Question

我遇到了一个问题，我使用需要回复的FltSendMessage从内核模式向用户模式发送消息。传递的结构包含一个设置为0或1的int。用户模式通过设置此标志并调用FilterReplyMessage来回复。但是，当内核收到消息时，它的值总是56.无论我在用户模式下将标志设置为什么号，内核总是接收值56.我对我的错误位置感到困惑。

我已经尝试将passFlag的数据类型从int更改为其他类型（USHORT等..），我知道这些类型可能没什么区别，但值得一试。

因为内核消息被成功回复（检查用户模式HRESULT没有返回任何错误，没有超时，所以如果没有收到回复，系统会挂起，但它没有），我知道错误必须是缓冲区在用户模式和内核模式之间传递。我似乎无法找到在内核模式下没有正确解释passFlag的原因。

有人可以帮忙吗？

共享结构：

typedef struct _REPLY_MESSAGE_STRUCT {

    // Message header.
    FILTER_REPLY_HEADER header;

        // Flag to be set 
        // by user mode.
        int passFlag;

}REPLY_MESSAGE_STRUCT, *PREPLY_MESSAGE_STRUCT;

内核代码：

DbgPrint("Sending Message...\n");

    replyBuffer.passFlag = 0;
    ULONG replySize = ((ULONG)sizeof(replyBuffer.header)) + ((ULONG)sizeof(replyBuffer));
    REPLY_MESSAGE_STRUCT replyBuffer;

    // Note: Try-catch statement has been omitted in this question to save time.
    // In the actual code there is a try-catch statement surrounding FltSendMessage.
    status = FltSendMessage(imageFilterData.filterHandle,
                    &imageFilterData.clientPort,
                    (PVOID)&sendingBuffer.messageBuffer,
                    sizeof(sendingBuffer.messageBuffer),
                    (PVOID)&replyBuffer,
                    &replySize,
                    0
                    );
    // Always returns 56
    // When a reply has been received.
    DbgPrint("Message received: %i\n", replyBuffer.passFlag);

用户代码：

// User-mode buffer is the same size as kernel-mode buffer.
ULONG replySize = ((ULONG)sizeof(replyBuffer.header)) + ((ULONG)sizeof(replyBuffer));
replyMessage.header.MessageId = messageFromKernel.header.MessageId;
REPLY_MESSAGE_STRUCT replyMessage;

// User-mode setting flag.
replyMessage.passFlag = 1;

// Flag is changed to 1 successfully.
printf("Test: %i\n", replyMessage.passFlag);

// Reply is sent successfully, but flag value on kernel end is always 56
hResult = FilterReplyMessage(port,
    &replyMessage.header,
    replySize);

_com_error err2(hResult);

errorMessage = err2.ErrorMessage();

// No errors.
printf("Result: %s\n", errorMessage);

我尝试过：

更改passFlag的数据类型。
在FltSendMessage和FilterReply消息之前和之后的每个步骤中查找是否在发送回内核之前更改了值。

Answer 1

您在通话FltSendMessage中使用错误数据：

ReplyBuffer 指向自定义用户定义数据的指针。它不能从FILTER_REPLY_HEADER开始 SenderBuffer 是自定义用户定义数据的指针。它不能从FILTER_MESSAGE_HEADER

开始

首先，您需要define structures，它们在内核和用户模式之间共享，用于消息和回复。例如

struct SCANNER_NOTIFICATION {
    // any custom data
    int someData;

};

struct SCANNER_REPLY {
    // any custom data
    int passFlag;
};

在内核模式下，您可以直接使用它：

SCANNER_NOTIFICATION send;
SCANNER_REPLY reply;
ULONG ReplyLength = sizeof(reply);

FltSendMessage(*, *, &send, sizeof(send), &reply, &ReplyLength, *);

在用户模式中need define 2个其他结构：

struct SCANNER_MESSAGE : public FILTER_MESSAGE_HEADER, public SCANNER_NOTIFICATION {};

struct SCANNER_REPLY_MESSAGE : public FILTER_REPLY_HEADER, public SCANNER_REPLY {};

（我在here使用 c 样式时使用 c ++ 样式）在用户模式下，我们需要使用next，例如：

SCANNER_MESSAGE* mesage;
FilterGetMessage(*, mesage, sizeof(SCANNER_MESSAGE), *);

和

    SCANNER_REPLY_MESSAGE reply;
    reply.MessageId = mesage->MessageId;
    FilterReplyMessage(*, &reply, sizeof(reply));

迷你过滤器从用户模式应用程序接收恒定值

1 个答案: