驱动里执行应用层代码之KeUserModeCallBack，支持64位win7（包括WOW64）

NTSTATUS KeUserModeCallback (
       IN ULONG ApiNumber,
       IN PVOID   InputBuffer,
       IN ULONG InputLength,
       OUT PVOID *OutputBuffer,
       IN PULONG OutputLength
       );

 struct USERDATA
{
   ........
};
NTSTATUS WINAPI  UserCallback(PVOID Arguments, ULONG ArgumentLength)
{
      USERDATA* user = (USERDATA*)Arguments;
      ....//实现在应用层调用的代码
      return STATUS_SUCCESS;
}
void UserCallbackEnd(){}

 //分配内存,KeUserModeCallback 第一个参数是 ULONG， 所以 64位系统的分配策略从基址开始寻找 4G范围内的空闲空间
 static NTSTATUS getProcessMemory(HANDLE proc_handle,PVOID baseAddr, PVOID* ppMem, SIZE_T* pSize)
 {
     NTSTATUS status = STATUS_UNSUCCESSFUL;
 #ifdef _WIN64
     const ULONG COUNT = 1000; const ULONG SepSize = 1024 * 1024 * 3 / 2; const ULONG_PTR Base = 1024 * 1024 * 50;
     ULONG i;
     for (i = 0; i < COUNT; ++i){
         ULONG_PTR pMem = (ULONG_PTR)baseAddr + Base + i*SepSize;
         SIZE_T size = *pSize;
         status = ZwAllocateVirtualMemory(proc_handle, (PVOID*)&pMem, 0, &size, MEM_COMMIT | MEM_RESERVE , PAGE_EXECUTE_READWRITE);
         if (NT_SUCCESS(status)){
             *pSize = size;
             *ppMem = (PVOID)pMem;
             break;
         }
     }
 #else
     status = ZwAllocateVirtualMemory(proc_handle, ppMem, 0, pSize, MEM_COMMIT | MEM_RESERVE | MEM_TOP_DOWN, PAGE_EXECUTE_READWRITE);
 #endif
     return status;
 }
// KeUserModeCallback一定是在用户进程线程上下文环境中才能执行成功，为了保证KernelCallbackTable不为空，必须是加载user32.dll的GUI进程。
void CallKeUserModeCallback()
{
        PVOID pMem = NULL;
        PROCESS_BASIC_INFORMATION    pbi;
        PVOID KernelCallbackTable;
        ULONG ApiNumber;
         HANDLE proc_handle = NtCurrentProcess();
         //
        ZwQueryInformationProcess( proc_handle, ProcessBasicInformation, &pbi, sizeof(PROCESS_BASIC_INFORMATION), NULL);
        KernelCallbackTable = pbi.PebBaseAddress->KernelCallbackTable; //获得用户层回调函数基地址
        ////// 为当前进程分配一段用户空间内存，目的是为了把回调函数UserCallback, 以及回调函数需要用到的参数, 复制到用户空间内存中。
        ////// ApiNumber的计算办法 ApiNumber = (((ULONG_PTR)pMem - (ULONG_PTR)KernelCallbackTable) / sizeof(ULONG_PTR));
        //////因为ApiNumber是ULONG类型， 可以看出，对于64位系统pMem和KernelCallbackTable的差值不能超过4G范围，否则计算出的ApiNumber就是错误的。
       getProcessMemory(proc_handle, KernelCallbackTable, &pMem, &size);
       ApiNumber = (((ULONG_PTR)pMem - (ULONG_PTR)KernelCallbackTable) / sizeof(ULONG_PTR));
       PVOID ShellCodeAddr = (PVOID)((ULONG_PTR)pMem + sizeof(ULONG_PTR));
       ULONG ShellCodeSize = (ULONG_PTR)UserCallbackEnd - (ULONG_PTR)UserCallback;
       *(ULONG_PTR*)pMem = (ULONG_PTR)UserCallback;   /// 等同 KernelCallbackTable[ApiNumber] = UserCallback;
 
         USERDATA ud; //初始化用户栈结构，这个结构会被传递给UserCallback函数
        ....
        PVOID OutBuffer; ULONG OutLen;
         ////调用KeUserModeCallback， 直到用户层的UserCallback函数调用完成之后才返回。
         KeUserModeCallback( ApiNumber, &ud, sizeof(USERDATA), &OutBuffer, &OutLen);
}
//////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////

 PFLT_FILTER gFilterHandle;
FLT_PREOP_CALLBACK_STATUS
 NPPreCreate(
 __inout PFLT_CALLBACK_DATA Data,
 __in PCFLT_RELATED_OBJECTS FltObjects,
 __deref_out_opt PVOID *CompletionContext
 )
 {
     FLT_PREOP_CALLBACK_STATUS retStatus = FLT_PREOP_SUCCESS_NO_CALLBACK;
     NTSTATUS status;
     /////已经进入到某个进程的上下文执行环境中
     cbk_execute();  /////////////////////  在这里调用KeUserModeCallback函数。
     ////
     return retStatus;
 }
//  operation registration
 const FLT_OPERATION_REGISTRATION Callbacks[] = {
     { IRP_MJ_CREATE,
     0,
     NPPreCreate,
     0},
    { IRP_MJ_OPERATION_END }
 };
//  This defines what we want to filter with FltMgr
 const FLT_REGISTRATION FilterRegistration = {
    sizeof(FLT_REGISTRATION),           //  Size
     FLT_REGISTRATION_VERSION,           //  Version
     0,                                  //  Flags
    NULL,                               //  Context
     Callbacks,                          //  Operation callbacks
    NPUnload,                           //  MiniFilterUnload
    NULL,                                //  InstanceSetup
     NULL,                                //  InstanceQueryTeardown
     NULL,                                //  InstanceTeardownStart
     NULL,                                //  InstanceTeardownComplete
    NULL,                               //  GenerateFileName
     NULL,                               //  GenerateDestinationFileName
     NULL                                //  NormalizeNameComponent
};
NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING reg)
{
    status = FltRegisterFilter(DriverObject, &FilterRegistration, &gFilterHandle );
     if (NT_SUCCESS(status)){
         ///
         status = FltStartFiltering( gFilterHandle);
         if (!NT_SUCCESS(status)){
             FltUnregisterFilter(gFilterHandle);
             return status;
         }
    }
    。。。。
    return   status;
}

struct USERDATA
{
      WOW64Func  Wow64KiUserCallbackDispatcher；
      PCONTEXT   pContext;
      ULONG         Wow64_ApiNumber;
      ............
      其他参数，提供给32环境的UserCallback32使用
};
NTSTATUS WINAPI  UserCallback64 (PVOID Arguments, ULONG ArgumentLength)
{
      USERDATA* user = (USERDATA*)Arguments;
      ///此函数帮我们转换到32位模式，并且执行32位环境中的 回调函数
      user-> Wow64KiUserCallbackDispatcher( user->pContext, user->Wow64_ApiNumber,  Arguments,  ArgumentLength );
      .....
      return STATUS_SUCCESS;
}
void UserCallbackEnd(){}

 ///下边的函数，需要在32位编译环境中制作出 ShellCode数组，因为64编译环境无法编译出32位代码来。
NTSTATUS WINAPI  UserCallback32 (PVOID Arguments, ULONG ArgumentLength)
{
       USERDATA* user = (USERDATA*)Arguments;
       ........执行32位环境的代码
       return  STATUS_SUCCESS;
}
void CallKeUserModeCallbackWow64()
{

       KeUserModeCallback( ApiNumber64 , &user, sizeof(USERDATA),  &OutBuffer, &OutLen);
}