驱动的入口点函数为DriverEntry() 函数，函数在调用时会默认传入两个参数，分别是驱动对象指针（PDRIVER_OBJECT）和驱动注册路径（PUNICODE_STRING），驱动对象指针顾名思义是指代指向驱动对象的指针对象，而驱动注册路径是指驱动在注册表中注册的具体路径。

驱动对象成员DriverUnload 指向驱动卸载回调函数，当驱动停止并卸载时该函数会启动。

为驱动创建设备使用到的函数未IoCreateDevice()， 函数定义如下：

创建驱动设备对象源码：

驱动设备对象创建使用IoCreateDevice 函数，创建好的驱动设备对象可以由驱动对象指针指出，指出的该对象与函数创建时返回的对象为同一个对象。IoCreateDevice 函数返回为STATUS_SUCCESS 是表示创建驱动设备对象成功。驱动设备对象名称格式为"\DEVICE\YOUR_DEVICE_NAME"，其中，DEVICE 可小写。驱动在卸载的时候需要调用IoDeleteDevice 函数删除驱动设备对象。驱动设备对象是供内核层（R0）调用时使用的，在用户层（R3）调用驱动使用的是驱动符号链接。

驱动设备对象无法在用户层得到调用，要实现在用户层实现对驱动的控制，需要为驱动绑定符号链接。通过使用IoCreateSysbolicLink 函数为驱动绑定符号链接。函数原型如下：

通常在调用IoCreateDevice 创建设备对象的时候回传入设备名称，这个设备名称只能在内核层使用，只能被内核层的函数识别。如果IoCreateDevice 中没有指定设备名称，那么I/O管理器会自动分配一个数字作为设备的名称。例如"\Device\00000001"。
如果想要在用户层的应用程序中访问（比如调用CreateFile 函数打开），就需要创建符号链接，相当于为设备对象创建一个别名，供应用程序访问。应用层是无法直接通过设备名字来打开对象的，必须建立一个暴露给应用程序的符号链接。
比如:C盘的符号链接名称是"C:",对应的设备名称是"\Device\HarddiskVolume1"。
驱动创建符号链接代码：

在用户层对驱动符号链接进行操作时，会产生相应的IRP 事件，在驱动内对IRP 进行操作，实现用户层对驱动的操作。
实现对IRP 事件的处理需要使用到派遣函数：

在驱动内对特定的事件绑定派遣回调函数：

具体实现代码：

在代码中，派遣函数定义了一个，并且在派遣函数内部通过IoGetCurrentIrpStackLocation 函数获取了具体的IRP 事件进行不同的执行。在驱动入口函数内，使用：

指定了对应事件[IRP_TYPE] 所需要执行的派遣函数FUNC。派遣函数不唯一，不同的IRP 事件也可以指向不同的IRP 函数。

上面说到了驱动层处理用户层调用时产生的IRP 事件的方式--派遣函数。在用户层通过对之前为驱动绑定的符号链接进行操作实现对驱动的操作。所使用到的函数为CreateFile():

使用CreateFile 函数对驱动设备打开并执行后续操作。使用CloseHandle 函数关闭对驱动的使用：

具体代码：
// 驱动层代码即上一次编写的代码
// 用户层代码

实现驱动层（R0）和用户层（R3）通信，是实现用户层对驱动层控制的重要方式，实现驱动层与用户层通信可以使用以下API 函数：

驱动在调用过程中使用的InsDrv.exe 工具实现安装驱动、开启驱动、停止驱动和卸载驱动，但是在正常的执行过程中，上述步骤是放在代码中来实现的。

SSDT 的全称是System Services Descriptor Table, 系统服务描述表。这个表就是一个吧Ring3 的Win32 API 和Ring0 内核API 联系起来。
SSDT 并不仅仅只包含一个庞大的地址索引表，它还包含一些其他应用的信息，如：地址索引的基址、服务函数个数等。
通过修改此表的函数地址可以对常用的Windows 函数及API 进行HOOK，从而实现对一些关心的系统动作进行过滤、监控的目的。一些HIPS(主机入侵防御系统)、防毒软件、系统监控、注册表监控软件往往会采用此接口来实现自己的监控模块。
SSDT 即系统服务描述表，它的结构如下：

内核中有两个系统服务描述符表,一个是KeServiceDescriptorTable(由ntoskrnl.exe导出),一个是KeServieDescriptorTableShadow(没有导出)。
两者的区别是，KeServiceDescriptorTable仅有ntoskrnel一项，KeServieDescriptorTableShadow包含了ntoskrnel以及win32k。一般的Native API（原生API）的服务地址由KeServiceDescriptorTable分派，gdi.dll/user.dll的内核API调用服务地址由KeServieDescriptorTableShadow分派。还有要清楚一点的是win32k.sys只有在GUI线程中才加载，一般情况下是不加载的，所以要Hook KeServieDescriptorTableShadow的话，一般是用一个GUI程序通过IoControlCode来触发(想当初不明白这点，蓝屏死机了N次都想不明白是怎么回事)。（此段摘抄自网络）
内核HOOK 分类：

首先是关于内核函数地址是怎么计算的。这里以NtOpenProcess 为例：
首先是要IDA 加载ntdll.dll， 查找NtOpenProcess 查看函数对应的SystemId，这个值可以理解为地址表内的一个下标。

查看KeServiceDescriptorTable(服务描述表)：
是要WinDbg 调试本地内核或者双调试，执行命令

所得到的0x83EBDD9C 值就指向函数表首地址的指针，如下：

利用函数表首地址和SystemId(下标)计算出目标函数 (NtOpenProcess)函数对应的地址。

上述就是计算NtOpenProcess 函数地址的方式。那么样实现HOOK 该函数，就是将最后得出的地址0x840529DC 替换成自己的函数地址。

https://bbs.pediy.com/thread-40832.htm

实现对SSDT 表的修改，首先要确保这个表示可写的。可以通过以下3种方法实现对SSDT 的内存保护机制的修改。
修改方式：

修改注册表

改变CR0 寄存器的第一位
Windows对内存的分配，是采用的分页管理。其中有个CR0寄存器，如下图：

其中第一位叫做保护属性位，控制着页的读写属性。如果为1，则页面可进行读写和执行，如果为0，则只能进行读和执行操作。SSDT, IDT 的页属性默认情况下是只读可执行的。

//设置为不可写
void DisableWrite()
{
__try
{

}
__except(1)
{

}
}
// 设置为可写
void EnableWrite()
{
__try
{

}
__except(1)
{

}
}

SSDT HOOK 代码框架

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课