初学驱动逆向，笔记二。

最新推荐文章于 2022-07-31 03:03:59 发布

Diomedes

最新推荐文章于 2022-07-31 03:03:59 发布

阅读量956

点赞数

文章标签： integer object null 汇编 io byte

本文链接：https://blog.youkuaiyun.com/Diomedes/article/details/7089518

版权

本文是初学者对于驱动逆向的笔记，主要关注于HelloDDKStartIO处理过程的分析。通过IDA进行反汇编，探讨了无壳无花招的简单流程代码。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

例子： [ \chapter09\StartIOTest ]

本例子的核心代码是HelloDDKStartIO处理过程。

初学驱动逆向，逆向函数还原代码，无壳无花，流程也很简单。

IDA反汇编代码：

void __stdcall HelloDDKStartIO(_DEVICE_OBJECT *DeviceObject, _IRP *Irp)

event= _KEVENT ptr -1Ch
timeout= _LARGE_INTEGER ptr -0Ch
oldirql= byte ptr -4
DeviceObject= dword ptr  8
Irp= dword ptr  0Ch

push    ebp
mov     ebp, esp

sub     esp, 1Ch
push    offset Format     // "Enter HelloDDKStartIO\n"
call    _DbgPrint         // KdPrint(("Enter HelloDDKStartIO\n"));
add     esp, 4               // 申请空间
lea     eax, [ebp+oldirql]   // 取地址
push    eax                  // Irql
call    ds:__imp__IoAcquireCancelSpinLock@4    // IoAcquireCancelSpinLock(oldirql);
mov     ecx, [ebp