文件读写程序分为4个函数，分别是DriverUnload()、DriverEntry()、CreateFileTest()和OpenFileTest()。这4个函数的功能非常明确，DriverUnload()是一个卸载例程，DriverEntry()是驱动程序的入口，CreateFileTest()是用来新建文件的，OpenFileTest()是用来打开已建立文件并进行读写的函数。
1. 文件的创建、打开与关闭
对于文件的创建或打开，在内核驱动中都是通过内核函数ZwCreateFile()进行操作的。和Win32 API类似，会通过参数接收返回的文件句柄。它的返回值是一个操作是否成功的状态码。ZwCreateFile()函数的定义如下：
复制
NTSTATUS ZwCreateFile( __out PHANDLE FileHandle, __in ACCESS_MASK DesiredAccess, __in POBJECT_ATTRIBUTES ObjectAttributes, __out PIO_STATUS_BLOCK IoStatusBlock, __in_opt PLARGE_INTEGER AllocationSize, __in ULONG FileAttributes, __in ULONG ShareAccess, __in ULONG CreateDisposition, __in ULONG CreateOptions, __in_opt PVOID EaBuffer, __in ULONG EaLength );
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
参数介绍如下。
FileHandle：用来接收创建文件后的文件句柄。
DesiredAccess：打开文件操作的描述，读或写，一般指定为 GENERIC_READ 或 GENERIC_WRITE；该参数和 CreateFile()函数中的参数相同。
ObjectAttributes：指向 OBJECT_ATTRIBUTES 结构体的指针，该结构体包含要创建或打开的文件名。
IoStatusBlock：指向 IO_STATUS_BLOCK 结构体的指针，该结构体用于接收操作结果的状态。
AllocationSize：该参数指向一个 64 位的整数，用于文件初始化分配时的大小。
FileAttributes：通常为 FILE_ATTRIBUTE_NORMAL，该参数和 CreateFile()函数中的参数相同。
ShareAccess：指定文件的共享方式，可以指定为 FILE_SHARE_READ、FILE_SHARE_WRITE 或 FILE_SHARE_DELETE，该参数和 CreateFile()函数中的参数相同。
CreateDisposition：描述本次调用 ZwCreateFile()函数的意图，可以指定为 FILE_CREATE、FILE_OPEN、FILE_OPEN_IF 等。
CreateOptions：通常指定为 FILE_SYNCHRONOUS_IO_NONALERT，表示文件是同步操作，比如在写入文件时，调用 ZwWriteFile()函数，在 ZwWriteFile()调用返回时，文件写操作已经完成。
EaBuffer：该参数表示一个指针，指向可选的扩展属性区，一般为 NULL。
EaLength：该参数表示扩展属性区的长度，一般为 0。
ZwCreateFile()函数的第 3 个参数是一个指向 OBJECT_ATTRIBUTES 的结构体，该结构体的定义如下：
复制
![[[388651]]](https://s6.51cto.com/oss/202103/19/6e7b181a3d6a2ba731e47d1a21ad08df.jpg){kind=link}
typedef struct _OBJECT_ATTRIBUTES { ULONG Length; HANDLE RootDirectory; PUNICODE_STRING ObjectName; ULONG Attributes; PVOID SecurityDescriptor; PVOID SecurityQualityOfService; } OBJECT_ATTRIBUTES, *POBJECT_ATTRIBUTES; typedef CONST OBJECT_ATTRIBUTES *PCOBJECT_ATTRIBUTES;
1.
2.
3.
4.
5.
6.
7.
8.
9.
该结构体通常不需要用户逐个进行初始化，而是使用InitializeObjectAttributes()函数进行初始化，该函数的定义如下：
复制
VOID InitializeObjecttAttributes( OUT POBJECT_ATTRIBUTES InitializedAttributes, IN PUNICODE_STRING ObjectName, IN ULONG Attributes, IN HANDLE RootDirectory, IN PSECURITY_DESCRIPTOR SecurityDescriptor );
1.
2.
3.
4.
5.
6.
7.
从InitializeObjectAttributes()函数的定义可以看出，其参数与OBJECT_ATTRIBUTES结构体的成员变量相同。InitializeObjectAttributes()函数的参数说明如下。
InitializeAttributes：指向 OBJECT_ATTRIBUTES 结构体的指针。
ObjectName：对象名称，用 UNICODE_STRING 描述，对于 ZwCreateFile()函数而言，该处指定为文件名。
Attributes：一般设置为 OBJ_CASE_INSENSITIVE，意味着名字字符串不区分大小写。
RootDirectory：一般设置为 NULL。
SecurityDescriptor：用于设置安全描述符，一般设置为 NULL。
ObjectName 必须使用 UNICODE_STRING 类型进行描述，UNICODE_STRING 是内核对宽字符串封装的一种数据结构，该结构体的定义如下：
复制
typedef struct _UNICODE_STRING { USHORT Length; USHORT MaximumLength; PWSTR Buffer; } UNICODE_STRING, *PUNICODE_STRING;
1.
2.
3.
4.
5.
结构体成员说明如下。
Length：字符串的参数，单位是字节，如果是 N 个字符，那幺 Length 的值为 N 个字符的 2 倍。
MaximumLength：整个字符缓冲区的最大长度，单位是字节。
Buffer：缓冲区的指针。
对于 UNICODE_STRING 类型的字符串，通过 KdPrint()也可以进行调试输出，输出的方式类似如下：
复制
UNICODE_STRING uniString; KdPrint(("%wZ", &uniString));
1.
2.
UNICODE_STRING类型的字符串在使用前需要进行初始化，初始化的方法有两种：一种是使用内核函数RtlInitUnicodeString()进行初始化，另一种方式是自行申请内存空间来进行初始化。通常情况下都是用第1种方法。RtlInitUnicodeString()函数的定义如下：
复制
VOID RtlInitUnicodeString( IN OUT PUNICODE_STRING DestinationString, IN PCWSTR SourceString );
1.
2.
3.
4.
参数说明如下。
DestinationString：要初始化的 UNICODE_STRING 字符串的指针。
SourceString：字符串的内容。
在为InitializeObjectAttributes()函数传递第2个参数时，需要指定的文件名是一个符号链接。在应用层下，描述一个文件的完整路径是“c:\a.txt”；而在内核下，描述的方式为“\??\c:\a.txt”。符号链接在内核模式下以“\??\”（或者是“\DosDevices\”）开头；在用户模式下使用符号链接，则以“\\.\”开头。
上面介绍的ZwCreateFile()函数不但可以创建文件，还可以打开文件。但是由于它的参数过于繁多，因此内核函数中专门提供了一个用于进行文件打开的函数ZwOpenFile()，其定义如下：
复制
NTSTATUS ZwOpenFile( OUT PHANDLE FileHandle, IN ACCESS_MASK DesiredAccess, IN POBJECT_ATTRIBUTES ObjectAttributes, OUT PIO_STATUS_BLOCK IoStatusBlock, IN ULONG ShareAccess, IN ULONG OpenOptions );
1.
2.
3.
4.
5.
6.
7.
8.
ZwOpenFile()函数相当于一个只用来打开文件的精简版的ZwCreateFile()函数，其各参数使用方法与ZwCreateFile()函数相同，这里不重复介绍。
文件句柄的关闭使用内核函数ZwClose()，其定义如下：
复制
NTSTATUS ZwClose(IN HANDLE Handle);
1.
该函数只包含一个参数，即被打开文件的句柄。该函数除了可以关闭文件句柄以外，还可以关闭其它类型资源的句柄，比如注册表句柄等。
2. 文件的相关操作
文件相关的操作主要介绍4个内核函数，分别是ZwReadFile()、ZwWriteFile()、ZwQueryInformationFile()和ZwSetInformationFile()。例子代码中实现了对文件的读写操作，判断打开的文件是否为目录，获取文件的长度和设置文件的指针。
首先来看ZwQueryInformationFile()和ZwSetInformationFile()两个函数的定义。ZwQueryIn formationFile()函数的定义如下：
复制
NTSTATUS ZwQueryInformationFile( IN HANDLE FileHandle, OUT PIO_STATUS_BLOCK IoStatusBlock, OUT PVOID FileInformation, IN ULONG Length, IN FILE_INFORMATION_CLASS FileInformationClass );
1.
2.
3.
4.
5.
6.
7.
参数说明如下。
FileHandle：被打开的文件句柄。
IoStatusBlock：返回设置的状态。
FileInformation：依据 FileInformationClass 的不同而不同。
Length：FileInformation 数据的长度。
FileInformationClass：描述需获取的属性类型。
ZwSetInformationFile()函数的定义如下：
复制
NTSTATUS ZwSetInformationFile( IN HANDLE FileHandle, OUT PIO_STATUS_BLOCK IoStatusBlock, IN PVOID FileInformation, IN ULONG Length, IN FILE_INFORMATION_CLASS FileInformationClass );
1.
2.
3.
4.
5.
6.
7.
ZwSetInformationFile()函数的参数与 ZwQueryInformationFile()函数的参数几乎相同，但是两个函数的第 3 个参数稍有差别，差别在于对 ZwQueryInformationFile()来说是一个输出参数，对于 ZwSetInformationFile()来说是一个输入参数。这里一定要注意。
对于ZwQueryInformationFile()和ZwSetInformationFile()这两个函数来说，第5个参数决定了要读取或设置的属性的类型，第3个参数根据第5个参数来接受或传递相应的值。
两个函数的第5个参数的常用值有3种类型，分别是FileStandardInformation、FileBasic Information和FilePositionInformation。每种类型分别又对应不同的结构体，这些结构体则是被ZwQueryInformationFile()和ZwSetInformationFile()函数的第3个参数所用。
FileStandardInformation对应的结构体定义如下：
复制
typedef struct FILE_STANDARD_INFORMATION { LARGE_INTEGER AllocationSize; // 为文件分配的大小（占用簇所需大小） LARGE_INTEGER EndOfFile; // 距离文件结尾的字节数 ULONG NumberOfLinks; // 有多少个链接文件 BOOLEAN DeletePending; // 是否准备删除 BOOLEAN Directory; // 是否为目录 } FILE_STANDARD_INFORMATION, *PFILE_STANDARD_INFORMATION;
1.
2.
3.
4.
5.
6.
7.
FileBasicInformation对应的结构体定义如下：
复制
typedef struct FILE_BASIC_INFORMATION { LARGE_INTEGER CreationTime; // 文件创建时间 LARGE_INTEGER LastAccessTime; // 最后访问时间 LARGE_INTEGER LastWriteTime; // 最后写入时间 LARGE_INTEGER ChangeTime; // 修改时间 ULONG FileAttributes; // 文件属性 } FILE_BASIC_INFORMATION, *PFILE_BASIC_INFORMATION;
1.
2.
3.
4.
5.
6.
7.
FilePositionInformation对应的结构体定义如下：
复制
typedef struct FILE_POSITION_INFORMATION { LARGE_INTEGER CurrentByteOffset; // 当前文件指针位置 } FILE_POSITION_INFORMATION, *PFILE_POSITION_INFORMATION;
1.
2.
3.
明白了第3个参数和第5个参数以后，就可以清楚第4个参数的取值了，该取值是第3个参数的大小。
上面的结构体中大量使用了LARGE_INTEGER的数据类型，它其实是一个联合体。LARGE_INTEGER的定义如下：
复制
typedef union _LARGE_INTEGER { struct { ULONG LowPart; LONG HighPart; }; struct { ULONG LowPart; LONG HighPart; } u; LONGLONG QuadPart; } LARGE_INTEGER;
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
该结构体主要是用来表示64位的整数类型，通常使用其QuadPart成员。
ZwReadFile()函数的定义如下：
复制
NTSTATUS ZwReadFile( IN HANDLE FileHandle, IN HANDLE Event OPTIONAL, IN PIO_APC_ROUTINE ApcRoutine OPTIONAL, IN PVOID ApcContext OPTIONAL, OUT PIO_STATUS_BLOCK IoStatusBlock, OUT PVOID Buffer, IN ULONG Length, IN PLARGE_INTEGER ByteOffset OPTIONAL, IN PULONG Key OPTIONAL );
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
参数说明如下。
FileHandle：打开文件的句柄。
Event：用于异步完成读取时，一般设置为 NULL。
ApcRoutine：回调例程，用于异步完成读取时，一般设置为 NULL。
ApcContext：一般设置为 NULL。
IoStatusBlock：指向 IO_STATUS_BLOCK 的指针，记录读取操作的状态，IoStatusBlock.Information 用于记录读取的字节数。
Buffer：保存读取文件内容的缓冲区。
Length：准备读取文件内容的字节数。
ByteOffset：指定读取内容的偏移地址。
Key：读取文件时的附加信息，一般设置为 NULL。
ZwWriteFile()函数的定义如下：
复制
NTSTATUS ZwWriteFile( IN HANDLE FileHandle, IN HANDLE Event OPTIONAL, IN PIO_APC_ROUTINE ApcRoutine OPTIONAL, IN PVOID ApcContext OPTIONAL, OUT PIO_STATUS_BLOCK IoStatusBlock, IN PVOID Buffer, IN ULONG Length, IN PLARGE_INTEGER ByteOffset OPTIONAL, IN PULONG Key OPTIONAL );
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
该函数的参数类似于ZwReadFile()函数，Buffer中保存的是欲写入文件内容的缓冲区。
3. 内存管理函数
文件读写代码中用到了3个内存相关的内核函数，分别是ExAllocatePool()、RtlFillMem ory()和ExFreePool()。
ExAllocatePool()函数用于申请一块内存空间，其定义如下：
复制
PVOID ExAllocatePool( IN POOL_TYPE PoolType, IN SIZE_T NumberOfBytes );
1.
2.
3.
4.
参数说明如下。
PoolType：该参数是一个枚举值，常用的值有两个，分别是 NonPagedPool 和 PagedPool；前者表示非分页内存，而后者表示分页内存；永远不会被交换到文件中的虚拟内存称为非分页内存，可以被交换到文件中的虚拟内存称为分页内存。
NumberOfBytes：表示需要分配的内存大小。
该函数的返回值是一个内存地址。
RtlFillMemory()函数用于填充内存，其定义如下：
复制
VOID RtlFillMemory( IN VOID UNALIGNED *Destination, IN SIZE_T Length, IN UCHAR Fill );
1.
2.
3.
4.
5.
参数说明如下。
Desination：填充内存地址的起始位置。
Length：填充的长度。
Fill：需要填充的字节。
ExFreePool()函数用于回收 ExAllocatePool()申请的内存空间，其定义如下：
复制
VOID ExFreePool(IN PVOID P);
1.
该函数只有一个参数，是指向ExAllocatePool()函数分配内存空间的指针。