IRP原理及派遣函数基本工作流程

转载于百度文库

http://wenku.baidu.com/link?url=So3khjvq-fqL3G1JjI3BLAJh7dI9DJcaR6Km3m3McAl71wb6FRQK_cnwAOYUBhtMzNm_I7ZkbjM-ZVW1J-z4Txji8kN9WkJRB6SIArPBw-7

I/O Request Packet （IRP）
IRP 基本数据结构：
IRP 是由I/O 管理器发出的，I/O 管理器是用户态与内核态之间的桥梁，当用户态进程
发出I/O 请求时，I/O 管理器就捕获这些请求，将其转换为IRP 请求，发送给驱动程序。I/O
管理器无疑是非常重要的，具有核心地位。它负责所有I/O 请求的调度和管理工作，根据请
求的不同内容，选择相应的驱动程序对象，设备对象，并生成、发送、释放各种不同的IRP。
整个I/O 处理流程是在它的指挥下完成的。
一个IRP 是从非分页内存中分配的可变大小的结构，它包括两部分：IRP 首部和辅助
请求参数数组，如图1 所示。这两部分都是由I/O 管理器建立的。


IRP 首部中包含了指向IRP 输入输出缓冲区指针、当前拥有IRP 的驱动指针等。
紧接着首部的是一个IO_STACK_LOCATION 结构的数组。它的大小由设备栈中的设备
数确定。IO_STACK_LOCATION 结构中保存了一个I/O 请求的参数及代码、请求当前对应
的设备指针、完成函数指针（IoCompletion）等。
IRP 运行流程：
操作系统用设备对象（device object）表示物理设备，每一个物理设备都有一个或多个
设备对象与之相关联，设备对象提供了在设备上的所有操作。也有一些设备对象并不表示物
理设备。一个唯软件驱动程序（software-only driver，处理I/O 请求，但是不把这些请求传递
给硬件）也必须创建表示它的操作的设备对象。
设备常常由多个设备对象所表示，每一个设备对象对应一个驱动程序来管理设备的I/O
请求。一个设备的所有设备对象被组织成一个设备栈（ device stack ）。而且，
IO_STACK_LOCATION 数组中的每个元素和设备栈中的每个设备是一一对应的，一般情况
下，只允许层次结构中的每个设备对象访问它自己对应的IO_STACK_LOCATION。无论何
时，一个请求操作都在一个设备上被完成，I/O 管理器把IRP 请求传递给设备栈中顶部设备
的驱动程序（IRP 是传递给设备对象的，通过设备对象的DriverObject 成员找到驱动程序）。
驱动程序访问它对应的设备对象在IRP 中IO_STACK_LOCATION 数组中的元素检查参数，
以决定要进行什么操作（通过检查结构中的MajorFunction 字段，确定执行什么操作及如何
解释Parameters 共用体字段的内容）。驱动程序可以根据IO_STACK_LOCATION 结构中的
MajorFunction 字段进行处理。每一个驱动或者处理IRP，或者把它传递给设备栈中下一个
设备对象的驱动程序。
传递IRP 请求到底层设备的驱动程序需要经过下面几个步骤：
1. 为下一个IO_STACK_LOCATION 结构设置参数。可以有以下两种方式：
调用IoGetNextIrpStackLocation 函数获得下个结构的指针，再对参数进行赋值；
调用IoCopyCurrentIrpStackLocationToNext 函数（如果第2 步中驱动设置了IoCompletion
函数）， 或者调用IoSkipCurrentIrpStackLocation 函数（ 如果第2 步中驱动没有设置
IoCompletion 函数）把当前的参数传递给下一个。
2. 如果需要的话，调用IoSetCompletionRoutine 函数设置IoCompletion 函数进行后续处理。
3. 调用IoCallDriver 函数将IRP 请求传递给下一层驱动。这个函数会自动调整IRP 栈指针，
并且执行下一层驱动的派遣函数。
当驱动程序把IRP 请求传递给下一层驱动之后，它就不再拥有对该请求的访问权，强行访
问会导致系统崩溃。如果驱动程序在传递完之后还想再访问该请求，就必须要设置
IoCompletion 函数。IRP 请求可以再其他驱动程序或者其他线程中完成或取消。
当某一驱动程序调用IoCompleteRequest 函数时，I/O 操作就完成了。这个函数使得IRP
的堆栈指针向上移动一个位置，如图2 所示：


图2 所示的当C 驱动程序调用完IoCompleteRequest 函数后I/O 栈的情况。左边的实线
箭头表明栈指针现在指向驱动B 的参数和回调函数；虚线箭头是之前的情况。右边的空心
箭头指明了IoCompletion 函数被调用的顺序。
如果驱动程序把IRP 请求传递给设备栈中的下层设备之前设置了IoCompletion 函数，
当I/O 栈指针再次指回到该驱动程序时，I/O 管理器就将调用该IoCompletion 函数。
IoCompletion 函数的返回值有两种：
（1）STATUS_CONTINUE_COMPLETION：告诉I/O 管理器继续执行上层驱动程序的
IoCompletion 函数。
（2）STATUS_MORE_PROCESSING_REQUIRED：告诉I/O 管理器停止执行上层驱动程序，
并将栈指针停在当前位置。在当前驱动程序调用IoCompleteRequest 函数后再继续执行上层
驱动的IoCompletion 函数。
当所有驱动都完成了它们相应的子请求时， I/O 请求就结束了。I/O 管理器从Irp
->IoStatus.Status 中更新状态信息，从Irp ->IoStatus.Information 中获得传送字节数。
派遣函数：


派遣函数其实就相当于应用程序的事件响应一样。
///////////////////////////////////////////////////////////////////////////////
派遣函数
就是在入口点下(DriverEntry)的
pDriverObject->MajorFunction[......]
pDriverObject->MajorFunction[IRP_MJ_CREATE] = HelloDDKDispatchRoutine;
这就叫做派遣函数
///////////////////////////////////////////////////////////////////////////////
IRP 类型
IRP_MJ_CREATE 创建设备，CreatFile 会产生此IRP
IRP_MJ_CLOSE 关闭设备，CloseHandle 会产生此IRP
IRP_MJ_CLEANUP 清除工作，CloseHandle 会产生此IRP
IRP_MJ_DEVICE_CONTROL DeviceIoControl 函数会产生此IRP
IRP_MJ_PNP 即插即用消息，NT 式驱动不支持此种IRP，只有WDM
驱动才支持此种IRP
IRP_MJ_POWER 在操作系统处理电源消息时，产生此IRP
IRP_MJ_QUERY_INFORMATION 获取文件长度，GetFileSize 会产生此IRP
IRP_MJ_READ 读取设备内容，ReadFile 会产生此IRP
IRP_MJ_SET_INFORMATION 设置文件长度，GetFileSize 会产生此IRP
IRP_MJ_SHUTDOWN 关闭系统前会产生此IRP
IRP_MJ_SYSTEM_CONTROL 系统内部产生的控制信息， 类似于内核调用
DeviceIoControl 函数
IRP_MJ_WRITE 对设备进行WriteFile 时会产生此IRP
///////////////////////////////////////////////////////////////////////////////
结束IRP
VOID
IoCompleteRequest(
IN PIRP Irp, //代表需要被结束的IRP。
IN CCHAR PriorityBoost //代表线程恢复时的优先级别。
);
PriorityBoost 优先级别。
IO_NO_INCREMENT 不增加优先级
IO_CD_ROM_INCREMENT 光驱设备增加优先级
IO_DISK_INCREMENT 磁盘设备增加优先级
IO_KEYBOARD_INCREMENT 键盘设备增加优先级
IO_MOUSE_INCREMENT 鼠标设备增加优先级
IO_NAMED_PIPE_INCREMENT 命名管道增加优先级
IO_NETWORK_INCREMENT 网络设备增加优先级
IO_PARALLEL_INCREMENT 并口设备增加优先级
IO_SERLAL_INCREMENT 串口设备增加优先级
IO_SOUND_INCREMENT 声卡设备增加优先级
IO_VIDEO_INCREMENT 视频设备增加优先级
SEMAPHORE_INCREMENT 信号灯增加优先级
///////////////////////////////////////////////////////////////////////////////
H:\Windows 驱动开发技术详解\chapter07\DispatchTest\Test\
运行下面的程序用Dbgview 监控会发现出现了这个消息
KdPrint(("Enter HelloDDKDispatchRoutine\n"));
KdPrint(("Leave HelloDDKDispatchRoutine\n"));
这是应为Test.EXE
使用了CreateFile 文件操作
而在驱动程序中定义了pDriverObject->MajorFunction[IRP_MJ_CREATE] =
HelloDDKDispatchRoutine;
IRP_MJ_CREATE 创建设备，CreatFile 会产生此IRP
这样就启动了HelloDDKDispatchRoutine 函数
其实很好理解就是跟应用程序程序的事件响应是一样的。
///////////////////////////////////////////////////////////////////////////////
派遣函数设置pIrp->IoStatus.Information 告诉ReadFile 实际读取了多少字节。这个数值对
应ReadFile 的第4个参数。
读取文件
BOOL ReadFile(
HANDLE hFile, //文件的句柄
LPVOID lpBuffer, //用于保存读入数据的一个缓冲区
DWORD nNumberOfBytesToRead, //要读入的字符数
LPDWORD lpNumberOfBytesRead, //指向实际读取字节数的指针
LPOVERLAPPED lpOverlapped //如文件打开时指定了FILE_FLAG_OVERLAPPED，那么
必须，用这个参数引用一个特殊的结构。该结构定义了一次异步读取操作。否则，应将这个
参数设为NULL
);
以ReadFile 为例说明优先级参数作用：
（1）ReadFile 调用ntdll 中的NtReadFile(Native API) ,NtReadFile 进入内核模式，调用系统服
务中的NtReadFile 函数并创建IRP_MJ_Read 类型的IRP，然后它将这个IRP 发送到某个驱
动程序的派遣函数中。然后NtReadFile 去等待一个事件，这时进程进入睡眠（Pending）状
态。
（2） 在派遣函数中一般会将IRP 请求结束，通过IoCompleteRequest 函数恢复刚才睡眠的
线程。
写入文件
BOOL WriteFile(
HANDLE hFile, // 文件句柄
LPCVOID lpBuffer, // 数据缓存区指针
DWORD nNumberOfBytesToWrite, // 你要写的字节数
LPDWORD lpNumberOfBytesWritten, // 用于保存实际写入字节数的存储区域的指针
LPOVERLAPPED lpOverlapped // OVERLAPPED 结构体指针
);
///////////////////////////////////////////////////////////////////////////////
派遣函数实例以及功能讲解：
NTSTATUS status = STATUS_SUCCESS;
// 完成IRP
pIrp->IoStatus.Status = status;
pIrp->IoStatus.Information = 0; // bytes xfered
IoCompleteRequest( pIrp, IO_NO_INCREMENT );
以上函数表示对于应用程序发起的IRP
复杂的派遣函数：
在Windows 驱动开发中，有一个重要的内核数据结构，IO_STACK_LOCATION，即I/O
堆栈，这个数据结构和IRP 紧密相连。
驱动对象会创建一个个设备对象，并将这些设备对象“叠”成一个垂直结构，被称为“设
备栈”。IRP 会被操作系统发送到设备栈顶层，如果顶层设备结束了本次IRP 的请求，则I/O
请求结束，如果不让I/O 请求结束，可以将IRP 继续转发到下一层设备。因此，一个IRP 可
能会被转发多次。为了记录IRP 在每层设备中的操作，IRP 会有一个IO_STACK_LOCATION
数组， 每个IO_STACK_LOCATION 元素记录着对应设备中做的操作。对于本层的
IO_STACK_LOCATION ， 可以通过IoGetCurrentIrpStackLocation 函数得到。
IO_STACK_LOCATION 结构中会记录IRP 的类型， 即IO_STACK_LOCATION 中的
MajorFuncation 子域。
通过IO_STACK_LOCATION 查看IRP 主功能号：
PIO_STACK_LOCATION stack = IoGetCurrentIrpStackLocation(pIrp);
//建立一个字符串数组与IRP 类型对应起来
static char* irpname[] =
{
"IRP_MJ_CREATE",
"IRP_MJ_CREATE_NAMED_PIPE",
"IRP_MJ_CLOSE",
"IRP_MJ_READ",
"IRP_MJ_WRITE",
"IRP_MJ_QUERY_INFORMATION",
"IRP_MJ_SET_INFORMATION",
"IRP_MJ_QUERY_EA",
"IRP_MJ_SET_EA",
"IRP_MJ_FLUSH_BUFFERS",
"IRP_MJ_QUERY_VOLUME_INFORMATION",
"IRP_MJ_SET_VOLUME_INFORMATION",
"IRP_MJ_DIRECTORY_CONTROL",
"IRP_MJ_FILE_SYSTEM_CONTROL",
"IRP_MJ_DEVICE_CONTROL",
"IRP_MJ_INTERNAL_DEVICE_CONTROL",
"IRP_MJ_SHUTDOWN",
"IRP_MJ_LOCK_CONTROL",
"IRP_MJ_CLEANUP",
"IRP_MJ_CREATE_MAILSLOT",
"IRP_MJ_QUERY_SECURITY",
"IRP_MJ_SET_SECURITY",
"IRP_MJ_POWER",
"IRP_MJ_SYSTEM_CONTROL",
"IRP_MJ_DEVICE_CHANGE",
"IRP_MJ_QUERY_QUOTA",
"IRP_MJ_SET_QUOTA",
"IRP_MJ_PNP",
};
UCHAR type = stack->MajorFunction;
if (type >= arraysize(irpname))
KdPrint((" - Unknown IRP, major type %X\n", type));
else
KdPrint(("\t%s\n", irpname[type]));