是否可以在不重新启动的情况下卸载内核驱动程序？

Question

我正在研究 Win7 DDK 中的内核驱动程序示例之一。我可以修改编译并构建我的 *.sys 文件。我也可以使用其 INF（使用设备管理器或 devcon）或直接使用服务控制管理器来安装它。当我进行下一个更改并生成更新的 *.sys 文件时，我似乎在这个新文件和我现在停止的驱动程序之间发生冲突（我尝试使用 Servcie Control Manager“停止”和“删除服务”等）。如果重新启动，我可以安装新驱动程序并正常运行。同样，如果我在设备管理器中选择卸载，Windows 会提示我重新启动。

那么，如何轻松测试对内核驱动程序的增量修改呢？ 谢谢

Answer 1

查看安装 API 日志可能是一个不错的起点：http://msdn.microsoft.com/en-us/library/ff550887%28v=VS.85%29.aspx

如果 devcon 提示重新启动，您可以查看 DDK 中的代码，调试它为什么这么问并以这种方式深入研究问题。

Answer 2

是的。 sc stop 应该停止您的驱动程序。如果您的驱动程序与特定的 PnP devnode 关联，则应在删除 devnode 后卸载它。

Answer 3

如果您希望能够卸载驱动程序，则必须设置一个基本上在每次卸载驱动程序时执行的函数 - 最有可能的是您将放置释放分配的缓冲区和生命周期中可能“活动”的任何其他资源的代码司机的。这是一个示例代码：

VOID  Unload(IN  PDRIVER_OBJECT  pDriverObject) { 
                 //do whatever you like here
                //this deletes the device
        IoDeleteDevice( pDriverObject->DeviceObject);


    return;
}

NTSTATUS  DriverEntry(IN  PDRIVER_OBJECT  pDriverObject,  IN  PUNICODE_STRING  regPath) { 


    //initialize your driver and the major function array 

//set the unload function 
    pDriverObject->DriverUnload  =  &Unload; 
}

Answer 4

尝试编译、签名并加载此代码：

#include <ntddk.h>     
VOID OnUnload( IN PDRIVER_OBJECT driverObjectA ) {
    DbgPrint("Unload\n");
}
NTSTATUS DriverEntry( PDRIVER_OBJECT driverObjectA, PUNICODE_STRING RegistryPath ){
    DbgPrint("DriverEntry\n"); 
    driverObjectA->DriverUnload = OnUnload;
return STATUS_SUCCESS;
}  

然后下载 DebugView，解压以管理员身份运行它，然后“捕获”菜单项下的“捕获内核”。下载、解压并运行OSR Driver Loader，注册驱动程序，“启动服务”。您将在 DbgView 中观察到“DriverEntry”日志消息。现在，在 OSR 驱动程序加载程序中，“停止服务”并观察 Unload 消息。希望这能让你继续前进。