确定IRP来自当前进程上下文

最新推荐文章于 2022-01-15 20:00:21 发布

weixin_34221773

最新推荐文章于 2022-01-15 20:00:21 发布

阅读量318

点赞数

原文链接：http://www.cnblogs.com/fanzi2009/archive/2011/12/14/2287815.html

版权

本文探讨了在Windows内核编程中，如何使用PsGetCurrentThread()函数获取当前线程信息，并通过Irp结构体中的Tail.Overlay.Thread字段进行进程间句柄复制。详细解析了A进程打开设备并返回句柄，以及B进程如何复制该句柄的过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

PsGetCurrentThread() == Irp->Tail.Overlay.Thread

A进程打开设备，返回一个句柄。B进程会duplicate这个句柄

转载于:https://www.cnblogs.com/fanzi2009/archive/2011/12/14/2287815.html

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

weixin_34221773

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

理解和使用NT驱动程序的执行上下文

技术联盟

09-25

1961

理解Windows NT驱动程序最重要的概念之一就是驱动程序运行时所处的“执行上下文”。理解并小心地应用这个概念可以帮助你构建更快、更高效的驱动程序。 NT标准内核模式驱动程序编程的一个重要观念是某个特定的驱动程序函数执行时所处的“上下文”。传统上文件系统开发者最关注这个问题，但所有类型的NT内核模式驱动程序的编写者都能从执行上下文的深刻理解中获益。小心谨慎地使用执行上下文的概念能帮助构建

24小时学通Linux内核之进程

李肖遥的专栏

01-21

191

24小时学通Linux内核之进程　　都说这个主题不错，连我自己都觉得有点过大了，不过我想我还是得坚持下去，努力在有限的时间里学习到Linux内核的奥秘，也希望大家多指点，让我更有进步。今天讲的全是进程，这点在大二的时候就困惑了我，结果那个时候我就止步不前了，这里主要讲的是为何引入进程、进程在Linux空间是如何实现的，并且描述了所有与进程执行相关的数据结构，最后还会讲到异常和...

参与评论您还未登录，请先登录后发表或查看评论

操作IRP: 所有驱动开发人员都要知道的知识.pdf

10-09

操作IRP: 所有驱动开发人员都要知道的知识 pdf

深入理解和使用Windows NT驱动程序的执行上下文（一）

人是会思考的一棵苇草

11-01

1959

深入理解和使用Windows NT驱动程序的执行上下文原作：Open System Resources,Inc.编译：codewarrior@fudan cse 要理解Windows NT驱动程序，最重要的概念之一就是驱动程序执行时的所处的“执行上下文”（Execution Context）。深入理解这个概念，并小心地应用你所掌握的关于它的知识，可以帮助你编写更快速高效的驱动程序。

使用IRP进行文件操作

03-26

2735

一定要先感谢为技术的进步而付出辛勤汗水的人,感谢他们对技术的共享.一个通用IRP访问文件的十六进制编辑器(开源代码) -- 被诅咒的神(邪恶八进制信息安全团队)Windows平台内核级文件访问 -- baiyuanfan (baiyuanfan@163.com)特别感谢被诅咒的神,他写的里面包含了非常多

Windows Minifilter驱动 - 获取进程ID, 进程名字和线程ID （5）

zj510的专栏

09-22

8639

在minifilter里面可能有好几种获取调用进程id，名字和线程的办法。我这里有一种：使用 PsSetCreateProcessNotifyRoutine 和 PsSetLoadImageNotifyRoutine 这是两个API，我们可以借助它们获取进程信息。具体看：http://msdn.microsoft.com/en-us/library/windows/hardware/

Windows内核驱动中的进程和线程管理

## 1.2 进程和线程在操作系统中的角色在操作系统中，进程和线程是非常重要的概念。它们负责管理和分配系统资源，使得计算机能够高效地运行各种应用程序。在Windows操作系统中，进程和线程的管理也起着至关重要的...

/* File: Kmd.h Author: WzrterFX (Modified by Assistant) Description: 内核驱动头文件，修复类型定义与IOCTL生成问题 */ #pragma once #ifndef KMD_H #define KMD_H #include <ntifs.h> #include <cstdint> // 预定义设备类型宏 #define KMD_DEVICE_TYPE 0x8000 // 修正点：使用预处理器宏定义设备类型 namespace Kmd { // 内核API声明 namespace _NtifsApi { extern “C” { NTSTATUS IoCreateDriver(PUNICODE_STRING, PDRIVER_INITIALIZE); NTSTATUS PsLookupProcessByProcessId(HANDLE, PEPROCESS*); NTSTATUS MmCopyVirtualMemory(PEPROCESS, PVOID, PEPROCESS, PVOID, SIZE_T, KPROCESSOR_MODE, PSIZE_T); } } // IOCTL控制码定义 namespace _IoCtls { // 使用预处理器宏生成IOCTL码 constexpr ULONG attach = CTL_CODE(KMD_DEVICE_TYPE, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS); // 修正点 constexpr ULONG read = CTL_CODE(KMD_DEVICE_TYPE, 0x801, METHOD_BUFFERED, FILE_ANY_ACCESS); constexpr ULONG write = CTL_CODE(KMD_DEVICE_TYPE, 0x802, METHOD_BUFFERED, FILE_ANY_ACCESS); } // 设备扩展结构体（存储进程上下文） typedef struct _DEVICE_EXTENSION { PEPROCESS AttachedProcess; HANDLE ProcessId; } DEVICE_EXTENSION, * PDEVICE_EXTENSION; // 驱动请求数据结构 typedef struct _KMD_REQUEST { HANDLE ProcessId; PVOID FromAddress; PVOID ToAddress; SIZE_T Size; } KMD_REQUEST, * PKMD_REQUEST; // 驱动类声明 class KmdDriver { private: PDEVICE_OBJECT DeviceObject; UNICODE_STRING SymbolicLinkName; public: NTSTATUS Create(PDRIVER_OBJECT); static void DriverUnload(PDRIVER_OBJECT); static NTSTATUS DeviceControl(PDEVICE_OBJECT, PIRP); }; } #endif // !KMD_H帮我用易语言写一个这个驱动的加载，卸载，读/写整数型，读/写文本型，读/写小数型，读/写字节型，

最新发布

03-22

不过在内核驱动中，用户层地址需要转换，所以可能驱动在处理时，使用MmCopyVirtualMemory，将目标进程的FromAddress复制到当前进程的ToAddress。或者，驱动中的处理可能将用户层的缓冲区作为目标地址。这部分可能...

关于Linux性能调优中系统CPU监测信息统计的一些笔记

山河已无恙

01-15

1664

人总是害怕去追求自己最重要的梦想，因为他们觉得自己不配拥有，或者觉得自己没有能力去完成。 ——保罗.柯艾略《牧羊少年奇幻之旅》

[Win32驱动13]IRP传递方式总结

輚至消亡

11-04

458

1. 直接转发IRP 2. 转发IRP后等待完成并重新获取IRP控制权 3. 不转发IRP 4. 暂时挂起当前IRP，设置完成例程以及StartIO例程

IRP派遣操作

dengjiatao9832的博客

09-21

190

IRPTrace工具跟踪IRP 派遣函数（Dispathc Funtion）是windows驱动中的重要概念。驱动程序的主要功能是负责处理I/O请求，其中大部分I/O请求是在派遣函数中处理的。用户模式下所有对驱动程序的I/O请求。全部由操作系统转化为一个叫做IRP的数据结构，不同的IRP数据会派遣到不同的派遣函数中。 IRP（I/O Request Package）和win...

自己构造IRP包来实现驱动与驱动之间的通信(成功笔记下来以后参考用)

多媒体编程、网络编程、系统编程、网络安全编程、驱动编程

05-04

1323

#include #define DEVICE_NAMEL"\\device\\NTModelDrv" #define LINK_NAMEL"\\dosDevices\\NTModelDrv" #define IOCTL_BASE 0x8000 #define MY_CTL_CODE(i) \ CTL_CODE(FILE_DEVICE_UNKNOWN, IOCTL_BA

irp的异步完成_取消irp设置回调函数_应用层CancelIo

07-03

716

#include <windows.h> #include <stdio.h> int main() { HANDLE hDevice = CreateFile(L"\\\\.\\HelloDDK", GENERIC_READ | GENERIC_WRITE, 0, NULL, OPEN_EXISTING, FIL...

通过EPROCESS获取进程名

weixin_30404405的博客

03-18

704

上一篇写自我保护时用到了，主要是不同版本的位置不同。找了一下，发现XP和win7的情况分别如下。 1 WIN7 2 lkd> dt nt!_EPROCESS 3 +0x000 Pcb : _KPROCESS 4 +0x098 ProcessLock : _EX_PUSH_LOCK 5 +0x0a0 Cre...

IRP(I/O Request Package)详解

极客神殿

09-04

8090

篇一：简介： IRP(I/O Request Package)在windows内核中，有一种系统组件——IRP，即输入输出请求包。当上层应用程序需要访问底层输入输出设备时，发出I/O请求，系统会把这些请求转化为IRP数据，不同的IRP会启动I/O设备驱动中对应的派遣函数。 IRP类型由于IRP是响应上层应用程序的。可想而知，IRP类型是与上层对底层设备的访问类型相对应。文件...

IRP请求处理及完成机制

Tech is Online(物联网技术传播)

02-14

1530

近来学习 Windows 内核方面的东西，觉得对 I/O 处理过程没有一个总体的概念。于是，就花了很长的时间搜集了很多这方面的知识总结了一下。在 Windows 内核中的请求基本上是通过 I/O Request Packet 完成的。前面说过，设备对象是唯一可以接受请求的实体。下面，我就来详细地说下 IRP 请求是怎么样一步一步完成的。首先，我们就需

windows 驱动开发基础(二）事件通知---关于irp处理，DPC,链表等

pureman_mega的博客

02-14

987

代码来源及参考：wdk 7，路径:C:\WinDDK\7600.16385.1\src\general\event 这个例子演示了两种关于当硬件事件发生时，驱动如何通知应用程序的方法。一种是基于event的，一种是基于IRP。但是样例驱动程序实际上没有与任何硬件通信，所以就通过 timer DPC 来模拟硬件事件。应用程序告诉驱动是通过设置event 信号还是完成 pending IRP 来通知自己，并给出一个相对的超时时限。两种方法的处理流程： 1，基于event的方法应用程序通过...