编程技术- 驱动开发：内核字符串拷贝与比较
推荐 原创在上一篇文章《驱动开发：内核字符串转换方法》中简单介绍了内核是如何使用字符串以及字符串之间的转换方法，本章将继续探索字符串的拷贝与比较，与应用层不同内核字符串拷贝与比较也需要使用内核专用的API函数，字符串的拷贝往往伴随有内核内存分配，我们将首先简单介绍内核如何分配堆空间，然后再以此为契机简介字符串的拷贝与比较。
首先内核中的堆栈分配可以使用ExAllocatePool()这个内核函数实现，此外还可以使用ExAllocatePoolWithTag()函数，两者的区别是，第一个函数可以直接分配内存，第二个函数在分配时需要指定一个标签，此外内核属性常用的有两种NonPagedPool用于分配非分页内存，而PagePool则用于分配分页内存，在开发中推荐使用非分页内存，因为分页内存数量有限。
内存分配使用ExAllocatePool函数，内存拷贝可使用RtlCopyMemory函数，需要注意该函数其实是对Memcpy函数的包装。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
|
#include <ntifs.h>
VOID UnDriver(PDRIVER_OBJECT driver)
{
DbgPrint(
"驱动已卸载 \n"
);
}
/
/
PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
UNICODE_STRING uncode_buffer
=
{
0
};
DbgPrint(
"hello lyshark \n"
);
wchar_t
*
wchar_string
=
L
"hello lyshark"
;
/
/
设置最大长度
uncode_buffer.MaximumLength
=
1024
;
/
/
分配内存空间
uncode_buffer.
Buffer
=
(PWSTR)ExAllocatePool(PagedPool,
1024
);
/
/
设置字符长度 因为是宽字符，所以是字符长度的
2
倍
uncode_buffer.Length
=
wcslen(wchar_string)
*
2
;
/
/
保证缓冲区足够大，否则程序终止
ASSERT(uncode_buffer.MaximumLength >
=
uncode_buffer.Length);
/
/
将 wchar_string 中的字符串拷贝到 uncode_buffer.
Buffer
RtlCopyMemory(uncode_buffer.
Buffer
, wchar_string, uncode_buffer.Length);
/
/
设置字符串长度 并输出
uncode_buffer.Length
=
wcslen(wchar_string)
*
2
;
DbgPrint(
"输出字符串: %wZ \n"
, uncode_buffer);
/
/
释放堆空间
ExFreePool(uncode_buffer.
Buffer
);
uncode_buffer.
Buffer
=
NULL;
uncode_buffer.Length
=
uncode_buffer.MaximumLength
=
0
;
DbgPrint(
"驱动已加载 \n"
);
Driver
-
>DriverUnload
=
UnDriver;
return
STATUS_SUCCESS;
}
|
代码输出效果：
实现空间分配，字符串结构UNICODE_STRING可以定义数组，空间的分配也可以循环进行，例如我们分配十个字符串结构，并输出结构内的参数。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
|
#include <ntifs.h>
VOID UnDriver(PDRIVER_OBJECT driver)
{
DbgPrint(
"驱动已卸载 \n"
);
}
/
/
PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
UNICODE_STRING uncode_buffer[
10
]
=
{
0
};
wchar_t
*
wchar_string
=
L
"hello lyshark"
;
DbgPrint(
"hello lyshark \n"
);
int
size
=
sizeof(uncode_buffer)
/
sizeof(uncode_buffer[
0
]);
DbgPrint(
"数组长度: %d \n"
, size);
for
(
int
x
=
0
; x < size; x
+
+
)
{
/
/
分配空间
uncode_buffer[x].
Buffer
=
(PWSTR)ExAllocatePool(PagedPool,
1024
);
/
/
设置长度
uncode_buffer[x].MaximumLength
=
1024
;
uncode_buffer[x].Length
=
wcslen(wchar_string)
*
sizeof(WCHAR);
ASSERT(uncode_buffer[x].MaximumLength >
=
uncode_buffer[x].Length);
/
/
拷贝字符串并输出
RtlCopyMemory(uncode_buffer[x].
Buffer
, wchar_string, uncode_buffer[x].Length);
uncode_buffer[x].Length
=
wcslen(wchar_string)
*
sizeof(WCHAR);
DbgPrint(
"循环: %d 输出字符串: %wZ \n"
, x, uncode_buffer[x]);
/
/
释放内存
ExFreePool(uncode_buffer[x].
Buffer
);
uncode_buffer[x].
Buffer
=
NULL;
uncode_buffer[x].Length
=
uncode_buffer[x].MaximumLength
=
0
;
}
DbgPrint(
"驱动加载成功 \n"
);
Driver
-
>DriverUnload
=
UnDriver;
return
STATUS_SUCCESS;
}
|
代码输出效果：
实现字符串拷贝，此处可以直接使用RtlCopyMemory函数直接对内存操作，也可以调用内核提供的RtlCopyUnicodeString函数来实现，具体代码如下。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
|
#include <ntifs.h>
VOID UnDriver(PDRIVER_OBJECT driver)
{
DbgPrint(
"驱动已卸载 \n"
);
}
/
/
PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
DbgPrint(
"hello lyshark \n"
);
UNICODE_STRING uncode_buffer_source
=
{
0
};
UNICODE_STRING uncode_buffer_target
=
{
0
};
/
/
该函数可用于初始化字符串
RtlInitUnicodeString(&uncode_buffer_source, L
"hello lyshark"
);
/
/
初始化target字符串,分配空间
uncode_buffer_target.
Buffer
=
(PWSTR)ExAllocatePool(PagedPool,
1024
);
uncode_buffer_target.MaximumLength
=
1024
;
/
/
将source中的内容拷贝到target中
RtlCopyUnicodeString(&uncode_buffer_target, &uncode_buffer_source);
/
/
输出结果
DbgPrint(
"source = %wZ \n"
, &uncode_buffer_source);
DbgPrint(
"target = %wZ \n"
, &uncode_buffer_target);
/
/
释放空间 source 无需销毁
/
/
如果强制释放掉source则会导致系统蓝屏,因为source是在栈上的
RtlFreeUnicodeString(&uncode_buffer_target);
DbgPrint(
"驱动加载成功 \n"
);
Driver
-
>DriverUnload
=
UnDriver;
return
STATUS_SUCCESS;
}
|
实现字符串比较，如果需要比较两个UNICODE_STRING字符串结构体是否相等，那么可以使用RtlEqualUnicodeString这个内核函数实现，该函数第三个参数是返回值类型，如果是TRUE则默认返回真，否则返回假，具体代码如下。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
|
#include <ntifs.h>
VOID UnDriver(PDRIVER_OBJECT driver)
{
DbgPrint(
"驱动已卸载 \n"
);
}
/
/
PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
DbgPrint(
"hello lyshark \n"
);
UNICODE_STRING uncode_buffer_source
=
{
0
};
UNICODE_STRING uncode_buffer_target
=
{
0
};
/
/
该函数可用于初始化字符串
RtlInitUnicodeString(&uncode_buffer_source, L
"hello lyshark"
);
RtlInitUnicodeString(&uncode_buffer_target, L
"hello lyshark"
);
/
/
比较字符串是否相等
if
(RtlEqualUnicodeString(&uncode_buffer_source, &uncode_buffer_target, TRUE))
{
DbgPrint(
"字符串相等 \n"
);
}
else
{
DbgPrint(
"字符串不相等 \n"
);
}
DbgPrint(
"驱动加载成功 \n"
);
Driver
-
>DriverUnload
=
UnDriver;
return
STATUS_SUCCESS;
}
|
代码输出效果：
有时在字符串比较时需要统一字符串格式，例如全部变大写以后在做比较等，此时可以使用RtlUpcaseUnicodeString函数将小写字符串为大写，然后在做比较，代码如下。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
|
#include <ntifs.h>
VOID UnDriver(PDRIVER_OBJECT driver)
{
DbgPrint(
"驱动已卸载 \n"
);
}
/
/
PowerBy: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
DbgPrint(
"hello lyshark \n"
);
UNICODE_STRING uncode_buffer_source
=
{
0
};
UNICODE_STRING uncode_buffer_target
=
{
0
};
/
/
该函数可用于初始化字符串
RtlInitUnicodeString(&uncode_buffer_source, L
"hello lyshark"
);
RtlInitUnicodeString(&uncode_buffer_target, L
"HELLO LYSHARK"
);
/
/
字符串小写变大写
RtlUpcaseUnicodeString(&uncode_buffer_target, &uncode_buffer_source, TRUE);
DbgPrint(
"小写输出: %wZ \n"
, &uncode_buffer_source);
DbgPrint(
"变大写输出: %wZ \n"
, &uncode_buffer_target);
/
/
销毁字符串
RtlFreeUnicodeString(&uncode_buffer_target);
DbgPrint(
"驱动加载成功 \n"
);
Driver
-
>DriverUnload
=
UnDriver;
return
STATUS_SUCCESS;
}
|
代码输出效果：
更多【 驱动开发：内核字符串拷贝与比较】相关视频教程：www.yxfzedu.com
相关文章推荐
- 安徽华云安荣获国家安全漏洞库（CNNVD）年度最佳新秀奖 - 企业安全
- 华云安漏洞安全周报【第135期】 - 企业安全
- 华云安蝉联CNNVD“2022年度优秀技术支撑单位” - 企业安全
- 看开水团 与 ARM 花指令构造与静态Patch - Android安全
- iOS某车之家登录参数_sign&userpwd分析 - IOS安全
- 某讯课堂批量下载详细js逆向及脚本（支持QQ、VX登陆） - 软件逆向
- 华云安漏洞安全周报【第137期】 - 企业安全
- 华云安：安全验证不仅仅是ASM和BAS 而是技术、流程和工具的全面融合 - 企业安全
- 攻击面管理是威胁驱动到风险驱动演进的最佳实践 - 企业安全
- 真的只要60秒！使用eBPF追踪系统调用 - Android安全
- 如何做好《关键信息基础设施安全保护要求》提到的收敛暴露面？ - 企业安全
- python 动态生成变量及给变量赋值 - Android安全
- xhs sign算法生成X-s - Android安全
- 集权设施管理-AD域安全策略（二） - 企业安全
- 集权设施管理-AD域安全策略（一） - 企业安全
- 来自2007年的鬼写注入 - 软件逆向
- 腾讯课堂批量下载详细js逆向及脚本（支持QQ、VX登陆） - 软件逆向
- 界面劫持之点击劫持 - 企业安全
- （萌新总结）Android渗透测试指引（一）：总述② - Android安全
- 聊聊大厂设备指纹其三&如何在风控对抗这场“猫鼠游戏”中转换角色 - Android安全
记录自己的技术轨迹
文章规则：
1)：文章标题请尽量与文章内容相符
2)：严禁色情、血腥、暴力
3)：严禁发布任何形式的广告贴
4)：严禁发表关于中国的政治类话题
5)：严格遵守中国互联网法律法规
6)：有侵权,疑问可发邮件至service@yxfzedu.com
近期原创 更多
