技术专题 【原创】Win32Asm 驱动学习笔记 最简单的驱动程序

本章目录

4.1 关于NT式驱动
4.2 驱动的头文件
4.3 驱动入口
4.4Hello world
4.5 驱动程序的运行
4.6 简单的例子
4.6.1 Beeper源代码
4.6.2 控制系统定时器
正文：

从今天开始，我们一起来学习驱动的编写。

4.1 认识NT式驱动
Windows驱动从加载方式来说，可以分为两类，一类是不支持即插即用功能的"NT式驱动程序",另一类是支持即插即用的"WDM式驱动程序"。
NT式驱动的安装是基于服务的，可以通过修改注册表进行，也可以直接通过服务函数,如 CreateService 进行安装；但 WDM 式驱动不同，它安装的时候需要通过编写一个 inf 文件进行控制，除此之外，它们所使用的头文件也不大相同；
我们这里讲的主要是NT式驱动，WDM 式驱动不在本文学习的范围。

4.2 驱动的头文件
在RadASM的默认驱动模板中，只用到了下面的头文件：
include w2k\ntstatus.inc
include w2k\ntddk.inc

重要的头文件是ntddk.inc，它是驱动开发包所需要的头文件，ntstatus.inc主要是驱动返回码的头文件。

另外还有几个需要用到的：

include w2k\ntoskrnl.inc
includelib \RadASM\masm32\lib\w2k\ntoskrnl.lib
include \RadASM\masm32\Macros\Strings.mac
ntoskrnl.inc和ntoskrnl.lib是内核ntoskrnl.exe的导出函数相关文件，Strings.mac是文本宏，打印调试信息就会用到。

4.3 驱动入口

和其它的可执行程序一样，每个驱动程序也有一个入口点，这是当驱动被装载到内存中时首先被调用的，下面是一个最简单的驱动框架：

代码中DriverEntry过程即是驱动的入口点，用来对驱动程序的一些数据结构进行初始化，它的函数原型定义如下：

UNICODE_STRING STRUCT
_Length WORD ?
MaximumLength WORD ?
Buffer PWSTR ?
UNICODE_STRING ENDS


结构中的各字段含义如下：

◎ _Length--字符串的长度，以字节表示（而不是以字符数量表示），这个长度不包括末尾的0字符，由于Length是汇编的保留字，所以我不得不在前面加了一个下划线
◎ MaximumLength--字符串缓冲区的长度，也是以字节数表示
◎ Buffer--指向Unicode字符串，不要想当然地认为这个字符串就是以0结尾的，很多时候尾部并没有0

这种结构的优点在于它清楚地表现出了字符串的当前长度和最大的可能长度，这样就允许对它进行一些运算（比如在后面加上一些字符等）。

4.4 Hello world

上节举例的驱动程序是最最简单的，它仅仅可以被装载而已，但是即使被装载，它除了返回一个错误代码外什么都不干，这一节我们学点有用的，就让驱动程序打印个经典的“Hello world”，可能有人会说这个这么简单谁不会啊，那我们就从RadASM新建工程说起吧：
打开RadASM，新建一个工程，名字就叫"test",注释随便写，选择“Driver",选择模板"NtDriver"，一步步确定后就来到了代码编辑页面，如下图：

---

    .386
.model flat, stdcall
option casemap:none
include test.inc
.code
DriverEntry proc pDriverObject:PDRIVER_OBJECT,pusRegistryPath:PUNICODE_STRING
    invoke DbgPrint, $CTA0("Hello world！ ")
  mov eax,STATUS_DEVICE_CONFIGURATION_ERROR
    ret

DriverEntry endp

end DriverEntry

---

上一节，我们编写了一个最简单的驱动，但有一个问题，怎么运行我们的驱动呢？
这里我推荐大家使用驱动加载工具"DriverManager.exe"（这个软件的源码以后会提到），这个软件支持文件拖放，支持自动扫描同目录驱动，使用方法很简单，注意“注册—运行—停止—卸载”的顺序就可以了。
现在，我们运行上节的驱动测试下，先打开“Dbgview.exe”构选监控内核，然后回到RadAsm,菜单-工程-打开工程目录 ，把DriverManager.exe复制进去，运行点击注册-运行后，如下图：

注意：图中返回了信息“参数不正确”，是因为我们的驱动在入口地址返回了STATUS_DEVICE_CONFIGURATION_ERROR
完整的驱动应该是返回STATUS_SUCCESS，那么驱动会保留在内存中，但是这里你却无法卸载它，因为程序中缺少了负责卸载的DriverUnload过程

4.6 一个简单的例子

下面的例子来自罗云彬翻译的KmdTut中文版，我感觉比较适合放在这里，这是个控制主板扬声器发声的简单驱动程序，我对它做了适量精简，请读者悉知。

4.6.1 Beeper源代码
这个驱动的源代码如下：

---

---

这个驱动程序会使用主板上的扬声器来播放C大调的几个音符，为了实现这个功能，程序使用了IN和OUT指令来访问I/O端口。众所周知的 是，Windows NT把I/O端口当作重要的资源来保护，任何用户模式的程序如果使用了IN或者OUT指令来访问端口的话，会被Windows立马枪 毙掉。但事实上还是有办法绕过这个限制使用户模式的程序直接访问I/O端口，我们以后会谈到这一点。

4.6.2 控制系统定时器

计 算机中有三个定时器，分别是定时器0、1和2，由可编程定时芯片（Programmable Interval Timer/PIT）实现，其中定时器2 用于发声，发声的频率取决于定时器计数器的初始设置值，定时器会将计数值从初始值开始递减到0，然后将计数值复原为初始值，以此循环。计数值的递减由频率 为1,193,180 Hz的系统振荡器控制着，该频率值在所有的PC家族的机器中是固定的。振荡器每产生一个脉冲，计数值就减一，为了发出不同频率的声 音，我们只需要设定不同的初始值即可，发声频率和初始值的关系是：声音频率=1193180/初始值。关于这方面更进一步的知识，读者可以在网上搜到更多 的内容。
好！现在我们用MakeBeep子程序来发第一个C大调音符。
mov al, 10110110y
out 43h, al

首先，我们要设置定时器的控制寄存器，也就是将2进制值的10110110送到43h端口。
mov eax, dwPitch
out 42h, al


mov al, ah
out 42h, al

然后，我们用两个连续的操作将初始值的低位字节和高位字节送到42h端口。
in al, 61h
or al, 11y
out 61h, al

现在要将扬声器打开，这可以通过将61h端口的位0和位1设置为1来完成，不出意外的话，现在应该能够听到声音了。
DO_DELAY MACRO
mov eax, DELAY
.while eax
dec eax
.endw
ENDM

为了让声音延续一段时间，我们用DO_DELAY宏来进行一些延时，虽然这种延时方法有点过时，但还是很有效的。
in al, 61h
and al, 11111100y
out 61h, al