内核回调中获取设备,路径,文件信息蓝屏问题

zhuhuibeishadiao

已于 2024-07-16 19:51:27 修改

阅读量1.6k

点赞数 1

分类专栏：驱动学习杂谈文章标签： callback bsod IoQueryFileDosDeviceName IoVolumeDeviceToDosName

于 2019-02-12 17:30:41 首次发布

本文链接：https://blog.youkuaiyun.com/zhuhuibeishadiao/article/details/87099772

版权

驱动学习同时被 2 个专栏收录

94 篇文章

订阅专栏

杂谈

42 篇文章

订阅专栏

在开发一个类似procmon的框架时，遇到驱动在Windows Defender运行后蓝屏的问题。分析发现，错误源于在高IRQL级别调用IoVolumeDeviceToDosName函数，该函数在Windows Vista及以后版本需要确保APCs未被禁用。解决方案是通过工作队列来安全地获取路径。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

最近在写一个类似procmon的框架,写完跑了一两天没有什么问题,直到windows defender的一个进程起来之后，过一会驱动必蓝屏

于是很郁闷,看堆栈都是空的,起初以为是栈被破坏了,但是代码里面没有递归等等，基本大的变量都申请了内存，看dump说是irql过高，又看了代码，我习惯都是用非分页内存，所以不存在访问内存的问题，并且代码中都是在psl级别执行的，基本都排除了，异常点是ObpQueryNameString中，于是想了想可能call到这里面的几个函数,一个是获取卷名称和获取路径，于是看了看获取路径那块的代码，结果发现了问题。

代码大概就是调用了PsReferenceProcessFilePointer->IoVolumeDeviceToDosName

一般来说是没有问题的，然后看了下msdn

Remarks

IoVolumeDeviceToDosName allocates the string buffer pointed to by the Buffer member of the UNICODE_STRING structure that the DosName parameter points to. After this buffer is no longer required, a caller of this routine should call the ExFreePool routine to free the buffer.

Starting with Windows Vista, you must ensure that APCs are not disabled before calling this routine. The KeAreAllApcsDisabled routine can be used to verify that APCs are not disabled.

哇，好气，这个函数是通过异步去完成的，为了确定是不是这个问题，我没有转换路径输出，结果本该bsod的却没有bsod（测试windows defender必蓝）

知道了问题，解决方法也就很简单了我的是获取进程路径

1.通过peb去获取路径(不推荐)

2.通过工作队列去获取路径

查了下msdn,大部分Io函数都有这个限制，解决方法就是通过工作队列.

写完发现看雪已经有人遇到过了...

https://bbs.pediy.com/thread-224747.htm