Question

我们知道用户模式应用程序可以通过调用DeviceIoControl（）API将IOCTL代码和数据缓冲区传递给内核设备驱动程序。

BOOL WINAPI DeviceIoControl(
  _In_         HANDLE hDevice,
  _In_         DWORD dwIoControlCode, <--Control Code
  _In_opt_     LPVOID lpInBuffer,  <- Input buffer pointer
  _In_         DWORD nInBufferSize, <- Input buffer size
  _Out_opt_    LPVOID lpOutBuffer,
  _In_         DWORD nOutBufferSize,
  _Out_opt_    LPDWORD lpBytesReturned,
  _Inout_opt_  LPOVERLAPPED lpOverlapped
);

我遇到过一种情况，用户模式应用程序有时会将IOCTL缓冲区传递给内核驱动程序，并且会一次又一次地导致BSOD。每次我为BSOD获取内核内存转储。

所以我的问题是，是否有可能找到确切的格式错误的输入缓冲区和IOCTL代码，它导致内核内存转储的BSOD，以便我可以使用简单的C编程重现BSOD。

正如您可以从堆栈跟踪中找到的那样，它在ntDeviceIoContrilFile调用之后崩溃。

kd> kb
ChildEBP RetAddr  Args to Child              
b8048798 805246fb 00000050 ffff0000 00000001 nt!KeBugCheckEx+0x1b
b80487e4 804e1ff1 00000001 ffff0000 00000000 nt!MmAccessFault+0x6f5
b80487e4 804ed0db 00000001 ffff0000 00000000 nt!KiTrap0E+0xcc
b80488b4 804ed15a 88e23a38 b8048900 b80488f4 nt!IopCompleteRequest+0x92
b8048904 806f2c0a 00000000 00000000 b804891c nt!KiDeliverApc+0xb3
b8048904 806ed0b3 00000000 00000000 b804891c hal!HalpApcInterrupt2ndEntry+0x31
b8048990 804e59ec 88e23a38 88e239f8 00000000 hal!KfLowerIrql+0x43
b80489b0 804ed174 88e23a38 896864c8 00000000 nt!KeInsertQueueApc+0x4b
b80489e4 f7432123 8960e9d8 8980b300 00000000 nt!IopfCompleteRequest+0x1d8
WARNING: Stack unwind information not available. Following frames may be wrong.
b80489f8 804e3d77 0000001c 0000001c 806ed070 NinjaDriver+0x1123
b8048a08 8056a9ab 88e23a8c 896864c8 88e239f8 nt!IopfCallDriver+0x31
b8048a1c 8057d9f7 89817030 88e239f8 896864c8 nt!IopSynchronousServiceTail+0x60
b8048ac4 8057fbfa 00000090 00000000 00000000 nt!IopXxxControlFile+0x611
b8048af8 b6e6a06f 00000090 00000000 00000000 nt!NtDeviceIoControlFile+0x2a
b8048b8c b6e6a5c3 00000001 00000090 00000000 Ninja+0x506f
b8048c80 b6e6ab9b 00000001 88da9898 00000090 Ninja+0x55c3
b8048d34 804df06b 00000090 00000000 00000000 Ninja+0x5b9b
b8048d34 7c90ebab 00000090 00000000 00000000 nt!KiFastCallEntry+0xf8
00f8fd7c 00000000 00000000 00000000 00000000 0x7c90ebab

先谢谢，

Answer 1

你需要nt！NtDeviceIoControlFile的函数签名。使用该信息从nt！NtDeviceIoControlFile的返回地址向后汇编ub b6e6a06f。这将向您展示Ninja如何为其调用nt！NtDeviceIoControlFile设置参数。找到与ioctl代码和缓冲区对应的args，然后转储它们的内容。

请注意，寄存器将被重用，因此您可能需要在反汇编中进一步挖掘，以便从函数调用之前保存在堆栈中的非易失性寄存器中获取正确的值。

在windbg帮助文件（debugger.chm）中有一个非常有用的页面，标题为“x86架构”。在这种情况下，您可能需要阅读标题为“注册”和“调用约定”的部分。

从崩溃转储+ Windbg [BSOD]中检索IOCTL输入缓冲区内容

1 个答案: