Question

我正在查看WDK中名为minispy的文件系统过滤器驱动程序示例...特别是它们如何使用FilterSendMessage和相关函数在用户空间和内核之间传递数据：

http://msdn.microsoft.com/en-us/library/windows/hardware/ff541513%28v=vs.85%29.aspx

如果您安装WDK，我正在查看的代码应该位于此处：

WinDDK Root Dir \ version \ src \ filesys \ miniFilter \ minispy

所以我首先要看的是inc \ minispy.h中的共享头文件：

#pragma warning(push)
#pragma warning(disable:4200) // disable warnings for structures with zero length arrays.

typedef struct _LOG_RECORD {


ULONG Length;           // Length of log record.  This Does not include
ULONG SequenceNumber;   // space used by other members of RECORD_LIST

ULONG RecordType;       // The type of log record this is.
ULONG Reserved;         // For alignment on IA64

RECORD_DATA Data;
WCHAR Name[];           //  This is a null terminated string

} LOG_RECORD, *PLOG_RECORD;

这里我们有Name没有明确的大小，看起来他们正在使用一些选项来禁用此警告。

现在我正在查看填写的位置，过滤器\ mspyLib.c：

（我只复制了我认为相关的行......）

VOID SpySetRecordName (__inout PLOG_RECORD LogRecord, __in PUNICODE_STRING Name)

    ULONG nameCopyLength;
    PCHAR copyPointer = (PCHAR)LogRecord->Name;
    ...
    // A bunch of code for getting nameCopyLength from UNICODE_STRING -- I understand this.
    ...

    // comment about adding sizeof(PVOID) for IA64 alignment -- I understand this.
    LogRecord->Length = ROUND_TO_SIZE( (LogRecord->Length + nameCopyLength + sizeof( UNICODE_NULL )), sizeof( PVOID ) );

    RtlCopyMemory( copyPointer, Name->Buffer, nameCopyLength );

    copyPointer += nameCopyLength;

    *((PWCHAR) copyPointer) = UNICODE_NULL;

所以我的问题基本上是使用FilterSendMessage在结构中传递字符串以进行用户内核通信的最佳方法吗？我无法想象这些结构的布局，如果名称字符串太大，会发生什么。此外，struct的分配发生在它的堆栈上的userspace组件中，但resize发生在内核空间组件中，作用于传递给struct的指针。我认为这不是我不理解零长度数组的问题，而是用户空间组件如何知道在调整大小之前为Name字段保留多少空间？

这实际上似乎是动态大小的数组的形式，在几个线程中讨论，例如：

C: Recommended style for dynamically sized structs

Answer 1

您需要先拨打FilterConnectCommunicationPort（）才能打开新连接，然后拨打FilterSendMessage（）。

Answer 2

首先，是的，它似乎是一种动态大小的数组。基本上，Name字符串就位于结构的末尾。在用户模式和内核模式之间传递数据时，经常使用技巧。这种方法有几个优点：

它不需要多次内存分配。
将数据从用户模式传递到内核模式（反之亦然）时，您经常需要将内存从一个缓冲区复制到另一个缓冲区（我相信FilterSendMessage会这样做）。如果我们使用指向不同内存位置的指针来存储字符串，我们将需要多次调用来复制（或锁定）内存。处理用户提供的消息时，操作系统无法知道数据结构的布局。解决这个问题的关键是使用如上所述的普通结构。

这是非常有用的方法。我个人使用这样的技巧来避免即使在简单的应用程序中多次调用内存函数（分配，复制，移动等）。在开发Windows驱动程序时，我到处都看到这样的结构（即ZwQueryInformationFile，ZwQueryDirectoryFile等）。

Windows驱动程序 - 在用户模式和内核模式之间传递字符串。动态大小的结构

2 个答案: