键盘过滤驱动程序[通俗易懂]

      在我，因为现在是半个月后的时间与驱动器接触，我深深体会到开头难，和学习毅力的重要性。同时推动新。当看着帆驱动的开始《Windows驱动开发技术具体解释》讲的挺细。对新手来说是个不错的学习资料，可是更重要的还是自己要多动手练习。笔者在学习到同步操作的相关知识的时候。实在是看天书。

最后还是放弃了学习本书。再找了本楚狂人的资料学习。感觉本书对新手来说还是比較吃力的，当中笔者就是这样，非常多知识点不是非常明确。仅仅能凭借自己的感觉去做，只是造成的后果就是无情的蓝屏^_^。终于要的是笔者坚持下来了。

  今天来分享下学习过程中，编写键盘过滤的心得。关于工作原理由于笔者也是一知半解，就不在阐述。

  我们的目的就是将自己的驱动设备挂接/driver/kbdclass驱动下的全部设备,如图所看到的：

   然后通过处理来达到过滤我们想要的按键信息。

挂接后的驱动中的第一个设备就是我们的过滤设备。当有按键触发，按键信息首先会被我们自己写的设备所拦截，可是这时候拦截到的是没有处理的按键信息，那改怎么处理呢？我们去问键盘驱动。当我们拦截到按键IRP的时候先不做处理，给IRP设置完毕回调函数并传递给键盘驱动的设备。这样一来，当按键IRP被键盘驱动处理完毕之后就会运行我们的回调函数，这时我们在处理按键信息。当卸载我们的过滤设备的时候会有个麻烦就是会有个IRP已经设备了回调例程，而且在等待按键触发。

假设这个IRP在没有处理之前就卸载掉我们的过滤驱动，就会引发按键蓝盘。

为什么会蓝屏呢？由于这个IRP是已经被设置了回调函数。当IRP被处理完毕之后去找我们设置的回调函数。由于我们在IRP没有处理之前已经卸载了，所以这时IRP已经找不到回调函数了，所以导致蓝屏。

大部分都的解决方式是在处理IRP的时候放置个计数器，当计数器不为0的时候说明还有IRP未完毕，这是卸载的时候就用while来一直等待这个IRP完毕，假设我们要是不按键盘的话，它会无休止的等待下去，而且也影响系统性能。

  笔者通过相关资料的查阅，另个解决方式就是做个代理IRP，然后保存原来的IRP，由于我们能够取消自己的IRP。在卸载的时候先卸载我们的代理IRP。然后在发送原来保存的IRP，这样就非常好的攻克了无限的等待的BUG…可是笔者也没有找到相关代码，仅仅好自己动手试。经过一下午的測试，笔者发现我们仅仅须要做一个代理IRP就可以，并不须要保存原来的IRP，卸载的时候直接取消我们的IRP，并不须要又一次发送个IRP。以下我们来通过详细代码学习一下键盘过滤驱动。

首先：

 //驱动入口<br />extern “C” NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject,IN PUNICODE_STRING pRegistryPath)<br />{<br /> NTSTATUS status;<br /> DbgPrint(“驱动载入開始…/n”);<br /> pDriverObject->DriverUnload=FilterUnload;</p> <p> //设置读取派遣函数<br /> pDriverObject->MajorFunction[IRP_MJ_READ]=FilterDispatchRoutin;</p> <p> BindDevice(pDriverObject);</p> <p> DbgPrint(“驱动载入结束…/n”);</p> <p> return STATUS_SUCCESS;<br />}<br />   

  在主函数中，调用BindDevice来实现过滤驱动的创建与绑定，代码例如以下：

 //设备类型<br />extern “C” POBJECT_TYPE IoDriverObjectType;</p> <p>NTSTATUS BindDevice(PDRIVER_OBJECT pDriverObject)<br />{<br /> NTSTATUS status;<br /> UNICODE_STRING uniNtNameString;</p> <p> //要打开的驱动对象<br /> PDRIVER_OBJECT KbdDriverObject = NULL;<br /> //驱动对象的设备<br /> PDEVICE_OBJECT kbdDeviceOjbect;</p> <p> //初始化一个字符串。就是kbdclass驱动的名子<br /> RtlInitUnicodeString(&uniNtNameString,KBD_DRIVER_NAME);</p> <p> //依据名字打开驱动对象<br /> status=ObReferenceObjectByName(<br /> &uniNtNameString,<br /> OBJ_CASE_INSENSITIVE,<br /> NULL,<br /> 0,<br /> IoDriverObjectType,<br /> KernelMode,<br /> NULL,<br /> (PVOID*)&KbdDriverObject);</p> <p> //假设失败了就直接返回<br /> if(!NT_SUCCESS(status))<br /> {<br /> DbgPrint(“打开设备失败…/n”);<br /> return status;<br /> }</p> <p> //调用ObReferenceObjectByName会导致对驱动对象的引用计数添加<br /> //必须响应的调用解引用ObDereferenceObject<br /> ObDereferenceObject(pDriverObject);<br /> DbgPrint(“打开成功。解除引用…/n”);</p> <p> //键盘驱动的第一个设备<br /> kbdDeviceOjbect=KbdDriverObject->DeviceObject;<br /> while(kbdDeviceOjbect!=NULL)<br /> {<br /> //创建并绑定过滤设备<br /> CreateDevice(pDriverObject,kbdDeviceOjbect);<br /> //下一个设备<br /> kbdDeviceOjbect=kbdDeviceOjbect->NextDevice;<br /> }</p> <p> return status;<br />}  

在这里说一下ObReferenceObjectByName函数，该方法没有被导出，知我我们在头文件里声明一下就可以使用，声明例如以下：

//依据名字获取设备对象,此函数没有公开，声明一下就能够直接使用了</p> <p>extern “C” NTSTATUS ObReferenceObjectByName(<br /> PUNICODE_STRING objectName,<br /> ULONG Attributes,<br /> PACCESS_STATE AccessState,<br /> ACCESS_MASK DesiredAccess,<br /> POBJECT_TYPE objectType,<br /> KPROCESSOR_MODE accessMode,<br /> PVOID ParseContext,<br /> PVOID *Object);  

在BindDevice方法中，调用了一个CreateDevice方法。该方法负责创建过滤设备，而且附加在目标设备上。详细代码例如以下：

//创建设备<br />NTSTATUS CreateDevice(IN PDRIVER_OBJECT pDriverObject,IN PDEVICE_OBJECT oldDevObj)<br />{<br /> NTSTATUS status;<br /> PDEVICE_OBJECT pDevObj;<br /> //谁被扩展<br /> PDEVICE_EXTENSION pDevExt;</p> <p> status=IoCreateDevice(pDriverObject,<br /> sizeof(PDEVICE_EXTENSION),<br /> NULL,<br /> oldDevObj->DeviceType,//设备类型须要和被附加的设备类型相等<br /> 0,<br /> FALSE,//假设指定设备是独占的,大部分驱动程序设置这个值为FALSE,假设不是独占的话设置为TRUE.<br /> &pDevObj);</p> <p> if(!NT_SUCCESS(status))<br /> {<br /> DbgPrint(“创建设备失败…./n”);<br /> return NULL;<br /> }<br /> pDevExt=(PDEVICE_EXTENSION)pDevObj->DeviceExtension;<br /> //存储设备对象<br /> pDevExt->pDevice=pDevObj;<br /> //绑定前原设备<br /> pDevExt->poldDevice=oldDevObj;</p> <p> //标志位<br /> pDevObj->Flags |=oldDevObj->Flags & (DO_BUFFERED_IO | DO_DIRECT_IO | DO_POWER_PAGABLE);</p> <p> //该标识指示I/O管理器对全部发送到控制设备对象的Open请求进行安全检測<br /> pDevObj->Characteristics=oldDevObj->Characteristics;</p> <p> //绑定设备<br /> PDEVICE_OBJECT topDev = IoAttachDeviceToDeviceStack(pDevObj,oldDevObj);<br /> if(topDev==NULL)<br /> {<br /> //假设绑定失败,销毁设备<br /> IoDeleteDevice(pDevObj);<br /> status=STATUS_UNSUCCESSFUL;<br /> return status;<br /> }</p> <p> //将绑定的设备和原始设备放入设备扩展中<br /> pDevExt->poldDevice=oldDevObj;<br /> pDevExt->pbindDevice=topDev;</p> <p> pDevObj->Flags=pDevObj->Flags & ~DO_DEVICE_INITIALIZING;<br /> KdPrint((“绑定成功../n”));<br /> return STATUS_SUCCESS;<br />}  

 通过以上代码能够实现过滤设备的绑定，绑定了之后还是主要处理派遣函数，功能例如以下：

//派遣函数<br />NTSTATUS FilterDispatchRoutin(IN PDEVICE_OBJECT pDevObj,IN PIRP pIrp)<br />{<br /> PIO_STACK_LOCATION currentIrpStack;<br /> PDEVICE_EXTENSION pDevExt;</p> <p> //得到设备扩展<br /> pDevExt=(PDEVICE_EXTENSION)pDevObj->DeviceExtension;</p> <p> //得到当前irp包<br /> currentIrpStack=IoGetCurrentIrpStackLocation(pIrp);<br /> //将当前irp拷贝到下层设备irp堆栈<br /> IoCopyCurrentIrpStackLocationToNext(pIrp);</p> <p> //保存原来的irp<br /> //pDevExt->tagIrp=pIrp;</p> <p> //代理irp<br /> pDevExt->proxyIrp=pIrp;</p> <p> //设置当irp完毕时的回调例程<br /> IoSetCompletionRoutine(pDevExt->proxyIrp,CallBackKbdFilter,pDevObj,TRUE,TRUE,TRUE);<br /> DbgPrint(“irp回调例程设置完毕…/n”);<br /> return IoCallDriver(pDevExt->poldDevice,pDevExt->proxyIrp);<br />}  

  注意的是在处理派遣函数的时候我们将IRP换成我们自己的IRP。这样就能达到取消IRP的目的，我们给IRP设置了回调函数，当IRP处理完毕的时候就去运行回调函数，回调函数例如以下：

// flags for keyboard status<br />#define S_SHIFT 1<br />#define S_CAPS 2<br />#define S_NUM 4<br />static int kb_status = S_NUM;<br />void __stdcall print_keystroke(UCHAR sch)<br />{<br /> UCHAR ch = 0;<br /> int off = 0;</p> <p> if ((sch & 0x80) == 0) //make<br /> {<br /> if ((sch < 0x47) ||<br /> ((sch >= 0x47 && sch < 0x54) && (kb_status & S_NUM))) // Num Lock<br /> {<br /> ch = asciiTbl[off+sch];<br /> }</p> <p> switch (sch)<br /> {<br /> case 0x3A:<br /> kb_status ^= S_CAPS;<br /> break;</p> <p> case 0x2A:<br /> case 0x36:<br /> kb_status |= S_SHIFT;<br /> break;</p> <p> case 0x45:<br /> kb_status ^= S_NUM;<br /> }<br /> }<br /> else //break<br /> {<br /> if (sch == 0xAA || sch == 0xB6)<br /> kb_status &= ~S_SHIFT;<br /> }</p> <p> if (ch >= 0x20 && ch < 0x7F)<br /> {<br /> DbgPrint(“%C /n”,ch);<br /> }</p> <p>}</p> <p>NTSTATUS CallBackKbdFilter( IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp, IN PVOID Context )<br />{<br /> PIO_STACK_LOCATION currentIrp;<br /> PKEYBOARD_INPUT_DATA keyData;</p> <p> currentIrp=IoGetCurrentIrpStackLocation(Irp);</p> <p> if(NT_SUCCESS(Irp->IoStatus.Status))<br /> {<br /> keyData=(PKEYBOARD_INPUT_DATA)Irp->AssociatedIrp.SystemBuffer;</p> <p> //DbgPrint(“扫描码：%x”,keyData->MakeCode);<br /> DbgPrint(“键盘 ：%s”,keyData->Flags?”弹起”:”按下”);<br /> print_keystroke((UCHAR)keyData->MakeCode);<br /> }<br /> if( Irp->PendingReturned )<br /> {<br /> IoMarkIrpPending( Irp );<br /> }<br /> return Irp->IoStatus.Status;<br />}  

  函数就不说明了，主要就是对makecode的处理，只是在回调函数中引用了对比表，例如以下：

 unsigned char asciiTbl[]={<br /> 0x00, 0x1B, 0x31, 0x32, 0x33, 0x34, 0x35, 0x36, 0x37, 0x38, 0x39, 0x30, 0x2D, 0x3D, 0x08, 0x09, //normal<br /> 0x71, 0x77, 0x65, 0x72, 0x74, 0x79, 0x75, 0x69, 0x6F, 0x70, 0x5B, 0x5D, 0x0D, 0x00, 0x61, 0x73,<br /> 0x64, 0x66, 0x67, 0x68, 0x6A, 0x6B, 0x6C, 0x3B, 0x27, 0x60, 0x00, 0x5C, 0x7A, 0x78, 0x63, 0x76,<br /> 0x62, 0x6E, 0x6D, 0x2C, 0x2E, 0x2F, 0x00, 0x2A, 0x00, 0x20, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,<br /> 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x37, 0x38, 0x39, 0x2D, 0x34, 0x35, 0x36, 0x2B, 0x31,<br /> 0x32, 0x33, 0x30, 0x2E,<br /> 0x00, 0x1B, 0x31, 0x32, 0x33, 0x34, 0x35, 0x36, 0x37, 0x38, 0x39, 0x30, 0x2D, 0x3D, 0x08, 0x09, //caps<br /> 0x51, 0x57, 0x45, 0x52, 0x54, 0x59, 0x55, 0x49, 0x4F, 0x50, 0x5B, 0x5D, 0x0D, 0x00, 0x41, 0x53,<br /> 0x44, 0x46, 0x47, 0x48, 0x4A, 0x4B, 0x4C, 0x3B, 0x27, 0x60, 0x00, 0x5C, 0x5A, 0x58, 0x43, 0x56,<br /> 0x42, 0x4E, 0x4D, 0x2C, 0x2E, 0x2F, 0x00, 0x2A, 0x00, 0x20, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,<br /> 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x37, 0x38, 0x39, 0x2D, 0x34, 0x35, 0x36, 0x2B, 0x31,<br /> 0x32, 0x33, 0x30, 0x2E,<br /> 0x00, 0x1B, 0x21, 0x40, 0x23, 0x24, 0x25, 0x5E, 0x26, 0x2A, 0x28, 0x29, 0x5F, 0x2B, 0x08, 0x09, //shift<br /> 0x51, 0x57, 0x45, 0x52, 0x54, 0x59, 0x55, 0x49, 0x4F, 0x50, 0x7B, 0x7D, 0x0D, 0x00, 0x41, 0x53,<br /> 0x44, 0x46, 0x47, 0x48, 0x4A, 0x4B, 0x4C, 0x3A, 0x22, 0x7E, 0x00, 0x7C, 0x5A, 0x58, 0x43, 0x56,<br /> 0x42, 0x4E, 0x4D, 0x3C, 0x3E, 0x3F, 0x00, 0x2A, 0x00, 0x20, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,<br /> 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x37, 0x38, 0x39, 0x2D, 0x34, 0x35, 0x36, 0x2B, 0x31,<br /> 0x32, 0x33, 0x30, 0x2E,<br /> 0x00, 0x1B, 0x21, 0x40, 0x23, 0x24, 0x25, 0x5E, 0x26, 0x2A, 0x28, 0x29, 0x5F, 0x2B, 0x08, 0x09, //caps + shift<br /> 0x71, 0x77, 0x65, 0x72, 0x74, 0x79, 0x75, 0x69, 0x6F, 0x70, 0x7B, 0x7D, 0x0D, 0x00, 0x61, 0x73,<br /> 0x64, 0x66, 0x67, 0x68, 0x6A, 0x6B, 0x6C, 0x3A, 0x22, 0x7E, 0x00, 0x7C, 0x7A, 0x78, 0x63, 0x76,<br /> 0x62, 0x6E, 0x6D, 0x3C, 0x3E, 0x3F, 0x00, 0x2A, 0x00, 0x20, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,<br /> 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x37, 0x38, 0x39, 0x2D, 0x34, 0x35, 0x36, 0x2B, 0x31,<br /> 0x32, 0x33, 0x30, 0x2E<br />};

  就是卸载函数，在卸载的时候我们要删除设备和附加的设备，然后取消最后一个IRP。代码例如以下：

//卸载例程<br />void FilterUnload(IN PDRIVER_OBJECT pDriverObject)<br />{</p> <p> //得到设备<br /> PDEVICE_OBJECT pDevObj=pDriverObject->DeviceObject;<br /> while(pDevObj!=NULL)<br /> {<br /> //设备扩展<br /> PDEVICE_EXTENSION pDevExt=(PDEVICE_EXTENSION)pDevObj->DeviceExtension;</p> <p> PDEVICE_OBJECT pTagObj=pDevExt->pbindDevice;</p> <p> //解除绑定<br /> if(pDevExt->pbindDevice!=NULL)<br /> {<br /> IoDetachDevice(pDevExt->pbindDevice);<br /> }</p> <p> //删除设备<br /> if(pDevExt->pDevice!=NULL)<br /> {<br /> IoDeleteDevice(pDevExt->pDevice);<br /> }</p> <p> if(pDevExt->proxyIrp!=NULL)<br /> {<br /> if(CancelIrp(pDevExt->proxyIrp))<br /> {<br /> DbgPrint(“取消成功。。</p><p>。</p><p>/n”);<br /> }<br /> else<br /> {<br /> DbgPrint(“取消失败。。</p><p>。/n”);<br /> }<br /> }<br /> //下一个设备<br /> pDevObj=pDevObj->NextDevice;</p> <p> }<br />}  

  载函数中调用了个取消IRP的方法，代码例如以下：

BOOLEAN CancelIrp(PIRP pIrp)<br />{<br /> if(pIrp==NULL)<br /> {<br /> DbgPrint(“取消irp错误…/n”);<br /> return FALSE;<br /> }<br /> if(pIrp->Cancel || pIrp->CancelRoutine==NULL)<br /> {<br /> DbgPrint(“取消irp错误…/n”);<br /> return FALSE;<br /> }<br /> if(FALSE==IoCancelIrp(pIrp))<br /> {<br /> DbgPrint(“IoCancelIrp to irp错误…/n”);<br /> return FALSE;<br /> }</p> <p> //取消后重设此例为空<br /> IoSetCancelRoutine(pIrp,NULL);<br /> return TRUE;<br />}  

整个键盘过滤驱动就完毕了，以后还得多多学习，多多总结。

转载请注明来自：http://blog.csdn.net/ms2146