRITE             PrepareMdlWrite;
  PFAST_IO_MDL_WRITE_COMPLETE            MdlWriteComplete;
  PFAST_IO_READ_COMPRESSED               FastIoReadCompressed;
  PFAST_IO_WRITE_COMPRESSED              FastIoWriteCompressed;
  PFAST_IO_MDL_READ_COMPLETE_COMPRESSED  MdlReadCompleteCompressed;
  PFAST_IO_MDL_WRITE_COMPLETE_COMPRESSED MdlWriteCompleteCompressed;
  PFAST_IO_QUERY_OPEN                    FastIoQueryOpen;
  PFAST_IO_RELEASE_FOR_MOD_WRITE         ReleaseForModWrite;
  PFAST_IO_ACQUIRE_FOR_CCFLUSH           AcquireForCcFlush;
  PFAST_IO_RELEASE_FOR_CCFLUSH           ReleaseForCcFlush;
} FAST_IO_DISPATCH, *PFAST_IO_DISPATCH;

定义标头文件

我为驱动程序创建了以下标头文件（source.h）。

#pragma once
#include <ntddk.h>
#include <wdf.h>
#include <wdm.h>

extern void inline Breakpoint(void);
extern void inline Enable_VMX_Operation(void);


NTSTATUS DriverEntry(PDRIVER_OBJECT  pDriverObject, PUNICODE_STRING  pRegistryPath);
VOID DrvUnload(PDRIVER_OBJECT  DriverObject);
NTSTATUS DrvCreate(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvRead(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvWrite(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvClose(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvUnsupported(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvIOCTLDispatcher(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);

VOID PrintChars(_In_reads_(CountChars) PCHAR BufferAddress, _In_ size_t CountChars);
VOID PrintIrpInfo(PIRP Irp);

#pragma alloc_text(INIT, DriverEntry)
#pragma alloc_text(PAGE, DrvUnload)
#pragma alloc_text(PAGE, DrvCreate)
#pragma alloc_text(PAGE, DrvRead)
#pragma alloc_text(PAGE, DrvWrite)
#pragma alloc_text(PAGE, DrvClose)
#pragma alloc_text(PAGE, DrvUnsupported)
#pragma alloc_text(PAGE, DrvIOCTLDispatcher)



// IOCTL Codes and Its meanings
#define IOCTL_TEST 0x1 // In case of testing

现在，只需编译驱动程序即可。

加载驱动程序并检查设备是否存在

为了加载我们的驱动程序（MyHypervisorDriver），首先下载OSR驱动程序加载程序，然后以管理员身份运行Sysinternals DbgView，确保你的DbgView捕获了内核（你可以通过Capture-> Capture Kernel进行检查）。

10.png

之后，打开OSR Driver Loader（转到OsrLoader-> kit-> WNET-> AMD64-> FRE）并打开OSRLOADER.exe（在x64环境中）。现在，如果你构建了驱动程序，则在OSR驱动程序加载程序中找到.sys文件（在MyHypervisorDriver\x64\Debug\ 应该是一个名为“MyHypervisorDriver.sys”的文件），单击浏览并选择MyHypervisorDriver.sys，然后点击“登记服务”后,消息框显示你的驱动注册成功,此时点击“启动服务”即可。

请注意，你应该为Visual Studio安装WDK，以便能够构建未来的项目。

11.png

现在返回DbgView，你应该能够看到驱动程序已成功加载，并显示一条“[*] DriverEntry Called. ”消息。

如果没有问题，那就很好了；否则，如果DbgView有问题，还要进一步检查。

请记住，现在你已经注册了驱动程序，因此可以使用SysInternals WinObj来查看“ MyHypervisorDevice”是否可用。

12.png
  • 分享至
  •
取消

感谢您的支持，我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论

 

你可能感兴趣的

公司简介 | 我要投稿 | 更新日志 | 友情链接 | 隐私政策 |
本站4hou.com，所使用的字体和图片文字等素材部分来源于原作者或互联网共享平台。如使用任何字体和图片文字有侵犯其版权所有方的，嘶吼将配合联系原作者核实，并做出删除处理。
©2022 北京嘶吼文化传媒有限公司 京ICP备16063439号-1 本站由 提供云计算服务