64 位驱动程序

Question

我有一个在 32 位上运行良好的驱动程序代码。在 64 位上我编译了它并对其进行了数字签名。驱动程序已加载但无法正常工作。驱动程序的主要功能是在回调中向我的程序注册进程创建和终止。所以我有两个 IOCTL 正在工作。代码如下..

NTSTATUS DispatchIoctl(
    IN PDEVICE_OBJECT DeviceObject, 
    IN PIRP           Irp
    )

{

 NTSTATUS               ntStatus = STATUS_UNSUCCESSFUL;

PIO_STACK_LOCATION     irpStack  = IoGetCurrentIrpStackLocation(Irp);
PDEVICE_EXTENSION      extension = DeviceObject->DeviceExtension;
PPROCESS_CALLBACK_INFO pProcCallbackInfo;
//
// These IOCTL handlers are the set and get interfaces between
// the driver and the user mode app
//
switch(irpStack->Parameters.DeviceIoControl.IoControlCode)
{
case IOCTL_PROCOBSRV_ACTIVATE_MONITORING:
    {
        ntStatus = ActivateMonitoringHanlder( Irp );
        break;
    }
    case IOCTL_PROCOBSRV_GET_PROCINFO:
    {
        if (irpStack->Parameters.DeviceIoControl.OutputBufferLength >=                 sizeof(PROCESS_CALLBACK_INFO))
        {
        pProcCallbackInfo = Irp->AssociatedIrp.SystemBuffer;
        pProcCallbackInfo->hParentId  = extension->hParentId;
        pProcCallbackInfo->hProcessId = extension->hProcessId;
        pProcCallbackInfo->bCreate    = extension->bCreate;

        ntStatus = STATUS_SUCCESS;
        }
        break;
    }

    default:
        break;
}

Irp->IoStatus.Status = ntStatus;
//
// Set number of bytes to copy back to user-mode
//
if(ntStatus == STATUS_SUCCESS)
   Irp->IoStatus.Information = irpStack->Parameters.DeviceIoControl.OutputBufferLength;
else
    Irp->IoStatus.Information = 0;

IoCompleteRequest(Irp, IO_NO_INCREMENT);
return ntStatus;

}

当我调用时

 bReturnCode = ::DeviceIoControl(
                hDriverFile,
                IOCTL_PROCOBSRV_ACTIVATE_MONITORING,
                &activateInfo, 
                sizeof(activateInfo),
                NULL, 
                0,
                &dwBytesReturned,
                NULL
                );

代码成功，但是当我调用

bReturnCode = ::DeviceIoControl(
        m_hDriverFile,
        IOCTL_PROCOBSRV_GET_PROCINFO,
        0, 
        0,
        &callbackInfo, sizeof(callbackInfo),
        &dwBytesReturned,
        &ov
        );

getLastError 时返回 31。任何人都可以帮我解决这个问题。是64位IOCTL结构的问题吗？请帮我找到解决方案。谢谢..

Answer 1

如果您没有驱动程序调试经验，请尝试使用跟踪来诊断此问题。将 KdPrint 行添加到代码中所有需要的地方，例如：

case IOCTL_PROCOBSRV_GET_PROCINFO:     
{        
    KdPrint(("IOCTL_PROCOBSRV_GET_PROCINFO. OutputBufferLength = %d\n", irpStack->Parameters.DeviceIoControl.OutputBufferLength));
    KdPrint(("sizeof(PROCESS_CALLBACK_INFO) = %d\n", sizeof(PROCESS_CALLBACK_INFO)));

    if (irpStack->Parameters.DeviceIoControl.OutputBufferLength >= sizeof(PROCESS_CALLBACK_INFO))         
    {
        pProcCallbackInfo = Irp->AssociatedIrp.SystemBuffer;         
        pProcCallbackInfo->hParentId  = extension->hParentId;         
        pProcCallbackInfo->hProcessId = extension->hProcessId;         
        pProcCallbackInfo->bCreate    = extension->bCreate; 

        KdPrint(("IOCTL_PROCOBSRV_GET_PROCINFO. STATUS_SUCCESS\n"));         
        ntStatus = STATUS_SUCCESS;         
    }         
    break;     
} 

这只是一个示例，将 KdPrint 行添加到所有位置以了解会发生什么。在检查的配置中构建驱动程序，安装它并运行您的程序。请参阅 DbgView 程序中的 KdPrint 输出，并启用 Caprure Kernel 选项。

您可以使用 DbgPrint 而不是 KdPrint，在这种情况下，它也可以在免费驱动程序配置中工作。

编辑：

PROCESS_CALLBACK_INFO 是如何定义的？调用驱动程序的客户端代码是什么？客户端编译为 32 位还是 64 位？在客户端和驱动程序之间传递结构，确保它不包含与位数相关的字段（在 32 位和 64 位中编译时具有相同的大小），并且结构填充相同。

Answer 2

这里没有太多信息，但您可以随时检查在运行 64 位时编译的用户模式客户端和驱动程序中您自己定义的结构的大小是否相同。可能存在打包/对齐问题，可以通过对结构使用#pragma pack（或您的编译器支持的任何内容）来修复。

作为一般规则，还尝试将检测到的问题的状态代码设置为更具体的值，例如如果您检测到传递的缓冲区太小，则 STATUS_BUFFER_TOO_SMALL 。我怀疑这并不是使用 IOCTL_PROCOBSRV_GET_PROCINFO IOCTL 时出现的实际问题，因为您会收到 Win32 错误 31，但它可以帮助客户解决一般问题。

更新：从您的评论来看，差异实际上似乎不匹配，请尝试用打包包围结构定义，然后确保重新编译客户端和驱动程序。如果您使用 Visual C++ 编译器，示例如下：

#pragma pack(push, 8) // Save current packing and set to 8-byte
typedef struct _PROCESS_CALLBACK_INFO
{
    // Whatever ...
} PROCESS_CALLBACK_INFO;
#pragma pack(pop)  // Restore previous packing

Answer 3

我找到了答案。感谢调试。如前所述，outputBufferLength 小于结构长度，因此驱动程序失败。

outputBufferLength 取决于调用以下函数时传递的结构的大小。

bReturnCode = ::DeviceIoControl(
m_h驱动文件,
IOCTL_PROCOBSRV_GET_PROCINFO，
0,
0,
&callbackInfo, sizeof(callbackInfo),
&dwBytes返回，
＆ov
）；

所以callbackInfo的大小是12，所以outputBufferLength = 12。结构callbackInfo有DWORD数据成员，对于64位来说必须是DWORD64。当我更改结构中成员的数据类型然后调用 DeviceIOControl 函数时，驱动程序运行良好，并且outputBufferLength = 24 正如预期的那样。感谢您的帮助。