我们都知道,在ring3下,如果我们的程序出错了.那么就崩溃了.但是在ring0下,只要我们的程序崩溃了.那么直接就蓝屏了.
那么有那些规范?
1.最基本的检查要有. 比如检查指针是否为NULL,基本的校验错误必须有
2.对内存进行操作的时候,要进行内存判断.下面提供内存判断的API
BOOLEAN
MmIsAddressValid(
IN PVOID VirtualAddress
);
给定一个缓冲区,然后检查其内存是否有效
VOID
ProbeForWrite(
IN CONST VOID *Address,
IN SIZE_T Length,
IN ULONG Alignment
);
给定一个缓冲区.然后检查是否可以写. 但是注意,检测的是ring3下的内存地址.
3.尽量不要使用太大变量,因为在内核中.内存地址都是共享的.如果你使用了很大.那么相应的内核空间就会变少.
比如不能这样写 char szBuf[0x1000];这样是使用栈内存了.但是编译是不通过了.操作系统不让你这样使用.
但是你可以写成 char szBuf1[0x500], char szBuf2[0x500]; 但是没有任何意义.
4.ring0下不能直接访问ring3的内存
这个是有原因的.因为ring0知道一块物理内存.但是不知道是那个进程的.所以不能直接访问.
我们在内核下申请空间的API:
PVOID
ExAllocatePool(
IN POOL_TYPE PoolType, //指定内存的类型
IN SIZE_T NumberOfBytes //申请的字节数
);
但是第一个参数是我们制定内存的内容是一个结构体
typedef enum _POOL_TYPE {
NonPagedPool, //非分页管理
PagedPool, //分页管理
NonPagedPoolMustSucceed,
DontUseThisType,
NonPagedPoolCacheAligned,
PagedPoolCacheAligned,
NonPagedPoolCacheAlignedMustS
} POOL_TYPE;
然后类型中有个非分页管理以及分页管理,什么意思?
意思就是在内核中申请一块内存,这块内存可否与磁盘交互.
非分页内存: 不可以进行交互.申请了这块内存就不能动了.
分页内存: 可以进行交互.当内存资源紧张的是否,而这块内存很少是否.可以暂时放到磁盘.
操作系统的代码都是放到非分页内存中的.
了解了分页内存和非分页内存.那么此时就产生了一个新的问题.
我们的代码.有的只调用一次,不该占着这个空间不放.那么我们就要设置为分页内存中.
关键字:
总共两种方式:
1.#pragma code_seg("PAGE") //每个函数都加上,设置到PAGE节中
例如:
但是这种方式,很麻烦,且每写一个函数都要设置.那么此时就有第二种方式
2.#pragma Alloc_text("PAGE",函数名,.....) //类似于一个数组一样,可以设置多个.
但是此时就要注意了.我们就需要一个头文件了.把我们的函数声明都放到头文件中.
然后下方设置.
Page节,和INIT节. 内核中,我们编写的sys驱动程序,其实也是一个PE文件. 类似于我们的ring3下的DLL, ring3的DLL是给应用程序使用的.而sys则是给操作系统使用的. 只不过一个是3环一个是0环
Page节: 这个节则是我们说的分页内存节. 我们给了函数指针.那么就代表这块内存很自由了.操作系统可以在资源紧张的时候使用.
INIT节: 这个节则是初始化的节.例如我们的入口函数,只用一次初始化而已,不用占着内存.所以给INIT节中.那么操作系统会初始化之后释放这块内存.这样可以留给其它驱动使用.
代码:
int shift = 1;
char szGDT[6];
nCount = KeQueryActiveProcessors();//获取CUP核心个数,按位来算.
while(shift != 0x80000000)
{
if (nCount & shift)
{
KeSetSystemAffinityThread(nCount & shift);//设置在那个线程跑
__asm
{
sgdt szGDT
}
KdPrint(("limit:%p GDT:%p\n", *(short*)szGDT, *(int*)(szGDT + 2)));
}
shift <<= 1;
}