IoCreateDevice简单分析

介绍

最近重新入坑驱动，感觉对于一些常用api还是有必要知道其内部具体做了什么的，所以简单分析一下

大体流程

1.判断设备属性组
2.设备属性为0调用IopCreateDefaultDeviceSecurityDescriptor
3.判断设备类型
4.ObCreateObject
5.判断设备类型
6.FILE_DEVICE_UNKNOWN类型调用IopCreateVpb和KeInitializeEvent
7.KeInitializeDeviceQueue
8.ObInsertObjectEx

存储参数

首先进来后，会先提升堆栈，然后将参数存储到指定缓冲区内.

扩展大小计算

这里会根据传进来的设备扩展大小与7进行与操作，然后存到指定变量中，后期会用到

设备属性组计算

这里会根据传进来的设备属性组与0x80进行与操作，然后存到指定变量中，后期会用到

判断设备属性组

然后判断计算后的设备属性组是否为0，是的话则跳转，到下方
再调用IopCreateDefaultDeviceSecurityDescriptor

判断设备类型

创建完默认设备安全描述符后悔判断设备类型，由于我传递的是FILE_DEVICE_UNKNOWN，因此会执行到下方的jmp中，从而跳转到下方箭头处

一些其他计算

这里会进行一些判断计算，最终会调转到下一步

创建对象

上一步具体没有分析，有点麻烦，但是最终会到这一步来，调用ObCreateObject，然后清空新的对象

申请内存

之后会再次判断设备类型，由于传递的是FILE_DEVICE_UNKNOWN，因此会调用IoCreateVpb来申请一块内存，然后调用KeInitializeEvent来初始化事件

初始化设备队列

初始完事件后再经过一系列的判断，会调用KeInitializeDeviceQueue来初始化设备队列

插入对象

然后跳转到下方，调用ObInsertObjectEx插入对象

大致流程就是这样，没有具体分析。

传入模板

status = IoCreateDevice(DriverObject, 0, &DeviceName, FILE_DEVICE_UNKNOWN, 0, TRUE, &DeviceObject);

此次分析建立在以上代码调用IoCreateDevice情况下