絕對硬派：Windows核心首度公開C++解析

名人推薦：本書是作者多年實作經驗的精華之作，深入淺出的揭開現代OS核心的神秘面紗，是每一位安全技術實作者的良器。
~~ 數篷科技CTO 楊一飛

本書系統地介紹Windows系統程式設計機制，內容豐富、簡單易懂，想學習Windows核心程式設計，有這一本足矣。
~~十五派信息安全教育創始人 任曉琿

本書作者以雄厚的技術實力和多年程式設計經驗，系統地介紹Windows核心程式設計的方方面面。本書適合入門與進階Windows和新開發的讀者閱讀。
~~騰訊安全部總監、安全應急響應中心(TSRC)負責人 胡珀 (lake2)

這是一本有關Windows驅動開發的...

前言

Windows 是目前主流的封閉原始碼作業系統，從第一個NT 核心的Windows2000 至今，已經有20 年左右的歷史。在這漫長的20 年內，為了滿足日益變化的業務需求，以及應對不斷升級的安全挑戰，Windows 作業系統核心一直不斷升級與增強，其主要表現是核心中增加了新的邏輯模組與安全機制，其中最為典型的是64 位元的Windows 作業系統核心比較32 位元核心增加了Patch Guard" 模組，這個模組的主要作用是檢查核心是否被協力廠商核心模組「污染」，目的是防止病毒木馬使用核心掛鉤或綁架的技術篡改核心。新的安全機制常常會對安全開發者帶來一定的影響，其原因是一些軟體過度依賴系統未公開的底層技術，而正確的做法是開發者需緊密依賴系統提供的公開機制，利用可利用的機制完成相同的功能，這要求開發者對整個Windows 核心機制有深入的了解。作者撰寫本書的目的之一，正是希望讀者能對Windows 核心有更全面、更深入的認識。

本書的前身是《Windows 核心程式設計與驅動開發》，本書在前者的基礎上，刪除了部分過時的章節，重新定義了大部分基礎章節並新增了部分目前較為熱門的技術，同時為了使本書內容更為聚焦，刪除了與Windows 核心連結性不強的內容。
本書針對的讀者群主要有以下幾種。

■ 有一定 C 語言基礎，有興趣了解 Windows 核心的讀者。
■ 有一定 C 語言基礎，並且希望從事 Windows 核心開發的讀者。
■ 有一定基礎的 Windows 核心開發者，有意願進一步加強的讀者。

本書共分為三篇。第一篇為基礎篇（第1 章∼第6 章），從初學者的角度出發，介紹Windows 核心的基本概念、開發環境的架設、系統機制以及核心程式設計的技巧。第1 章與第2 章是本書最為基礎的部分，介紹了核心程式設計的基本概念與開發環境架設，初學者應該首先學習這部分內容。第3 ∼第5 章重點介紹了系統的常用機制，這些機制的使用會貫穿本書所有章節，掌握這些常用機制是核心開發者最基本的要求。第6 章介紹了核心程式設計的注意事項與技巧，這些注意事項與技巧可以幫助初學者少走冤枉路，快速入門。

第二篇為過濾篇（第7 章∼第18 章），是本書的核心內容，由易到難詳細介紹了Windows 系統的過濾機制。首先以最簡單的序列埠過濾驅動開始，剖析了一個過濾驅動的最基本要素，然後分別介紹了鍵盤過濾、磁碟過濾、檔案過濾以及網路過濾。對於網路過濾，本篇從不同的網路層次與角度介紹了TDI、WFP 以及NDIS 等機制。本篇內容涵蓋了目前Windows 系統絕大部分主流的過濾技術。

第三篇為應用篇（第19 章∼第23 章），結合前兩篇的基礎知識，本篇綜合介紹了Windows 安全領域所需的其他技術，透過對本篇的學習，讀者將發現安全技術並不侷限於系統提供的現成機制。本篇選取了目前主流安全軟體所使用到的典型技術，深入淺出，首先介紹了CPU 的基本基礎知識，然後基於上述基礎知識，第20 章重點介紹了Windows 下的掛鉤技術，掛鉤技術常被用於安全軟體的檢測、稽核、攔截等技術；第22 章和第23 章從守護的角度，介紹了自我保護技術。

筆者擁有十餘年的Windows 開發經驗，主導過資料安全、主機安全、伺服器安全等專案，有關To C（針對消費者群眾）和To B（針對企業使用者群眾）企業，深知Windows 核心的複雜性，由於企業的特殊環境，To C 和To B 的核心技術方案選型不盡相同，因為不同的使用者群眾，其主機上軟體存在參差不齊的同類安全軟體，安全軟體之間也存在大量的相容性問題，這些問題的引用使得原本並不簡單的核心程式設計更為複雜化。記得有很多讀者問過我一個相同的問題：如何撰寫一個穩定的核心模組。這個問題其實沒有標準答案，以筆者的經驗來看，讀者首先應該養成良好的程式設計習慣，然後深入了解系統的各種安全機制以及攔截方法，在撰寫程式時，請思考以下幾個問題：①這行程式碼是否會被其他軟體攔截導致失敗；②這行程式碼是否會觸發一些協力廠商的回呼函數；③這行程式碼失敗後應該怎麼處理。本書在介紹技術的同時，也介紹了筆者的核心開發心得體會與技巧，希望這些體會與技巧可以為讀者帶來更多的思考。核心程式設計類似於武林秘笈的內功修煉，需要時間沉澱，並非一蹴而就，請讀者要有更多的耐心，「成功之道，貴在堅持」。

本書原始程式碼請至本公司官網https://deepmind.com.tw 搜尋本書後下載。作者亦有針對本書程式碼，維護一個github 的專案，網址為https://github.com/minglinchen/WinKernelDev。讀者可以隨時造訪這個網址下載最新的程式碼。

寫作是一項工作量極大而繁雜的工作，而對技術書籍來說更是如此。由於我個人工作的緣故，寫作只能在晚上或週末進行，有時為了整章內容的想法連貫而需要挑燈夜戰，通宵達旦。一路走來，感謝我的父母、妻子和女兒，在每天有限的時間裡，我需要投入更多的時間精力專注在寫作上而缺少對他們的陪伴，尤其是我的女兒淇淇，在深感愧疚的同時，也感謝他們的了解與支援。

感謝我的摯友黃瀚，在本書寫作過程中一直支援我，並為我提供了大量的技術性資源。感謝李冰和馮琦二位編輯，她們確保了本書所有文字內容嚴謹與通暢。

感謝「安全圈」內朋友們的支援，尤其感謝數篷科技的科學家吳燁、CTO 楊一飛以及架構師王柏達，他們在工作中為我提供大量的幫助。感謝上一本書籍熱心的讀者，他們回饋的問題更進一步地加強本書的內容。
最後，希望本書能為「安全圈」內的讀者或即將進入「安全圈」的讀者帶來更大的收穫。

陳銘霖

前言

Windows 是目前主流的封閉原始碼作業系統，從第一個NT 核心的Windows2000 至今，已經有20 年左右的歷史。在這漫長的20 年內，為了滿足日益變化的業務需求，以及應對不斷升級的安全挑戰，Windows 作業系統核心一直不斷升級與增強，其主要表現是核心中增加了新的邏輯模組與安全機制，其中最為典型的是64 位元的Windows 作業系統核心比較32 位元核心增加了Patch Guard" 模組，這個模組的主要作用是檢查核心是否被協力廠商核心模組「污染」，目的是防止病毒木馬使用核心掛鉤或綁架的技術篡改核心。新的安全機制常常會對安全開發者帶來...

前言

第一篇 基礎篇
01 核心程式設計環境
1.1 下載開發編譯環境
1.2 撰寫第一個C 檔案
1.3 編譯第一個驅動
02 核心驅動執行與偵錯
2.1 驅動的執行
2.2 服務的基本操作
2.3 驅動的偵錯
03 核心程式設計基礎
3.1 上下文環境
3.2 插斷要求等級
3.3 驅動例外
3.4 字串操作
3.5 鏈結串列
3.6 迴旋栓鎖
3.7 記憶體分配
3.8 物件與控制碼
3.9 登錄檔
3.10 檔案操作
3.11 執行緒與事件
04 應用與核心通訊
4.1 核心方面的程式設計
4.2 應用方面的程式設計
05 64 位元和32 位元核心開發差異
5.1 64 位元系統新增機制
5.2 程式設計差異
06 核心程式設計技巧
6.1 初始化設定值問題
6.2 有效性判斷
6.3 即時申請
6.4 獨立性與最小化原則
6.5 巢狀結構陷阱
6.6 穩定性處理

第二篇　過濾篇
07 序列埠的過濾
7.1 過濾的概念
7.2 獲得實際資料
7.3 完整的程式
08 鍵盤的過濾
8.1 技術原理
8.2 鍵盤過濾的架構
8.3 鍵盤過濾的請求處理
8.4 從請求中列印出按鍵資訊
8.5 Hook 分發函數
8.6 Hook 鍵盤中斷反過濾
8.7 直接用通訊埠操作鍵盤
09 磁碟的虛擬
9.1 虛擬的磁碟
9.2 一個實際的實例
9.3 入口函數
9.4 EvtDriverDeviceAdd 函數
9.5 FAT12/16 磁碟卷冊初始化
9.6 驅動中的請求處理
9.7 Ramdisk 的編譯和安裝
10 磁碟的過濾
10.1 磁碟過濾驅動的概念
10.2 具有還原功能的磁碟卷冊過濾驅動
10.3 驅動分析
11 檔案系統的過濾與監控
11.1 檔案系統的裝置物件
11.2 檔案系統的分發函數
11.3 裝置的綁定前期工作
11.4 檔案系統控制裝置的綁定
11.5 檔案系統卷冊裝置的綁定
11.6 讀/寫操作的過濾
11.7 其他操作的過濾
11.8 路徑過濾的實現
11.9 把sfilter 編譯成靜態程式庫
12 檔案系統透明加密
12.1 檔案透明加密的應用
12.2 區分處理程序
12.3 記憶體對映與檔案緩衝
12.4 加密標識
12.5 檔案加密表
12.6 檔案開啟處理
12.7 讀/寫加密和解密
12.8 crypt_file 的組裝
13 檔案系統微過濾驅動
13.1 檔案系統微過濾驅動簡介
13.2 Minifilter 的程式設計架構
13.3 Minifilter 如何與應用程式通訊
13.4 Minifilter 的安裝與載入
14 網路傳輸層過濾
14.1 TDI 概要
14.2 TDI 的過濾架構
14.3 產生請求：取得位址
14.4 控制請求
14.5 本書實例tdifw.lib 的應用
15 Windows 過濾平台
15.1 WFP 簡介
15.2 WFP 架構
15.3 基本物件模型
15.4 WFP 操作
15.5 WFP 過濾實例
16 NDIS 協定驅動
16.1 乙太網路封包和網路驅動架構
16.2 協定驅動的DriverEntry
16.3 協定與網路卡的綁定
16.4 綁定的解除
16.5 在使用者態操作協定驅動
16.6 在核心態完成功能的實現
16.7 協定驅動的接收回呼
17 NDIS 迷你通訊埠驅動
17.1 迷你通訊埠驅動的應用與概述
17.2 迷你通訊埠驅動的初始化
17.3 開啟ndisprot 裝置
17.4 使用ndisprot 發送封包
17.5 使用ndisprot 接收封包
17.6 其他的特徵回呼函數的實現
18 NDIS 中間層驅動
18.1 NDIS 中間層驅動概述
18.2 中間層驅動的入口與綁定
18.3 中間層驅動發送資料封包
18.4 中間層驅動接收資料封包
18.5 中間層驅動程式查詢和設定
18.6 NDIS 控制碼
18.7 產生普通控制裝置

第三篇　應用篇
19 IA-32 組合語言基礎
19.1 x86 記憶體、暫存器與堆疊
19.2 x86 中函數的實現
19.3 x86 中函數的呼叫與傳回
19.4 從32 位元組合語言到64 位元組合語言
19.5 64 位元下的函數實現
20 Windows 核心掛鉤
20.1 系統服務描述符號表掛鉤
20.2 函數匯出表掛鉤
20.3 Windows 7 系統下IofCallDriver的追蹤
20.4 Windows 7 系統下內聯掛鉤
20.5 中斷與中斷掛鉤
21 Windows 通知與回呼
21.1 Windows 的事件通知與回呼
21.2 常用的事件通知
21.3 Windows 回呼機制
21.4 安全的死角，回呼的應用
22 保護處理程序
22.1 核心物件簡介
22.2 核心物件的結構
22.3 保護核心物件
22.4 處理程序的保護
23 程式植入與防植入
23.1 植入與防植入簡介
23.2 常用的植入方式
23.3 主動植入
23.4 被動植入
23.5 防植入
23.6 歸納

A 如何使用本書的原始程式
B 練習題

前言

第一篇 基礎篇
01 核心程式設計環境
1.1 下載開發編譯環境
1.2 撰寫第一個C 檔案
1.3 編譯第一個驅動
02 核心驅動執行與偵錯
2.1 驅動的執行
2.2 服務的基本操作
2.3 驅動的偵錯
03 核心程式設計基礎
3.1 上下文環境
3.2 插斷要求等級
3.3 驅動例外
3.4 字串操作
3.5 鏈結串列
3.6 迴旋栓鎖
3.7 記憶體分配
3.8 物件與控制碼
3.9 登錄檔
3.10 檔案操作
3.11 執行緒與事件
04 應用與核心通訊
4.1 核心方面的程式設計
4.2 應用方面的程式設計
05 64 位元和32 位元核心開發差異
5.1 64 位元系統新...