WINDOWS TDI驱动，寒江独钓中的问题

梦是多么的重要 2014-04-30 07:06:10



//VOID BuildQueryAddressIrp(PIRP irp,PIO_STACK_LOCATION stack,PDEVICE_OBJECT Tarodl)

//{

//	FILE_FULL_EA_INFORMATION * filebuf = (FILE_FULL_EA_INFORMATION *)irp->AssociatedIrp.SystemBuffer;

//	if (filebuf!=NULL)

//	{

//		if (filebuf->EaNameLength==TDI_TRANSPORT_ADDRESS_LENGTH && memcmp(filebuf->EaName,TdiTransportAddress,TDI_TRANSPORT_ADDRESS_LENGTH)==0)

//		{

//			QueryRequest=TdiBuildInternalDeviceControlIrp(TDI_QUERY_INFORMATION,Tarodl,stack->FileObject,NULL,NULL);

//		}

//	}

//

//}

寒江独钓一书中，TDI过滤中有这么一个函数；本菜鸟简化代码，实现一个简单功能，就获取生成的地址，好，有一段生成一个IRP，成功编译后，发现启动失败。找原因。一个一个函数的注释，现在发现只要这个函数给注释掉了，就成功了。

另外：还有一个代码导致了 TDI过滤启动失败，代码段如下：



NTSTATUS DeviceControlDispath(PDEVICE_OBJECT Device ,PIRP irp)

{

 	NTSTATUS status;

 	PIO_STACK_LOCATION stack;

 	PDEVICE_OBJECT DeviceClass;

	ULONG CurrentId;

	int UserState;







	HANDLE handl;

	OBJECT_ATTRIBUTES objectatt;

	CLIENT_ID currentid;

	PEPROCESS EProcess;

	InitializeObjectAttributes(&objectatt,0,0,0,0);







 	stack=IoGetCurrentIrpStackLocation(irp);

 	DeviceClass=GetDeviceClass(Device);



 	if (DeviceClass==NULL)

 	{

 		return STATUS_INVALID_PARAMETER;

 	}

 	switch(stack->MajorFunction)

 	{

	case IRP_MJ_CREATE:



		CurrentId=(ULONG)PsGetCurrentProcessId();

	/*	if (DeviceClass!=NULL)

		{

			BuildQueryAddressIrp(irp,stack,DeviceClass);

		}*/



 		if(buf!=NULL)

 		{   

		CurrentId=(ULONG)PsGetCurrentProcessId();

		;currentid.UniqueProcess=(HANDLE)CurrentId;

		currentid.UniqueThread=0;



		status=ZwOpenProcess(&handl,PROCESS_ALL_ACCESS,&objectatt,¤tid);

		if (!NT_SUCCESS(status))

		{  

			KdPrint(("打开进程出错"));

			return status;

		}

		status=ObReferenceObjectByHandle(handl,FILE_READ_DATA,0,KernelMode,&EProcess,0);

		if (NT_SUCCESS(status))

		{

			/*UCHAR *name=PsGetProcessImageFileName(EProcess);*/

			UCHAR *name=(UCHAR *)EProcess+0x174;

			if (memcmp(name,buf,sizeof(name))==0)

			{

				status=STATUS_INVALID_PARAMETER;

				IoCompleteRequest(irp,IO_NO_INCREMENT);

				return status;

			}

		}

		IoSkipCurrentIrpStackLocation(irp);

		status=IoCallDriver(DeviceClass,IO_NO_INCREMENT);

		return status;

 		}



 			SetCompleteDispath(irp,DeviceClass);

		break;

/*UCHAR *name=PsGetProcessImageFileName(EProcess);*/ 注释掉的这个函数，通过EPROCESS 获得进程名，但是这是一个未公开的函数，声明也可以用。在XP系统中也是存在的。好，有这个启动也失败，那我不用这个函数
我用： UCHAR *name=(UCHAR *)EProcess+0x174; // 在XP系统中这个结构的 0x174位置一般是进程的名字.那么也失败了.这是为什么呢？
什么原因导致的呢？
在线坐等检查。

...全文