# 前言 开发过单片机的小伙伴可以看一下我之前的一篇文章从单片机开发到linux内核驱动，以浅显易懂的方式带你敲开Linux驱动开发的大门。...# 正文 用户空间的每个函数（用于使用设备或者文件的），在内核空间中都有一个对应的功能相似并且可将内核的信息向用户空间传递的函数。 下表为几种设备驱动事件和它们在内核和用户空间对应的接口函数。...memory.c /** * * 驱动初始化 */ /* Necessary includes for device drivers */ #include <linux...这个函数工作在内核空间，用于为该驱动程序的缓冲区分配内存。 * 它和我们熟悉的malloc函数很相似。 * 最后，如果注册主设备号或者分配内存失败，模块将退出。...在内核维护的设备和驱动列表中寻找你在驱动模块中注册的设备和驱动。
还记得《驱动开发：内核LoadLibrary实现DLL注入》中所使用的注入技术吗，我们通过RtlCreateUserThread函数调用实现了注入DLL到应用层并执行，本章将继续探索一个简单的问题，如何注入...需要传入两个最重要的参数，一个是StartAddress开始执行的内存块，另一个是StartParameter传入内存块的变量列表，而如果将StartParameter地址填充为NULL则表明不传递任何参数，也就是只在线程中执行...ShellCode代码，利用这个特点我们就可以在上一篇文章的基础之上简单改进代码即可实现驱动级后门注入的功能。...MmIsAddressValid(pRing3Address)) { return FALSE; } // 启动注入线程 status = RtlCreateUserThread...ref_address); DbgPrint("对端进程: %d \n", process_id); DbgPrint("分配长度: %d \n", create_size); DbgPrint("分配的内核堆基址
还记得《驱动开发：内核LoadLibrary实现DLL注入》中所使用的注入技术吗，我们通过RtlCreateUserThread函数调用实现了注入DLL到应用层并执行，本章将继续探索一个简单的问题，如何注入...需要传入两个最重要的参数，一个是StartAddress开始执行的内存块，另一个是StartParameter传入内存块的变量列表，而如果将StartParameter地址填充为NULL则表明不传递任何参数，也就是只在线程中执行...ShellCode代码，利用这个特点我们就可以在上一篇文章的基础之上简单改进代码即可实现驱动级后门注入的功能。...MmIsAddressValid(pRing3Address)){return FALSE;}// 启动注入线程status = RtlCreateUserThread(ZwCurrentProcess...&ref_address);DbgPrint("对端进程: %d \n", process_id);DbgPrint("分配长度: %d \n", create_size);DbgPrint("分配的内核堆基址
这篇文章比较特殊，是一篇穿插答疑文章，由于刚好在前一篇教程《驱动开发：内核枚举PspCidTable句柄表》整理了枚举句柄表的知识点，正好这个知识点能解决一个问题，事情是这样的有一个粉丝求助了一个问题，...想要枚举出驱动中活动的线程信息，此功能我并没有尝试过当时也只是说了一个大致思路，今天想具体聊一聊这个话题，也想聊一聊自己对粉丝们的想法。...好了步入正题，这个枚举驱动内的线程我们无法用传统的API去枚举，原因很简单你拿不到进程的EPROCESS结构，或者说他这个驱动程序本身就是系统的一部分根本就没有进程ID的概念，由于我一直没有尝试这个需求...这样我们首先枚举的是驱动完整信息，然后在和线程作比较，从而判断或者说归档，将某一些子线程归类到某个驱动程序上面，代码我就不写了，再写也是重复的东西，前面的文章中都有代码，自己拼凑一下就可以实现的功能。...新增一个方法，通过IoThreadToProcess将线程句柄转换为进程EPROCES，并附加后提取出所属驱动。
Linux内核驱动模块机制 静态加载, 把驱动模块编进内核， 在内核启动时加载 动态加载, 把驱动模块编为ko, 在内核启动后，需要用时加载 2....编写内核驱动 #include #include static int __init test_init(void) { return...0; //返回0表示成功, 返加负数退出加载模块 } //__init 当内核把驱动初始化完后， 释放此函数的代码指令空间 static void __exit test_exit(void) { ....驱动模块的Makefile obj-m += test.o //源码文件为test.c modules:make -C 内核源码目录 M=驱动代码所在目录 modules modules install...:make -C 内核源码目录 M=驱动代码所在目录 modules_install INSTALL_MOD_PATH=/文件系统路径 clean:make -C 内核源码目录 M=驱动代码所在目录
转载请标明出处floater的csdn blog，http://blog.csdn.net/flaoter Linux SPI驱动分为核心层，控制器驱动层和设备驱动层。...linux将I2C、SPI、USB等总线驱动隔离成控制器驱动和设备驱动，使两者相对独立。 本文以qcom的spi控制器为例，对spi控制器驱动进行解析。kernel代码版本是3.18。...总线传输涉及到几个重要的结构体，队列，内核工作线程和厂商的总线传输实现几个方面。...3.2 队列&内核工作线程 spi的总线传输是以spi_master->transfer进行实际的传输的。在实际传输之前要对结构体，队列，工作线程进行初始化。...worker通过创建一个内核线程，来串行执行kthread_work调用queue去排队的func。spi_init_queue实现了队列和工作线程的初始化。
本篇介绍 本篇介绍下如何写字符设备的驱动程序。...支持阻塞IO的驱动demo Linux 上的设备类型可以大概分为以下几种： 字符设备：以字节为单位传输，传输率低，不支持随机访问，常见的设备有鼠标，键盘，触摸屏等 块设备： 以块位单位传输，常见的就是磁盘...先看下字符设备的结构 struct cdev { struct kobject kobj; // 用于linux设备驱动模型 struct module *owner; // 字符设备驱动所在的内核模块对象指针...再介绍下misc 设备，linux 内核将一些不符合预先确定的字符设备划分为杂项设备，使用的数据结构如下; struct miscdevice { int minor; const char...#include #include #include #include #include
）完成，内核线程是独立运行在内核空间的标准进程。...实际上，内核线程只能由其他内核线程创建，linux驱动模块中可以用kernel_thread()，kthread_create()/kthread_run()两种方式创建内核线程，另外还可以用第三方库（...如pthread，除此之外还有其他的第三方库），在驱动模块中创建线程（pthread也可以用在用户空间）： 一、linux进程的创建 kernel/init/main.c asmlinkage void...>书中说，内核线程是内核态的标准进程。...注意：kernel_thread()由于没有用EXPORT_SYMBOL导出来，所以用kernel_thread()这能用在和内核一起编译的驱动代码中，如用在ubuntu系统上，不随内核一起编译，单独的驱动程序时
内核导出表远程线程是一种实现DLL注入的常见技术之一。通过使用该技术，注入代码可以利用目标进程的导出表中已有的函数来加载DLL，并在远程线程中执行DLL代码，从而实现DLL注入。...具体而言，内核导出表远程线程实现DLL注入的过程包括以下步骤： 打开目标进程，获取其进程句柄。 在目标进程的内存空间中分配一段可执行代码的内存空间，将注入代码写入其中。...在目标进程中创建一个远程线程，将获取到的导出函数地址作为线程的入口点，并将DLL路径等参数传递给导出函数。 远程线程在目标进程中运行，并调用导出函数。...需要注意的是，内核导出表远程线程作为一种内核级别的注入技术，可能会被安全软件或操作系统检测到，并对其进行防御。...FUNCTION__, Status); } if (ThreadHandle) { ZwClose(ThreadHandle); } return Status; } // 切换到目标进程创建内核线程进行注入
;return STATUS_SUCCESS;}将上方代码编译，当我们加载驱动程序以后，再次打开C:\Windows\System32\calc.exe 计算器进程则提示无法打开，我们的驱动已经成功的拦截了本次的请求...图片而检测线程操作与检测进程差不多，检测线程需要调用PsSetCreateThreadNotifyRoutine 创建回调函数，然后就可以检测线程的创建了，具体代码如下：#include <ntddk.h...PsLookupProcessByProcessId(ProcessId, &eprocess); // 通过此函数拿到程序的EPROCESS结构if (Create)DbgPrint("线程...%1d \n", ThreadId, PsGetProcessImageFileName(eprocess), PsGetProcessId(eprocess));elseDbgPrint("%s 线程已退出...UnDriver(PDRIVER_OBJECT driver){PsRemoveCreateThreadNotifyRoutine(MyCreateThreadNotify);DbgPrint(("驱动卸载成功
; return STATUS_SUCCESS; } 将上方代码编译，当我们加载驱动程序以后，再次打开C:\Windows\System32\calc.exe 计算器进程则提示无法打开，我们的驱动已经成功的拦截了本次的请求...而检测线程操作与检测进程差不多，检测线程需要调用PsSetCreateThreadNotifyRoutine 创建回调函数，然后就可以检测线程的创建了，具体代码如下： #include <ntddk.h...PsLookupProcessByProcessId(ProcessId, &eprocess); // 通过此函数拿到程序的EPROCESS结构 if (Create) DbgPrint("线程...\n", ThreadId, PsGetProcessImageFileName(eprocess), PsGetProcessId(eprocess)); else DbgPrint("%s 线程已退出...UnDriver(PDRIVER_OBJECT driver) { PsRemoveCreateThreadNotifyRoutine(MyCreateThreadNotify); DbgPrint(("驱动卸载成功
内核导出表远程线程是一种实现DLL注入的常见技术之一。通过使用该技术，注入代码可以利用目标进程的导出表中已有的函数来加载DLL，并在远程线程中执行DLL代码，从而实现DLL注入。...具体而言，内核导出表远程线程实现DLL注入的过程包括以下步骤：打开目标进程，获取其进程句柄。在目标进程的内存空间中分配一段可执行代码的内存空间，将注入代码写入其中。...在目标进程中创建一个远程线程，将获取到的导出函数地址作为线程的入口点，并将DLL路径等参数传递给导出函数。远程线程在目标进程中运行，并调用导出函数。...需要注意的是，内核导出表远程线程作为一种内核级别的注入技术，可能会被安全软件或操作系统检测到，并对其进行防御。...0x%X\n", __FUNCTION__, Status);}if (ThreadHandle){ZwClose(ThreadHandle);}return Status;}// 切换到目标进程创建内核线程进行注入
linux内核版本：4.14 pcie转四路串口芯片：亚信的AX99100 linux内核里是没有这块芯片的驱动的，这里自己添加驱动进去进行编译。...1.从亚信官网下载该芯片的linux驱动https://www.asix.com.tw/cs/download.php?...sub=driverdetail&PItemID=256 2.在 linux/drivers/tty/serial/的目录下新建一个99xx的目录，把解压之后的文件里除了.cache.mk、Makefile...下的Kconfig,增加 source "drivers/tty/serial/99xx/Kconfig" 7.在linux目录下，使用你自己的编译器进入menuconfig进行内核配置(make menuconfig...Device Drivers > Character devices > Serial drivers目录下，勾选以下两个刚才添加的选项，并把8250的两个选项取消选中 9.进行编译，这样就把AX99100的驱动编译进内核里了
最近在向Linux内核提交一些驱动程序，在提交的过程中，发现自己的代码离Linux内核的coding style要求还是差很多。...当初自己对内核文档里的CodingStyle一文只是粗略的浏览，真正写代码的时候在很多细节上会照顾不周。不过， 在不遵守规则的程序员队伍里，我并不是孤独的。...如果去看drivers/staging下的代码，就会发现很多驱动程序都没有严格遵守内核的coding style，而且在很多驱动程序的TODO文件里，都会把"checkpatch.pl fixes"作为自己的目标之一...在Linux内核的coding style里，switch和case要求有相同的缩进。本例的代码很少，错误也只有这一个，手动修改很方便。如果类似的缩紧错误很多怎么办？...比如，Linux内核的coding style要求，行尾不能有空格（包括Tab），去除这些空格就可以借助sed。 我自己的习惯很差，经常在代码的行尾留下一些空格。
虽然讲解完了内核线程的创建过程，但是似乎又少点什么，那么下面我们来看两个细节：内核线程执行处理函数和内核线程上下文切换细节： 7.内核线程执行处理函数细节 内核线程执行到处理函数要从fork说起： 7.1...内核中创建内核线程用例 下面我们来看下，内核中创建内核线程为系统服务的用例，我们只提及不讲解具体的服务逻辑。...用例1：linux系统中，当内存不足时，会唤醒kswapd内核线程来进行异步内存回收，下面我们来看他的创建过程： mm/vmscan.c kswapd_init ->for_each_node_state...(kswapd, pgdat, "kswapd%d", nid) //使用kthread_run结构创建并唤醒创建的内核线程 执行kswapd函数 用例2：Linux软中断是下半部的一种机制，一般对效率要求较高的场景会使用到...内核模块代码：kthread_demo.c #include #include #include #include
#include 1....模块参数 在驱动定义变量 static int num = 0; //当加载模块不指定num的值时则为0 module_param(变量名, 类型， 权限);类型: byte, int, uint,...EXPORT_SYMBOL(函数名/变量的地址) //把函数/或者变量的地址导出到内核的符号表中 EXPORT_SYMBOL_GPL(函数名) /////////// /proc/kallsyms 查看当前系统的符号表
线程通常被定义为一个进程中代码的不同执行路线。从实现方式上划分，线程有两种类型：“用户级线程”和“内核级线程”。...用户线程指不需要内核支持而在用户程序中实现的线程，其不依赖于操作系统核心，应用进程利用线程库提供创建、同步、调度和管理线程的函数来控制用户线程。...这种线程甚至在象 DOS 这样的操作系统中也可实现，但线程的调度需要用户程序完成，这有些类似 Windows 3.x 的协作式多任务。另外一种则需要内核的参与，由内核完成线程的调度。...而内核线程则没有各个限制，有利于发挥多处理器的并发优势，但却占用了更多的系统开支。...Windows NT和OS/2支持内核线程。Linux 支持内核级的多线程。
1.开场白 环境： 处理器架构：arm64 内核源码：linux-5.11 ubuntu版本：20.04.1 代码阅读工具：vim+ctags+cscope 在linux系统中， 我们接触最多的莫过于用户空间的任务...，像用户线程或用户进程，因为他们太活跃了，也太耀眼了以至于我们感受不到内核线程的存在，但是内核线程却在背后默默地付出着，如内存回收，脏页回写，处理大量的软中断等，如果没有内核线程那么linux世界是那么的可怕...本文力求与完整介绍完内核线程的整个生命周期，如内核线程的创建、调度等等，当然本文还是主要从内存管理和进程调度两个维度来解析，且不会涉及到具体的内核线程如kswapd的实现，最后我们会以一个简单的内核模块来说明如何在驱动代码中来创建使用内核线程...6.除了初始化阶段0号内核线程和kthreadd本身，其他所有的内核线程都是被kthreadd内核线程来间接创建。...2.kthreadd的诞生 盘古开天辟地，我们知道linux所有任务的祖先是0号进程，然后0号进程创建了天字第一号的1号init进程，init进程是所有用户任务的祖先，而内核线程同样也有自己的祖先那就是
在前面的文章中LyShark一直在重复的实现对系统底层模块的枚举，今天我们将展开一个新的话题，内核监控，我们以监控进程线程创建为例，在Win10系统中监控进程与线程可以使用微软提供给我们的两个新函数来实现...NotifyRoutine, [in] BOOLEAN Remove);如上，该函数只有两个参数，第一个参数是回调函数，第二个参数是是否注销，通常在驱动退出时可以传入...TRUE对该回调进行注销，通常情况下如果驱动关闭，则必须要注销回调，而对于MyLySharkCreateProcessNotifyEx自定义回调来说，则需要指定三个必须要有的参数传递。...，我们可以在ARK工具中看到这个驱动所加载的CreateProcess的回调事件。...图片当驱动加载后，如果你尝试打开lyshark.exe那么会提示连接的设备没有发挥作用，我们则成功拦截了这次打开，当然如果在打开进程之前扫描其特征并根据特征拒绝进程打开，那么就可以实现一个简单的防恶意程序
内核枚举进程使用PspCidTable 这个未公开的函数，它能最大的好处是能得到进程的EPROCESS地址，由于是未公开的函数，所以我们需要变相的调用这个函数，通过PsLookupProcessByProcessId...内核枚举进程： 进程就是活动起来的程序，每一个进程在内核里，都有一个名为 EPROCESS 的结构记录它的详细信息，其中就包括进程名，PID，PPID，进程路径等，通常在应用层枚举进程只列出所有进程的编号即可...，不过在内核层需要把它的 EPROCESS 地址给列举出来。...PUNICODE_STRING RegistryPath) { EnumProcess(); Driver->DriverUnload = UnDriver; return STATUS_SUCCESS; } 内核枚举线程...： 内核线程的枚举与进程相似，线程中也存在一个ETHREAD结构，但在枚举线程之前需要先来枚举到指定进程的eprocess结构，然后在根据eprocess结构对指定线程进行枚举。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
