驱动本身无法进行通信，通信一般是通过设备进行通信，设备对象是挂在驱动对象下的，一个驱动对象可以创建多个设备对象

存在两个设备类型，一个是Type，一个是DeviceType
- Type：描述对象的基本类型
- DeviceType：描述设备的具体类型
NextDevice，通过该设备对象指向下一个设备对象，所以在驱动下的设备对象也是一个链表结构，并且该链表为单向链表，最后一个设备对象的NextDevice为空，而对于AttachedDevice，首先需要明确设备对象也有区分，一个是FDO过滤设备对象，一个是PDO物理设备对象，该对象是对硬件的一个抽象，通过该抽象可以控制设备
而内核驱动中对于PDO的通信都会先通过FDO，由FDO决定消息是否往PDO发送，而FDO可能有多个：

CurrentIrp指向当前设备的IRP，IRP为Io Request Package ，理解为Web的POST和GET包即可，具体参数通过实验再一步步了解

通过IoCreateDevice创建设备对象：https://learn.microsoft.com/zh-cn/windows-hardware/drivers/ddi/wdm/nf-wdm-iocreatedevice

设备类型，总共是0x5D种类型，大部分类型针对到具体的设备，在wdm.h中具有所有DEVICE_TYPE的枚举定义，这里我们直接用FILE_DEVICE_UNKNOWN

设备属性在DEVICE_OBJECT中有定义，一般创建的虚拟对象选择FILE_DEVICE_SECURE_OPEN即可：

Exclusive:根据文档提示直接设置成FALSE即可

此时就能成功创建一个设备了：

但此时创建的设备还无法被三环下的程序进行访问，还需要通过一个符号链接将设备的接口暴露给三环，通过IoCreateSymbolicLink绑定设备

在某些系统下，创建完设备后需要将标志位上的初始化去掉，并且设置通信方式：

当完成以上操作后，此时还需要一个派遣函数，来处理接收到的消息：

在驱动对象的最后一组参数中：

跟进看到所有的IRP功能号的枚举值：

该函数中指向的是驱动的派遣函数，可以将每个功能号都对应一个派遣函数，在正式开发中，对每个功能编写一个派遣函数是最佳选择，在该测试中，可以将所有的功能号都指向同一个派遣函数：

主要通信方式：

在驱动对象的MajorFunction中的下标跟功能号的枚举值是一一对应的，所以也可以不用对所有的功能号都填充派遣函数，仅填充基础通信的派遣函数即可：

对IRP_MJ_CREATE和IRP_MJ_CLOSE定义一个派遣函数，只需要将IoStatus的状态设置成STATUS_SUCCESS即可，调用IoCompeleteRequest表示IRP请求已完成：

处理请求的第一步是获得请求的当前栈空间（Current Stack Location），可以通过IoGetCurrentIrpStackLocation获得，判断功能号后（一般如果在前面设置了对应功能号的派遣函数，此时没必要再判断，这里为了严谨性可以重复判断一下功能号是不是对应的），获取Parameters，该参数是一个联合体，对于不同的功能号都有不同的结构体，当前的功能号为IRP_MJ_DEVICE_CONTROL，对应的联合体结构为DeviceIoControl（该结构体不需要手动定义，在wdm.h中已定义）

IoControlCode控制码的定义：

需要传入四个参数：

启动驱动后，再运行应用层程序，此时程序就获取到IRP包后断下，可以看到创建的设备对象，此时的驱动对象指向的第一个设备对象就是创建的设备对象，StackSize=1，说明没有其他设备附加到当前设备对象上，只有设备对象本身，驱动对象跟设备对象此时就是互相引用的状态：

dt Irp -r1展开一层查看IRP请求包：

此时成功将R3的数据传入到0环中：


以上为Ring3到Ring0的数据传输，还有Ring0-Ring3的数据传输，也是类似的，通过DeviceIoControl设置lpOutBuffer和nOutBufferSize即可：
应用层：

驱动层：

注意到此时的SystemBuffer的地址3环是不可读不可写的，对比前面ring3到ring0的读取操作，当从ring0往ring3写数据时，多了一块UserBuffer的空间，该空间就是3环下读取ring0写入的地址，也就是说会将SystemBuffer中的值复制一份到Userbuffer：

此时UserBuffer中的值还是空，说明此时仅开辟了空间未做内存复制，通过ba对该地址下硬件断点：

当下完断点运行时，可以在IoCompleteRequest的时候断下，此时会根据IoStatus.Information的值，将SystemBuffer的值赋值到UserBuffer中，通过bc *清除硬件断点，输出结果：

前面提到过，在0环下的栈空间只有12KB，而3环下有1MB，此时如果将1MB的数据从3环传到0环，就会直接蓝屏
可以通过一个链表存储从应用层接收的字符串：

分配内存并初始化一个链表节点：

在前面的代码中可以发现存在ASSERT断言，需要注意断言是不能作为正式版使用，仅在开发调试中使用，所以需要手动做缓冲区长度检查：

安全检查的原则之一就是越简单越好
当前面做了输入长度的限制，攻击者可使用的缓冲区攻击的长度就从无限大急剧缩小到512字节
输入缓冲区的长度即使是正确，也需要对内容做检查
使用strlen内容检查往往是不正确，因为strlen是以\\0 为结束符，攻击者只需要构造没有\\0的字符串，strlen则会一直找下去，这很有可能导致异常。
所以可以使用strnlen检查字符串长度，因为其存在一个最大限度，超过限度便不会继续搜索结束符

字符串拷贝出于安全考虑，也需要用strncpy替代strcpy：

以上是对于输入处理，输出也需要进行处理，同样需要通过缓冲区：

通过while死循环做等待会浪费CPU资源，所以此时需要用到事件：

到这里基本输入输出就完成了，然后需要注意链表节点结构需要卸载：

实际的运用中，DeviceIoControl容易被检测，只需要获取到驱动对象，通过驱动对象找到IRP_MJ_DEVICE_CONTROL下的派遣函数就能进行检测，所以利用IRP_MJ_READ和IRP_MJ_WRITE更容易绕过检测

同样，需要针对IRP_MJ_CREATE和IRP_MJ_CLOSE编写通用派遣函数：

在DeviceIoControl中有IoControlCode，此时不需要再定义IoControlCode，通过IO_STACK_LOCATION查看Read和Write的结构:

在3环中通过ReadFile和WriteFile进行读写，需要注意
ReadFile对应IRP_MJ_READ，此时是Ring3从Ring0读数据
WriteFile对应IRP_MJ_WRITE，此时是Ring3写数据到Ring0

对应的驱动层代码：

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)