[原创] R0下一种简单的Irp包数据捕获方法-编程技术-看雪安全社区

# 前情提要
 本人学艺不精才疏学浅，只作为一种简单知识分享 **欢迎各位大佬批评指正！**

本文提出了一种方法可以在内核层使用“过滤”的方法来捕获Irp数据包。其中可以捕获到**进入目标驱动前**与**目标驱动处理完后**的Irp数据包。

# 背景
## Irp
现在很多驱动都在使用Irp包的方式来与R3的程序进行通信。Irp是一个结构，由一个管理器进行分配管理。Irp从不单独分配，它总是伴随着多个IO栈位置结构（`_IO_STACK_LOCATION`），所以一般的驱动程序在获取真正的数据时需要使用`IoGetCurrentIrpStackLocation`函数来获取其中的数据。

## 设备
Windows是以设备（`DEVICE_OBJECT`）为中心的，同时Windows**支持设备分层**。在多层设备的结构中，一个设备是堆叠在另一个设备的上面的，看起来就像一个栈一样，这组设备被称为设备栈。
 ![](upload/attach/202501/932553_4E978A9BCJ7RT7T.webp)

# 方法
我使用堆叠设备栈的方式，来获取Irp数据包（写过过滤驱动的肯定熟悉）。所以我们需要`IoAttachDeviceToDeviceStack`函数来附加到目标设备，这样就会让调用来的时候，**先到我们的派遣函数**。

问题就变成了我们如何让目标驱动处理完后我们依然可以获取到数据呢？此时解决的关键就是`IoSetCompletionRoutine`函数了，它可以让下层的派遣函数调用`IoCompleteRequest`后到达指定的回调函数。

如下是一些关键代码：
```C++
VOID DriverUnload(PDRIVER_OBJECT pDriver) {
	PDEVICE_OBJECT deviceObject = pDriver->DeviceObject;
	IoDetachDevice(deviceObject->DeviceObjectExtension->AttachedTo);
	IoDeleteDevice(deviceObject);
	KdPrint(("[+] Release done.\r\n"));
}

NTSTATUS MyCompletionRoutine(PDEVICE_OBJECT DeviceObject, PIRP Irp, PVOID Context) {
	auto ioStack = IoGetCurrentIrpStackLocation(Irp);
	return STATUS_SUCCESS;
}

NTSTATUS Dispatch(_DEVICE_OBJECT* DeviceObject, _IRP* Irp) {

auto ioStack = IoGetCurrentIrpStackLocation(Irp);
	KdPrint(("Func: %x\n", ioStack->MajorFunction));
	if (ioStack->MajorFunction == IRP_MJ_DEVICE_CONTROL) {
		KdPrint(("IRP_DEVICE_CONTROL\n"));
		KdPrint(("Code: %x\n", ioStack->Parameters.DeviceIoControl.IoControlCode));
		
		IoCopyCurrentIrpStackLocationToNext(Irp);
		IoSetCompletionRoutine(
			Irp,
			MyCompletionRoutine,
			NULL,
			TRUE,
			TRUE,
			TRUE
		);

}
	return IoCallDriver(DeviceObject->DeviceObjectExtension->AttachedTo, Irp);
}

extern "C" NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING pReg) {
	if (pDriver) {
		pDriver->DriverUnload = DriverUnload;
	}

UNICODE_STRING name;
	RtlInitUnicodeString(&name, L"设备名");
	PDRIVER_OBJECT targetDriver;

NTSTATUS status = ObReferenceObjectByName(&name, OBJ_CASE_INSENSITIVE, nullptr, 0,
		*IoDriverObjectType, KernelMode, nullptr, (PVOID*)&targetDriver);

pDriver->MajorFunction[IRP_MJ_DEVICE_CONTROL] = Dispatch;//这里我只想过滤这个函数。

if (NT_SUCCESS(status)) {
		PDEVICE_OBJECT targetDevice = targetDriver->DeviceObject;

PDEVICE_OBJECT fltDev;
		IoCreateDevice(
			pDriver,
			0,
			NULL,
			targetDevice->DeviceType,
			0,
			FALSE,
			&fltDev
		);

IoAttachDeviceToDeviceStack(fltDev, targetDevice);
		fltDev->Flags &= ~DO_DEVICE_INITIALIZING;
		ObDereferenceObject(targetDriver);
	}
}
```
# 实验
我们针对WinARK的`DeviceIoControl`的数据来进行过滤测试。
为了验证我们数据的正确性，我们查看源码选择获取驱动派遣函数的这个功能进行测试。
 ![](upload/attach/202501/932553_YQTQZAMVQV9T4GS.webp)
如上是该功能的源码，传入的是设备名字，传回去的是派遣函数数组。
安装好我们的测试驱动后 查看一下自己的派遣函数列表就能捕获到如下信息
```
IRP_DEVICE_CONTROL
Code: 80002060
systemBuff:0x5c,0x0,0x64,0x0,0x72,0x0,0x69,0x0,0x76,0x0,0x65,0x0,0x72,0x0,0x5c,0x0,0x41,0x0,0x6e,0x0,0x74,0x0,0x69,0x0,0x52,0x0,0x6f,0x0,0x6f,0x0,0x74,0x0,0x6b,0x0,0x69,0x0,0x74,0x0,0x0,0x0
return:0xa0,0x1a,0x91,0x4e,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xa0,0x1a,0x91,0x4e,0x2,0xf8,0xff,0xff,0x60,0x4f,0x91,0x4e,0x2,0xf8,0xff,0xff,0xd0,0x50,0x91,0x4e,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xb0,0x1c,0x91,0x4e,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0x4f,0x91,0x4e,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff,0xc0,0xf9,0xb1,0x32,0x2,0xf8,0xff,0xff
```
经观察可以发现传入的内容的确为`L"\\driver\\AntiRootkit"`，传出的内容则是派遣函数列表（总长度为0x1b * 8）。已第一个为例则是`0xFFFFF8024E911AA0`，对比发现无误。
 ![](upload/attach/202501/932553_N8857NHB7YE4HTR.webp)

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2025-1-21 23:46 被moshuiD编辑，原因：

#系统内核 #驱动开发 #开源分享

最新回复 (44) 1 2 ▶
lhglhg 雪币： 221 活跃值： (3421) 能力值： ( LV4，RANK：50 ) 在线值：发帖 8 回帖 480 粉丝 5 关注私信	lhglhg 1 2 楼学习了。。 2025-1-22 08:23 0
mb_jyhisqdp 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 16 粉丝 0 关注私信	mb_jyhisqdp 3 楼看看 2025-1-22 09:06 0
NoHeart 雪币： 1462 活跃值： (1906) 能力值： ( LV2，RANK：10 ) 在线值：发帖 36 回帖 299 粉丝 7 关注私信	NoHeart 4 楼 Filter Driver 2025-1-22 09:59 0
moshuiD 雪币： 8948 活跃值： (4526) 能力值： (RANK：166 ) 在线值：发帖 9 回帖 36 粉丝 66 关注私信	moshuiD 3 5 楼 NoHeart Filter Driver 差不多是这个意思 2025-1-22 11:35 0
shishichen 雪币： 733 活跃值： (4112) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	shishichen 6 楼你如何保证你的完成例程就一定会被IoCompleteRequest执行，万一在你驱动的下层驱动设的完成例程里直接返回了MORE_PROCESSING_REQUIRED，回流就被打断了，人家回到自己分发函数中直接释放该irp了。 2025-1-23 03:04 0
fanfall 雪币： 659 活跃值： (1555) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	fanfall 7 楼看看 2025-1-24 12:42 0
mb_eizetlni 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 47 粉丝 1 关注私信	mb_eizetlni 8 楼感谢分享！ 2025-1-26 14:50 0
ShaShen4404 雪币： 469 活跃值： (675) 能力值： ( LV3，RANK：20 ) 在线值：发帖 8 回帖 32 粉丝 14 关注私信	ShaShen4404 9 楼感谢分享 2025-1-30 00:49 0
mb_ysegxpmv 雪币： 2251 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 118 粉丝 0 关注私信	mb_ysegxpmv 10 楼感谢师傅的分享 2025-2-7 12:20 0
fengyunabc 雪币： 5418 活跃值： (6237) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 634 粉丝 27 关注私信	fengyunabc 1 11 楼看看。 2025-2-7 16:01 0
wx_夜未央_455 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 7 粉丝 0 关注私信	wx_夜未央_455 12 楼 1 2025-2-8 17:33 0
PeterZheng 雪币： 1108 活跃值： (2882) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 69 粉丝 0 关注私信	PeterZheng 13 楼看看 2025-2-11 14:39 0
mb_qavmqhin 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	mb_qavmqhin 14 楼看看 2025-2-12 01:56 0
mb_mohzukpc 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_mohzukpc 15 楼 shishichen 你如何保证你的完成例程就一定会被IoCompleteRequest执行，万一在你驱动的下层驱动设的完成例程里直接返回了MORE_PROCESSING_REQUIRED，回流就被打断了，人家回到自己分发 ... 有需求，可以帮我吗，付费 2025-2-19 10:49 0
hungnguyen 雪币： 188 活跃值： (2176) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 114 粉丝 0 关注私信	hungnguyen 16 楼 Thanks for sharing 2025-2-21 14:44 0
mb_fzwldzav 雪币： 453 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 69 粉丝 0 关注私信	mb_fzwldzav 17 楼 Thanks for sharing 2025-3-3 16:39 0
史D芬周雪币： 67 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 25 粉丝 1 关注私信	史D芬周 18 楼不错支持 2025-3-10 10:05 0
zjgcjy 雪币： 6 活跃值： (813) 能力值： ( LV8，RANK：125 ) 在线值：发帖 0 回帖 16 粉丝 0 关注私信	zjgcjy 19 楼 11 2025-3-11 16:00 0
yindubao 雪币： 206 活跃值： (491) 能力值： ( LV2，RANK：10 ) 在线值：发帖 54 回帖 90 粉丝 0 关注私信	yindubao 21 楼 11 2025-3-15 09:32 0
X小浪X 雪币： 79 活跃值： (1726) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 37 粉丝 0 关注私信	X小浪X 22 楼 111 2025-3-17 18:02 0
apath 雪币： 5593 活跃值： (5380) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 76 粉丝 4 关注私信	apath 23 楼 1111 2025-3-17 18:12 0
smallzhong_ 雪币： 3771 活跃值： (6837) 能力值： ( LV5，RANK：65 ) 在线值：发帖 10 回帖 99 粉丝 178 关注私信	smallzhong_ 24 楼 11 2025-4-14 13:16 0
龟仙人雪币： 567 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 51 粉丝 1 关注私信	龟仙人 25 楼太强了! 2025-4-16 13:00 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复