用汇编写windows驱动非常简单，只要有汇编基础和用C写驱动的能力即可。有了这两样基础，我们距离用汇编写驱动，只剩下一层窗户纸，一戳就破。

一、准备软件：Radasm   
    为了快速入门，好的IDE是降低入门难度的有效手段。Radasm是我最为钟爱的一款软件，第一次使用过它，我就果断地将masm32删除了。
   RadASM是一款著名的WIN32汇编编辑器，精通win32汇编的人对它应该不会陌生。支持MASM、TASM等多种汇编编译器，提供优秀的IDE，自带一个资源编辑器和一个调试器（OD）。拥有较强的工程管理功能，加之众多插件的支持，使得它用汇编语言编写Windows软件变得得心应手。

二、认识KmdKit   
   之所以能用Radasm编写驱动，就是因为它整合了KmdKit，它是由俄国人开发的，KmdKit的全称是Kernel Mode Driver development Kit for assembly language programmers，即内核模式驱动程序汇编开发包，KmdKit中包括了用宏汇编编译器开发驱动程序需要用到的所有东西。你也可以从49bK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4N6S2M7$3#2Q4x3X3g2J5N6g2)9J5c8W2!0q4y4W2)9^5z5q4)9&6y4W2!0q4z5q4)9^5x3q4)9^5y4h3S2@1N6s2m8Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2X3M7X3g2W2N6$3g2T1M7#2)9J5k6h3y4G2L8g2)9J5c8X3k6G2N6i4u0Q4x3X3c8X3i4K6u0r3i4@1f1@1i4@1t1^5i4K6S2n7i4@1f1^5i4@1u0p5i4@1u0p5i4@1f1#2i4K6R3^5i4@1t1H3i4@1f1$3i4K6W2o6i4K6R3H3i4@1f1$3i4K6V1$3i4@1t1H3i4@1f1%4i4K6R3&6i4K6R3^5i4@1f1$3i4K6W2o6i4@1q4o6i4@1f1%4i4K6W2m8i4K6R3@1d9$3#2V1d9$3W2@1i4@1f1K6i4K6R3H3i4K6R3J5

三、汇编写驱动的基本框架

.386
.model flat, stdcall
option casemap:none

.data

.code
;;;DriverEntry这个入口函数还是老样子
DriverEntry proc pDriverObject:PDRIVER_OBJECT,pusRegistryPath:PUNICODE_STRING

        ret

DriverEntry endp

end DriverEntry  ;;;这里和用户模式有点不同

四、可供使用的系统调用库   
    KmdKit开发包提供的inc和lib库文件都分别保存在“w2k”“wnet”和“wxp”三个的文件夹里，其大部分内容都在w2K里。对应的，Radasm也在masm32文件夹中的Include和Lib文件夹里，也分别保存了这三个文件夹。
   
    另外，有一个特别值得注意的问题，当Radasm引用以上三个文件夹里lib文件时，要使用绝对路径，为什么必须要这样我也不清楚，如果有明白这个问题的朋友，也请你告诉我。
五、示例
.386
.model flat, stdcall
option casemap:none

include w2k\ntddk.inc
include w2k\ntoskrnl.inc
includelib D:\RadASM\masm32\lib\w2k\ntoskrnl.lib ;;请填写自己的绝对路径
.data
Hello_Str db 'Hello,world',0
Unload_Str db "Driver has been unloaded",0
.code

DriverEntry proc pDriverObject:PDRIVER_OBJECT,pusRegistryPath:PUNICODE_STRING
    push offset Hello_Str
    call DbgPrint
    add  esp,4
   
    mov  eax,pDriverObject
    mov [eax+34H],offset DriverUnloadProc ;;xp里pDriverObject.DriverUnload   
    mov eax,STATUS_SUCCESS
    ret

DriverEntry endp

DriverUnloadProc proc  DriverObject:PDRIVER_OBJECT
    push offset Unload_Str
    call DbgPrint
    add  esp,4
    ret
DriverUnloadProc endp
end DriverEntry

[培训]科锐软件逆向54期预科班、正式班开始火爆招生报名啦！！！