测试信息

Dev Machine:

1
2
3
4
Windows Version: 2004 (19041.264)
WDK Version: 10.0.19041.1
SDK Version: 10.0.19041.1
Visual Studio: Community 2019

Test Machine:

1
Windows 7 SP1 + KMD Manager + DbgView

开发环境搭建

参照:https://docs.microsoft.com/zh-cn/windows-hardware/drivers/download-the-wdk

除了在安装 VS2019 的时候,选择C++ 桌面开发环境,里面自带一个和当前系统版本一致的SDK,也可以自己修改,但是可能会和系统不兼容。

还需要安装的组件:

1
2
3
4
5
6
MSVC v142 - VS 2019 C++ ARM build tools (v14.25)
MSVC v142 - VS 2019 C++ ARM Spectre-mitigated libs (v14.25)
MSVC v142 - VS 2019 C++ ARM64 build tools (v14.25)
MSVC v142 - VS 2019 C++ ARM64 Spectre-mitigated libs (v14.25)
MSVC v142 - VS 2019 C++ x64/x86 build tools (v14.25)
MSVC v142 - VS 2019 C++ x64/x86 Spectre-mitigated libs (v14.25)

v14.25根据在所有组件里看到最新版本的为准,做一下适当调整。

然后下载适用 2004WDK安装文件,双击之后,需要联网下载安装 WDK 相关文件和 VS2019 驱动开发插件,根据提示点过去就可以。

测试环境

启动的时候,需要按 f8 关闭驱动签名验证,也可以参考 这篇文章 添加一个关闭驱动签名检查的启动项。

KMD Mananger工具用来管理内核驱动服务(注册、启动、停止、卸载),DbgView用来查看驱动打印信息,这两个工具都需要管理员权限运行

新建 HelloWorld 项目

新建一个以 Kernel Mode Driver, Empty(KMDF) 为模板的驱动项目,项目名称 HelloDriver,在项目中新建一个hello.c 文件作为驱动入口文件,写一点简单的代码做测试:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
///
/// @file hello.c
/// @author REInject
/// @date 2020-05-31
///

#include <ntddk.h>

// 提供一个 Unload 函数只是为了让这个程序能够动态卸载,方便调试
VOID DriverUnload(PDRIVER_OBJECT driver)
{
// 但是实际上我们什么都不做,只打印一句话
DbgPrint("hello: Our driver is unloading...\r\n");
}

// DriverEntry,入口函数。相当于 main。
NTSTATUS DriverEntry(PDRIVER_OBJECT driver, PUNICODE_STRING reg_path)
{
// 这是内核模块入口,可以在这里写入我们想写的东西
DbgPrint("hello: my salary!");

// 设置一个卸载函数,便于这个函数退出
driver->DriverUnload = DriverUnload;
return STATUS_SUCCESS;
}

这时候如果直接运行,默认生成的驱动文件是 Win10 平台的,而且基本上会编译失败,需要改一些配置信息(Debug-x64):

  • 调整 属性 - C/C++ - 常规 ,警告等级 4,将警告视为错误
  • 链接器 - 常规,警告视为错误 否;
  • Driver Settings - GeneralTarget OS Version改成 Windows 7Target Platform 改为Desktop
  • Stampinf里所有 的地方改成
  • Inf2Cat里所有 的地方改成
  • Driver Signing - General中的 Sign Mode 改为 Off

改好后,使用 Debug-x64 配置,Ctrl-B生成驱动文件,如果报下面这个错误的话:

1
error 1297: Device driver does not install on any devices, use primitive driver if this is intended.

根据 官网 的描述,如果创建的驱动不是基于设备的,即通用型内核驱动,则需要删或者改一些东西,如果可以看懂怎么改就直接改就可以,例如:

原始 inf 中要改的部分:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
[Manufacturer]
%ManufacturerName%=Standard,NT$ARCH$

[Standard.NT$ARCH$]
%HelloDriver.DeviceDesc%=HelloDriver_Device, Root\HelloDriver ; TODO: edit hw-id

[HelloDriver_Device.NT]
CopyFiles=Drivers_Dir

[Drivers_Dir]
HelloDriver.sys

;-------------- Service installation
[HelloDriver_Device.NT.Services]
AddService = HelloDriver,%SPSVCINST_ASSOCSERVICE%, HelloDriver_Service_Inst

改成:

1
2
3
4
5
6
7
8
9
[DefaultInstall.NT$ARCH$]
CopyFiles=Drivers_Dir

[Drivers_Dir]
HelloDirver.sys

;-------------- Service installation
[DefaultInstall.NT$ARCH$.Services]
AddService = HelloDriver,%SPSVCINST_ASSOCSERVICE%, HelloDriver_Service_Inst

或者看不懂的,直接删了这个 Inf 文件就可以了,这个文件暂时用不到。

重新编译之后,会在 x64/debug 目录下生成 HelloDriver.sys 驱动文件。

驱动安装测试

打开 win7,使用KMD Manager 工具进行注册启动停止卸载服务,发现有出现 Error Number not found 的错误,通过一些测试发现是驱动签名检查没有完全禁用,根据 官网 给出的信息,nointegrity参数在 win7 上是无效的:

1
nointegritychecks [on | off] Disables integrity checks. Cannot be set when secure boot is enabled. This value is ignored by Windows 7 and Windows 8.

只能每次开机手动 f8 或者使用测试签名,这样就正常了:




root@kali ~# cat 重要声明
本博客所有原创文章,作者皆保留权利。转载必须包含本声明,保持文本完整,并以超链接形式注明出处【[Techliu](https://scriptboy.cn)】。查看和编写文章评论都需翻墙,为了更方便地获取文章信息,可订阅[RSS](https://feeds2.feedburner.com/techliu),如果您还没有一款喜爱的阅读器,不妨试试[Inoreader.](https://www.inoreader.com)。
root@kali ~# Thankyou!

⬆︎TOP