​ （注：以下为win32环境下的结果。）

​ 今天我在编写一个内核和应用层通信代码时出现了一个问题，当我在应用层使用DeviceIoControl来进行IRP操作时，如果DeviceIoControl调用失败不会得到错误码，需要调用GetLastError函数才能得到错误码，而这个错误码和内核的错误码不相同我根本无法定位。

DeviceIoControl function (ioapiset.h) - Win32 apps | Microsoft Docs

GetLastError function (errhandlingapi.h) - Win32 apps | Microsoft Docs

​ 而且我得到的应用层错误码也很令人疑惑：

​ 有更多数据可用？这是啥错误。于是乎我就开始了逆向分析了，找到该错误代码和我的内核代码中的关联。

​ （注：以下源代码参考WRK和ReactOS）

​ 首先抛出结论方便大家直接使用。

​ 内核中会通过RtlNtStatusToDosErrorNoTeb函数来将NTSTATUS错误码设置成GetLastError中的操作系统错误码，并将错误码设置成线程环境快TEB中的LastErrorValue字段的内容。

​ 调用GetLastError函数得到的错误码就是线程环境快Teb中LastErrorValue字段的内容。

​ 函数原型：（参考wrk和ReactOS)

​ 首先添加一个断点来方便调试：

​ 然后通过双机调试断在该断点处，并查看栈空间：

​ （注：打码的地方为自己的代码空间）

​ 这里可以看到在真正调用到我们内核写的DeviceIoControl函数时前面的函数：

​ 因为DeviceIoControl是有一个status作为返回值的所以往上肯定有代码会接受这个返回值，于是我就开始往上一个一个分析函数：

​ 首先是IofCallDriver，可以看到它的前缀是nt！，表明是nt内核模块，采用lm来查看该模块对应的文件：

​ 可以看到该nt模块对应的是ntkrpamp.exe，该exe包含了Windows NT 内核空间的内核和执行层等很多东西。

​ 这里我采用wrk的源码来分析该函数：

​ 可以看到该函数就调用了我们内核代码中的DeviceIocontrol然后返回对应的返回值，所以继续往上查看IopSynchronousServiceTail函数的内容：

​ 在IDA中该函数莫名其妙用了一个PDEVICE_OBJECT变量来接受前面本应返回NTSTATUS变量的IofCallDriver函数的返回值，这里让我觉得很诡异，所以我就用WRK来看了，就没用IDA分析了。

​ 该函数虽然调用了IoCallDriver函数，不是我们前面那个函数，但是在WRK中有一个宏定义

​ 这样就解释得通了，IopSynchronousServiceTail函数还是得到了一个返回值，然后继续返回，所以继续向上查看IopXxxControlFile：

​ 该函数结束时返回了IopSynchronousServiceTail函数的值，所以继续往上查看NtDeviceIoControlFile的值：

​ 结果同上，再往上就是：

​ 这三个函数，这两个没用实质性内容，主要是用来从用户层进入内核层，当在应用层调用ZwDeviceIoControl后会通过这上面的函数来进入内核层调用NtDeviceIoControlFile，具体原理与这里的内容无关，暂时跳过。

​ 所以现在需要分析：

​ 函数的内容，它是在KERNELBASE.dll模块中：

​ 首先说明在ntdll.dll中 Zw开头和Nt开头后面名称一样的函数内容是相同的，比如这里：

​ 然后 DeviceIoControl函数，在调用NtDeviceIoControlFile函数得到返回值NTSTAUTS类型时调用了BaseSetLastNTError函数来处理该返回值，步入查看BaseSetLastNTError函数：

​ 这个函数调用RtlNtStatusToDosError来处理NTSTATUS Status参数，然后返回了一个ULONG类型的变量，就很像我们想要的内容，将内核的NTSTATUS对应的错误代码转换成GetLastError对应的错误代码。在ntdll.dll中逆向分析该函数：

​ 返回了一个RtlNtStatusToDosErrorNoTeb函数，继续分析：

​ 这个函数就是关键函数了，一看就是将传进来的NTSTAUTS变量一顿操作后，变成了一个int类型的，然后返回了。

​ 我的DeviceIoControl中有三种我自己指定的返回值：

​ 我猜234对应的是和STATUS_BUFFER_OVERFLOW的值，然后编写一个简单的驱动代码来打印该NTSTATUS对应的应用层error：

​ 结果如下：

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！