从头开始了解和使用Hypervisor(第1部分)

gejigeji Web安全 2019年12月4日发布
Favorite收藏

导语:毫不夸张地说,学习完本文,你完全可以创建自己的虚拟环境,并且可以了解VMWare,VirtualBox,KVM和其他虚拟化软件如何使用处理器的函数来创建虚拟环境。

hypervisor-p1.png

毫不夸张地说,学习完本文,你完全可以创建自己的虚拟环境,并且可以了解VMWare,VirtualBox,KVM和其他虚拟化软件如何使用处理器的函数来创建虚拟环境。

Intel和AMD都在其现代CPU中支持虚拟化,Intel于2005年11月13日在奔腾4系列中推出了代号为“Vanderpool”的VT-x技术,VT-x是intel运用Virtualization虚拟化技术中的一个指令集。VT-x函数的CPU标志是“vmx”,代表虚拟机扩展。

另一方面,AMD开发了代号为“Pacifica”的第一代虚拟化扩展,并最初以AMD安全虚拟机(SVM)的形式发布,但后来以AMD Virtualization的商标销售,缩写为AMD-V。

虚拟机管理程序有两种类型,类型1的管理程序称为“裸机管理程序”或“本机”,因为它可以直接在裸机物理服务器上运行,因此类型1的管理程序可以直接访问硬件。使用类型1虚拟机管理程序时,没有要加载的操作系统作为虚拟机管理程序。

与类型1管理程序相反,就像其他任何应用程序一样,类型2管理程序加载在操作系统内部。由于类型2虚拟机管理程序必须通过操作系统并由操作系统进行管理,因此类型2虚拟机管理程序(及其虚拟机)的运行效率(较慢)将低于类型1虚拟机管理程序。

关于虚拟化的更多概念是相同的,但是在VT-x和AMD-V中需要有不同的考虑。这些教程的其余部分主要关注VT-x,因为IntelCPU越来越流行,使用也越来越广泛。在我看来,AMD在其手册中更清晰地描述了虚拟化,但是Intel在某种程度上使读者感到困惑,尤其是在虚拟化文件中。

虚拟机管理程序和平台

这些概念是与平台无关的,我的意思是你可以在Linux或Windows中轻松运行相同的代码例程,并期望CPU产生相同的行为,但我更喜欢使用Windows,因为Windows更易于调试。在需要时提供一些Linux系统的示例。就个人而言,由于Linux内核管理#GP和其他异常之类的错误,并尝试避免内核崩溃并保持系统正常运行,因此它更适合测试虚拟机管理程序或与CPU相关的任何事物。另一方面,Windows从不尝试管理任何意外的异常,每当你不管理异常时,它都会导致蓝屏死机,因此你可能会收到很多BSOD。最后,我可能(并且肯定)会犯错误,例如错误的实现或错误的信息。

需要的工具

安装WDK的Visual Studio,你可以在此处获取Windows Driver Kit(WDK)。

调试Windows和任何内核模式的最佳方法是使用Windows SDK中提供的Windbg。如果使用默认安装选项安装了WDK,则可能同时安装了WDK和SDK,因此可以跳过此步骤。

你应该能够使用Windbg调试操作系统(在本文中为Windows),更多信息请参见此处。OSR驱动程序加载器可以在这里下载,我们使用此工具将驱动程序加载到Windows计算机中。用于打印DbgPrint()结果的SysInternals调试视图:

1.jpg

创建测试环境

本教程中几乎所有代码都必须在内核级别运行,并且你必须设置Linux内核模块或Windows Driver Kit(WDK)模块。由于配置VMM涉及许多汇编代码,因此你应该知道如何在内核项目中运行内联汇编。在Linux中,你不需要做任何特别的事情,但在Windows中,WDK不再支持x64环境中的内联汇编,因此,如果你以前没有解决此问题,则可能会很难创建一个简单的x64内联项目,但是不用担心,在我后面的文章中我会一一讲到。

现在该创建驱动程序了!

如果你想从Windows Driver Kit(WDK)开始,则整个驱动程序是这样的:

#include <ntddk.h>
#include <wdf.h>
#include <wdm.h>

extern void inline AssemblyFunc1(void);
extern void inline AssemblyFunc2(void);

VOID DrvUnload(PDRIVER_OBJECT  DriverObject);
NTSTATUS DriverEntry(PDRIVER_OBJECT  pDriverObject, PUNICODE_STRING  pRegistryPath);

#pragma alloc_text(INIT, DriverEntry)
#pragma alloc_text(PAGE, Example_Unload)

NTSTATUS DriverEntry(PDRIVER_OBJECT  pDriverObject, PUNICODE_STRING  pRegistryPath)
{
	NTSTATUS NtStatus = STATUS_SUCCESS;
	UINT64 uiIndex = 0;
	PDEVICE_OBJECT pDeviceObject = NULL;
	UNICODE_STRING usDriverName, usDosDeviceName;

	DbgPrint("DriverEntry Called.");

	RtlInitUnicodeString(&usDriverName, L"\Device\MyHypervisor");
	RtlInitUnicodeString(&usDosDeviceName, L"\DosDevices\MyHypervisor");

	NtStatus = IoCreateDevice(pDriverObject, 0, &usDriverName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObject);

	if (NtStatus == STATUS_SUCCESS)
	{
		pDriverObject->DriverUnload = DrvUnload;
		pDeviceObject->Flags |= IO_TYPE_DEVICE;
		pDeviceObject->Flags &= (~DO_DEVICE_INITIALIZING);
		IoCreateSymbolicLink(&usDosDeviceName, &usDriverName);
	}
	return NtStatus;
}

VOID DrvUnload(PDRIVER_OBJECT  DriverObject)
{
	UNICODE_STRING usDosDeviceName;
	DbgPrint("DrvUnload Called rn");
	RtlInitUnicodeString(&usDosDeviceName, L"\DosDevices\MyHypervisor");
	IoDeleteSymbolicLink(&usDosDeviceName);
	IoDeleteDevice(DriverObject->DeviceObject);
}

AssemblyFunc1和AssemblyFunc2是定义为内联x64汇编代码的两个外部函数。

我们的驱动程序需要注册一个设备,以便我们可以通过用户模式代码与虚拟环境进行通信,另一方面,我定义了使用PnP Windows驱动程序函数的DrvUnload,你可以轻松卸载驱动程序并删除设备,然后重新加载并创建一个新设备。以下代码会负责创建新设备:

	RtlInitUnicodeString(&usDriverName, L"\Device\MyHypervisor");
	RtlInitUnicodeString(&usDosDeviceName, L"\DosDevices\MyHypervisor");

	NtStatus = IoCreateDevice(pDriverObject, 0, &usDriverName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObject);

	if (NtStatus == STATUS_SUCCESS)
	{
		pDriverObject->DriverUnload = DrvUnload;
		pDeviceObject->Flags |= IO_TYPE_DEVICE;
		pDeviceObject->Flags &= (~DO_DEVICE_INITIALIZING);
		IoCreateSymbolicLink(&usDosDeviceName, &usDriverName);
	}

如果你使用的是Windows,则应禁用驱动程序签名强制执行以加载驱动程序,这是因为Microsoft禁止任何未经验证的代码在Windows内核(Ring 0)中运行。

为此,请按住Shift键并重新启动计算机。你应该看到一个新窗口,然后:

1.单击高级选项;

2.在新窗口中,单击“启动设置”。

3.单击重新启动。

4.在“启动设置”屏幕上,按7或F7以禁用驱动程序签名;

4.png

通过注册表启用Windows调试消息,这样你就可以通过SysInternals DebugView获得DbgPrint()结果。

只需执行以下步骤:

1.在regedit中,添加一个密钥:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Debug Print Filter

接着,添加一个名为IHVDRIVER的DWORD值,其值为0xFFFF。重新启动计算机,你就可以开始了。

不过在重新开始之前,你需要了解一些基本概念:

1.虚拟机监控器(VMM):VMM充当主机,并完全控制处理器和其他平台硬件,VMM能够保留对处理器资源,物理内存,中断管理和I/O的选择性控制。

2.客户软件(Guest Software):每个虚拟机(VM)是一个客户软件环境。

3.VMX根操作和VMX非根操作:VMM将以VMX根操作运行,而客户软件将以VMX非根操作运行。

4.VMX转换:VMX根操作和VMX非根操作之间的转换。

5.VM条目:转换为VMX非根操作。

6.扩展页表(EPT):一种现代机制,它使用第二层将客户物理地址转换为主机物理地址。

7.VM退出:从VMX非根操作转换为VMX根操作。

8.虚拟机控制结构(VMCS):是内存中的数据结构,每个虚拟机仅存在一次或者更精确地说,每个VCPU[虚拟CPU]只存在一次,而由VMM管理。随着不同VM之间执行上下文的每次更改,将为当前VM重启VMCS,从而使用VMCS定义VM的虚拟处理器和VMM控制客户软件的状态。

VMCS包含六个逻辑组:

1.客户状态区域:处理器状态已保存到VM退出处的客户状态区域中,并已加载到VM条目中;

2. 主机状态区域:从VM上的主机状态区域加载的处理器状态;

3.VM执行控制字段:在VMX非root用户操作中控制处理器操作的字段;

4. VM退出控制字段:控制VM退出的字段。

5. VM条目控制字段:控制VM条目的字段。

6.VM退出信息字段:只读字段,用于接收有关VM退出的信息,描述VM退出的原因和性质。

详见下图:

5.jpeg

不用担心这些字段,我将在后面的文章中对它们中的大多数进行清楚的解释,只要记住VMCS结构在不同版本的处理器之间是不同的即可。

VMX指令

VMX引入了以下新指令。

1.INVEPT:使EPT衍生的翻译无效

2.INVVPID:基于VPID的翻译无效

3. VMCALL:调用VM监控器;

4. VMCLEAR:清晰的虚拟机控制结构;

5. VMFUNC:VM调用函数;

6.VMLAUNCH:启动虚拟机;

7. VMRESUME:重启虚拟机;

8.VMPTRLD;指向虚拟机控制结构的载荷指针;

9.VMPTRST:存储指向虚拟机控制结构的指针;

10. VMREAD:从虚拟机控制结构读取字段;

11. VMREAD:将字段写入虚拟机控制结构;

12.VMXOFF:退出VMX操作;

13.VMXON:输入VMX操作;

VMM软件的运行周期

6.png

以下各项概述了VMM及其客户软件的生命周期以及它们之间的交互:

1.软件通过执行VMXON指令进入VMX操作;

2.然后,使用VM条目,VMM可以将客户虚拟机变成VM(一次一个)。 VMM使用指令VMLAUNCH和VMRESUME来影响VM条目,它使用VM退出重新获得控制权。

3.VM退出到VMM指定的入口点的传输控制。 VMM可以采取适合于VM退出原因的操作,然后可以使用VM条目返回到VM。

4.最终,VMM可能会自我关闭并退出VMX操作,它通过执行VMXOFF指令来实现。

接下来,我将说明如何使用上面创建的工具在计算机上启用VMX。 

Intel结构和常量(包括VT-x标头)

在本部分中,我们将学习检测处理器对虚拟机监控器的支持,然后简单地配置基本内容以启用VMX和进入VMX操作,以及有关Window Driver Kit(WDK)的更多内容。

配置IRP主要函数

除了我们的内核模式驱动程序(“MyHypervisorDriver”)之外,我创建了一个用户模式应用程序称为“MyHypervisorApp”,首先,你应该在用户模式而不是内核模式中编写代码(源代码见此),这是因为你可能未处理异常,因此会导致BSOD,或者,另一方面,在内核模式下运行较少的代码,以减少出现漏洞的可能性。

如上所述,我们已经创建了一些Windows Driver Kit代码,现在我们要接着开发更多IRP函数。

IRP主要函数位于为每个设备创建的常规Windows表中,一旦在Windows中注册了设备,就必须引入这些函数来处理这些IRP主要函数。这就像每个设备都有其主要函数表,并且每次用户模式应用程序调用其中的任何函数时,Windows都会根据用户请求的设备查找相应的函数(如果设备驱动程序支持该MJ函数),然后调用它将IRP指针传递给内核驱动程序。它的职责是检查设备函数的权限,以下的代码创建设备:

	NTSTATUS NtStatus = STATUS_SUCCESS;
	UINT64 uiIndex = 0;
	PDEVICE_OBJECT pDeviceObject = NULL;
	UNICODE_STRING usDriverName, usDosDeviceName;

	DbgPrint("[*] DriverEntry Called.");	

	RtlInitUnicodeString(&usDriverName, L"\\Device\\MyHypervisorDevice");
	
	RtlInitUnicodeString(&usDosDeviceName, L"\\DosDevices\\MyHypervisorDevice");

	NtStatus = IoCreateDevice(pDriverObject, 0, &usDriverName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObject);
	NTSTATUS NtStatusSymLinkResult = IoCreateSymbolicLink(&usDosDeviceName, &usDriverName);

请注意,我们的设备名称为“\ device \MyHypervisorDevice”。之后,我们需要介绍设备的主要函数。

	if (NtStatus == STATUS_SUCCESS && NtStatusSymLinkResult == STATUS_SUCCESS)
	{
		for (uiIndex = 0; uiIndex < IRP_MJ_MAXIMUM_FUNCTION; uiIndex++)
			pDriverObject->MajorFunction[uiIndex] = DrvUnsupported;

		DbgPrint("[*] Setting Devices major functions.");
		pDriverObject->MajorFunction[IRP_MJ_CLOSE] = DrvClose;
		pDriverObject->MajorFunction[IRP_MJ_CREATE] = DrvCreate;
		pDriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DrvIOCTLDispatcher;
		pDriverObject->MajorFunction[IRP_MJ_READ] = DrvRead;
		pDriverObject->MajorFunction[IRP_MJ_WRITE] = DrvWrite;

		pDriverObject->DriverUnload = DrvUnload;
	}
	else {
		DbgPrint("[*] There was some errors in creating device.");
	}

你会看到我对所有函数都添加了“DrvUnsupported”,这是一个用于处理所有MJ函数的函数,并告诉用户不支持该函数。该函数的主体如下所示:

NTSTATUS DrvUnsupported(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	DbgPrint("[*] This function is not supported 🙁 !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

我们还介绍了其他一些对我们的设备来说必不可少的主要函数,我们将在未来完成这些实现,现在先不要管这些函数,知道就行。

NTSTATUS DrvCreate(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	DbgPrint("[*] Not implemented yet 🙁 !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

NTSTATUS DrvRead(IN PDEVICE_OBJECT DeviceObject,IN PIRP Irp)
{
	DbgPrint("[*] Not implemented yet 🙁 !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

NTSTATUS DrvWrite(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	DbgPrint("[*] Not implemented yet 🙁 !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

NTSTATUS DrvClose(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
	DbgPrint("[*] Not implemented yet 🙁 !");

	Irp->IoStatus.Status = STATUS_SUCCESS;
	Irp->IoStatus.Information = 0;
	IoCompleteRequest(Irp, IO_NO_INCREMENT);

	return STATUS_SUCCESS;
}

现在,我们来看看IRP MJ 函数列表和其他类型的Windows Driver Kit处理程序例程。

5.png

IRP主要函数列表

这是IRP主要函数的列表,我们可以使用这些函数来执行不同的操作。

#define IRP_MJ_CREATE                   0x00
#define IRP_MJ_CREATE_NAMED_PIPE        0x01
#define IRP_MJ_CLOSE                    0x02
#define IRP_MJ_READ                     0x03
#define IRP_MJ_WRITE                    0x04
#define IRP_MJ_QUERY_INFORMATION        0x05
#define IRP_MJ_SET_INFORMATION          0x06
#define IRP_MJ_QUERY_EA                 0x07
#define IRP_MJ_SET_EA                   0x08
#define IRP_MJ_FLUSH_BUFFERS            0x09
#define IRP_MJ_QUERY_VOLUME_INFORMATION 0x0a
#define IRP_MJ_SET_VOLUME_INFORMATION   0x0b
#define IRP_MJ_DIRECTORY_CONTROL        0x0c
#define IRP_MJ_FILE_SYSTEM_CONTROL      0x0d
#define IRP_MJ_DEVICE_CONTROL           0x0e
#define IRP_MJ_INTERNAL_DEVICE_CONTROL  0x0f
#define IRP_MJ_SHUTDOWN                 0x10
#define IRP_MJ_LOCK_CONTROL             0x11
#define IRP_MJ_CLEANUP                  0x12
#define IRP_MJ_CREATE_MAILSLOT          0x13
#define IRP_MJ_QUERY_SECURITY           0x14
#define IRP_MJ_SET_SECURITY             0x15
#define IRP_MJ_POWER                    0x16
#define IRP_MJ_SYSTEM_CONTROL           0x17
#define IRP_MJ_DEVICE_CHANGE            0x18
#define IRP_MJ_QUERY_QUOTA              0x19
#define IRP_MJ_SET_QUOTA                0x1a
#define IRP_MJ_PNP                      0x1b
#define IRP_MJ_PNP_POWER                IRP_MJ_PNP      // Obsolete....
#define IRP_MJ_MAXIMUM_FUNCTION         0x1b

每个主要函数只有在我们从用户模式调用相应函数时才会被触发,例如,在用户模式下,有一个名为CreateFile的函数,它已经有了变体,如用于ASCII和Unicode的CreateFileA和CreateFileW。因此我们每次调用CreateFile时,都会调用注册为IRP_MJ_CREATE的函数,或者如果我们调用ReadFile,则调用IRP_MJ_READ和WriteFile,最后IRP_MJ_WRITE被调用。你可以看到Windows将其设备视为文件,并且当调用该函数时,PIRP Irp中提供了从用户模式传递到内核模式所需的所有内容,作为缓冲区。

在本文的示例中,Windows负责将用户模式缓冲区复制到内核模式堆栈。不用担心,我们在项目的其余部分会经常使用它,但是在本部分中我们仅支持IRP_MJ_CREATE,而在以后的部分中则没有实现其他函数。

IRP次要函数

IRP次要函数主要用于PnP管理器通知特殊事件,例如,PnP管理器在将硬件资源(如果有的话)分配给设备后发送IRP_MN_START_DEVICE或PnP管理器发送IRP_MN_STOP_DEVICE来停止设备,以便重新配置设备的硬件资源。

在后面部分,我们将需要这些次要函数。

IRP次要函数列表如下:

IRP_MN_START_DEVICE
IRP_MN_QUERY_STOP_DEVICE
IRP_MN_STOP_DEVICE
IRP_MN_CANCEL_STOP_DEVICE
IRP_MN_QUERY_REMOVE_DEVICE
IRP_MN_REMOVE_DEVICE
IRP_MN_CANCEL_REMOVE_DEVICE
IRP_MN_SURPRISE_REMOVAL
IRP_MN_QUERY_CAPABILITIES	
IRP_MN_QUERY_PNP_DEVICE_STATE
IRP_MN_FILTER_RESOURCE_REQUIREMENTS
IRP_MN_DEVICE_USAGE_NOTIFICATION
IRP_MN_QUERY_DEVICE_RELATIONS
IRP_MN_QUERY_RESOURCES
IRP_MN_QUERY_RESOURCE_REQUIREMENTS
IRP_MN_QUERY_ID
IRP_MN_QUERY_DEVICE_TEXT
IRP_MN_QUERY_BUS_INFORMATION
IRP_MN_QUERY_INTERFACE
IRP_MN_READ_CONFIG
IRP_MN_WRITE_CONFIG
IRP_MN_DEVICE_ENUMERATED
IRP_MN_SET_LOCK

快速I/O

为了优化VMM,可以使用快速I/O,这是一种启动I/O操作的方法,该方法比IRP快,快速的I/O操作始终是同步的。

快速I/O专为缓存文件上的快速同步I/O而设计。在快速I/O操作中,数据直接在用户缓冲区和系统缓存之间传输,而绕过文件系统和存储驱动程序堆栈。存储驱动程序不使用快速I/O,如果在收到快速I/O读或写请求时从文件读取的所有数据都驻留在系统高速缓存中,则该请求将立即得到满足。

当I/O管理器收到对同步文件I/O(而不是分页I/O)的请求时,它将首先调用快速I/O例程。如果快速I/O例程返回TRUE,则该操作由快速I/O例程提供服务。如果快速I/O例程返回FALSE,则I/O管理器将创建并发送IRP。

快速I/O调度表的定义如下:

typedef struct _FAST_IO_DISPATCH {
  ULONG                                  SizeOfFastIoDispatch;
  PFAST_IO_CHECK_IF_POSSIBLE             FastIoCheckIfPossible;
  PFAST_IO_READ                          FastIoRead;
  PFAST_IO_WRITE                         FastIoWrite;
  PFAST_IO_QUERY_BASIC_INFO              FastIoQueryBasicInfo;
  PFAST_IO_QUERY_STANDARD_INFO           FastIoQueryStandardInfo;
  PFAST_IO_LOCK                          FastIoLock;
  PFAST_IO_UNLOCK_SINGLE                 FastIoUnlockSingle;
  PFAST_IO_UNLOCK_ALL                    FastIoUnlockAll;
  PFAST_IO_UNLOCK_ALL_BY_KEY             FastIoUnlockAllByKey;
  PFAST_IO_DEVICE_CONTROL                FastIoDeviceControl;
  PFAST_IO_ACQUIRE_FILE                  AcquireFileForNtCreateSection;
  PFAST_IO_RELEASE_FILE                  ReleaseFileForNtCreateSection;
  PFAST_IO_DETACH_DEVICE                 FastIoDetachDevice;
  PFAST_IO_QUERY_NETWORK_OPEN_INFO       FastIoQueryNetworkOpenInfo;
  PFAST_IO_ACQUIRE_FOR_MOD_WRITE         AcquireForModWrite;
  PFAST_IO_MDL_READ                      MdlRead;
  PFAST_IO_MDL_READ_COMPLETE             MdlReadComplete;
  PFAST_IO_PREPARE_MDL_WRITE             PrepareMdlWrite;
  PFAST_IO_MDL_WRITE_COMPLETE            MdlWriteComplete;
  PFAST_IO_READ_COMPRESSED               FastIoReadCompressed;
  PFAST_IO_WRITE_COMPRESSED              FastIoWriteCompressed;
  PFAST_IO_MDL_READ_COMPLETE_COMPRESSED  MdlReadCompleteCompressed;
  PFAST_IO_MDL_WRITE_COMPLETE_COMPRESSED MdlWriteCompleteCompressed;
  PFAST_IO_QUERY_OPEN                    FastIoQueryOpen;
  PFAST_IO_RELEASE_FOR_MOD_WRITE         ReleaseForModWrite;
  PFAST_IO_ACQUIRE_FOR_CCFLUSH           AcquireForCcFlush;
  PFAST_IO_RELEASE_FOR_CCFLUSH           ReleaseForCcFlush;
} FAST_IO_DISPATCH, *PFAST_IO_DISPATCH;

定义标头文件

我为驱动程序创建了以下标头文件(source.h)。

#pragma once
#include <ntddk.h>
#include <wdf.h>
#include <wdm.h>

extern void inline Breakpoint(void);
extern void inline Enable_VMX_Operation(void);


NTSTATUS DriverEntry(PDRIVER_OBJECT  pDriverObject, PUNICODE_STRING  pRegistryPath);
VOID DrvUnload(PDRIVER_OBJECT  DriverObject);
NTSTATUS DrvCreate(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvRead(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvWrite(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvClose(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvUnsupported(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);
NTSTATUS DrvIOCTLDispatcher(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp);

VOID PrintChars(_In_reads_(CountChars) PCHAR BufferAddress, _In_ size_t CountChars);
VOID PrintIrpInfo(PIRP Irp);

#pragma alloc_text(INIT, DriverEntry)
#pragma alloc_text(PAGE, DrvUnload)
#pragma alloc_text(PAGE, DrvCreate)
#pragma alloc_text(PAGE, DrvRead)
#pragma alloc_text(PAGE, DrvWrite)
#pragma alloc_text(PAGE, DrvClose)
#pragma alloc_text(PAGE, DrvUnsupported)
#pragma alloc_text(PAGE, DrvIOCTLDispatcher)



// IOCTL Codes and Its meanings
#define IOCTL_TEST 0x1 // In case of testing

现在,只需编译驱动程序即可。

加载驱动程序并检查设备是否存在

为了加载我们的驱动程序(MyHypervisorDriver),首先下载OSR驱动程序加载程序,然后以管理员身份运行Sysinternals DbgView,确保你的DbgView捕获了内核(你可以通过Capture-> Capture Kernel进行检查)。

10.png

之后,打开OSR Driver Loader(转到OsrLoader-> kit-> WNET-> AMD64-> FRE)并打开OSRLOADER.exe(在x64环境中)。现在,如果你构建了驱动程序,则在OSR驱动程序加载程序中找到.sys文件(在MyHypervisorDriver\x64\Debug\ 应该是一个名为“MyHypervisorDriver.sys”的文件),单击浏览并选择MyHypervisorDriver.sys,然后点击“登记服务”后,消息框显示你的驱动注册成功,此时点击“启动服务”即可。

请注意,你应该为Visual Studio安装WDK,以便能够构建未来的项目。

11.png

现在返回DbgView,你应该能够看到驱动程序已成功加载,并显示一条“[*] DriverEntry Called. ”消息。

如果没有问题,那就很好了;否则,如果DbgView有问题,还要进一步检查。

请记住,现在你已经注册了驱动程序,因此可以使用SysInternals WinObj来查看“ MyHypervisorDevice”是否可用。

12.png

本文翻译自:https://rayanfam.com/topics/hypervisor-from-scratch-part-1/ 与 https://rayanfam.com/topics/hypervisor-from-scratch-part-2/如若转载,请注明原文地址: https://www.4hou.com/web/21860.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论