内核空间与内核模块
Windows内核分析索引目录：https://www.cnblogs.com/onetrainee/p/11675224.html
一、内核空间分布：
在4GB内存的操作系统中，高2G的给内存空间操作系统使用，这部分内存空间所有进程共享。
低2G的内存给各个进程使用，每个进程占有独立的内存空间，相互进程其内存之间并不影响。
二、内核模块
内核模块与一般应用层的模块并没有太大区别，其文件结构都遵守Windows的可执行文件结构规范(PE)，本质是一样的。
三、DRIVER_OBJECT 结构体介绍
每一个内核模块中都有一个DRIVER_OBJECT结构体，用来描述这个模块在内核中的位置、大小、名称等。
使用 windbg 来查看该结构体
kd > dt _DRIVER_OBJECT
nt!_DRIVER_OBJECT
+ 0x000 Type : Int2B
+ 0x002 Size : Int2B
+ 0x004 DeviceObject : Ptr32 _DEVICE_OBJECT
+ 0x008 Flags : Uint4B
+ 0x00c DriverStart : Ptr32 Void // 驱动程序开始的位置
+ 0x010 DriverSize : Uint4B // 驱动的大小
+ 0x014 DriverSection : Ptr32 Void // 指向 _LDR_DATA_TABLE_ENTRY，实验二有介绍，我们之前了解过。
+ 0x018 DriverExtension : Ptr32 _DRIVER_EXTENSION
+ 0x01c DriverName : _UNICODE_STRING // 在内核中名字是什么
+ 0x024 HardwareDatabase : Ptr32 _UNICODE_STRING
+ 0x028 FastIoDispatch : Ptr32 _FAST_IO_DISPATCH
+ 0x02c DriverInit : Ptr32 long
+ 0x030 DriverStartIo : Ptr32 void
+ 0x034 DriverUnload : Ptr32 void
+ 0x038 MajorFunction : [28] Ptr32 long
我们在进行驱动开发时，其DriverEntry驱动入口程序第一个参数就是传入这个结构体的指针，我们可以打印出这个地址，然后在windbg中查看对应的数据结构(实验一）
NTSTATUS DriverEntry(PDRIVER_OBJECT driver, PUNICODE_STRING reg_path){
// 驱动代码
}
注意：我们看很多内核结构体，有Driver，其可以认为内核模块，两者并无太大区别，Driver是负责协调操作系统与硬件的。
实验一：编写驱动程序，输出该驱动 DRIVER_OBJECT结构体指针，并在windbg中查看验证。
1）编写驱动代码，打印出diver地址，并生成 .sys 驱动文件，放入虚拟机驱动。
1 #include <ntifs.h> 2 3 //提供一个卸载函数，让程序能卸载，如果没有这个函数，驱动将不能卸载。 4 VOID UnDriver(PDRIVER_OBJECT driver) 5 { 6 KdPrint(("卸载驱动成功")); 7 } 8 //入口函数，相当于main。 9 NTSTATUS DriverEntry(PDRIVER_OBJECT driver, PUNICODE_STRING reg_path) 10 { 11 __asm { 12 int 3 13 xor eax,eax 14 xor eax,eax 15 } 16 KdPrint(("%x..\r\n",driver)); 17 driver->DriverUnload = UnDriver; 18 return STATUS_SUCCESS; 19 }
2）利用 DebugView 工具查看驱动输出的 driver 指针地址。
3) 使用Windbg，“dt 结构体 地址” 指令，可以将内存空间中的数据与结构体完美映射。
实验二：通过DriverSection来遍历其他模块地址
DriverSection成员指向 _LDR_DATA_TABLE_ENTRY结构体，其表示一个进程模块加载的入口地址，前三个成员是一个双向链表。
利用实验一中介绍的 "dt 结构体 内存地址"的指令可以将内存映射到结构体中查看详细信息。
更详细的信息可以参考以前的一篇博客：利用C++进行模块隐藏(R3层断链) https://www.cnblogs.com/onetrainee/p/11674211.html
