本文还有配套的精品资源，点击获取

简介：WDM是微软设计的驱动程序模型，用于Windows系统硬件驱动开发。本文档旨在引导初学者学习WDM驱动的基础知识、结构与开发流程。将介绍WDM驱动的层次化结构、设备对象、IRP处理、中断服务例程(ISR)、DPC与工作线程。同时，会概述驱动开发的整个流程，包括环境准备、设备注册、编写设备驱动函数、处理IRPs、编译与签名、安装与测试，以及驱动程序调试和安全注意事项。通过本教程，学习者将能够理解和创建基本的WDM驱动程序，增强对Windows内核的控制能力，实现高效、稳定和安全的驱动开发。

1. WDM驱动概述

WDM（Windows Driver Model）是微软公司开发的一种驱动程序架构，用于实现硬件设备与Windows操作系统的通信。它支持多个设备和设备类别，包括键盘、鼠标、显示器、打印机等。WDM驱动不仅管理硬件资源，还负责将硬件的物理特性抽象化，提供给上层应用程序一个统一的接口。

WDM驱动程序通常被分为功能驱动（Function Driver）和过滤驱动（Filter Driver）。功能驱动直接与设备进行交互，处理设备特定的任务；而过滤驱动位于功能驱动之上或之下，可以修改或扩展功能驱动的行为，但不直接控制硬件。

开发WDM驱动需要深入了解Windows内核架构、设备通信协议和相关的编程接口，同时还需要具备处理同步、中断、电源管理等内核级任务的能力。随着Windows操作系统的发展，WDM驱动模型也在不断地演进，以适应新硬件和新功能的需求。

2. 驱动程序结构和组件

2.1 驱动程序基础架构

2.1.1 WDM驱动程序的层次结构

在Windows驱动模型（WDM）中，驱动程序通常呈现为分层的结构，这有助于管理硬件资源、处理输入/输出请求以及与其他系统组件交互。每一层的驱动程序都是在内核模式下运行，这意味着它们拥有系统级别的权限，因此在设计和实现驱动程序时需要格外小心。

最底部的是总线驱动程序（Bus Driver），它管理与物理总线相关的硬件，如PCI或USB。总线驱动程序上面是功能驱动程序（Function Driver），它直接与特定的硬件设备交互，并负责设备的核心功能。当需要对设备进行额外的控制时，可以使用过滤驱动程序（Filter Driver）来监视或修改发送给功能驱动程序的请求。

这种分层结构使得驱动程序开发更为模块化，易于管理和维护。同时，它也为系统添加新硬件或升级现有硬件提供了方便，因为开发者可以单独修改某一层次的驱动程序而不影响其他层次。

2.1.2 设备栈与驱动堆栈的关系

当应用程序请求访问硬件时，Windows I/O管理器会创建一个被称为设备栈的结构。设备栈是由与请求的设备相关的多个驱动程序组成的堆栈。请求进入设备栈的顶部，并向下逐层传递至功能驱动程序，完成后再逐层返回。

每个驱动程序在设备栈中都有机会查看或修改IRP（I/O请求包）。IRP是驱动程序之间传递请求的主要方式。在设备栈中，所有相关驱动程序协同工作，以确保IRP得到适当处理。驱动程序可以完成IRP、发送到下一个驱动程序或同时进行两者操作。

设备栈与驱动堆栈紧密相关，但是它们的概念需要区分。驱动堆栈是指在驱动程序中定义的一系列函数，用于处理设备的特定请求。而设备栈是指在系统中创建的实例，用于处理特定的I/O操作。

graph TD
    A[应用程序] -->|I/O请求| B(I/O管理器)
    B -->|IRP| C[设备栈]
    C -->|IRP| D[过滤驱动程序]
    D -->|IRP| E[功能驱动程序]
    E -->|IRP| F[总线驱动程序]
    F -->|IRP| G[硬件]

此流程图展示了从应用程序发出的I/O请求如何通过设备栈进行处理，最终传递至硬件。

2.2 关键组件详解

2.2.1 驱动入口点函数

驱动程序入口点函数，通常称为DriverEntry，是每个WDM驱动程序必须实现的函数。它在驱动程序被加载到内核时首次调用，并用于初始化驱动程序。在DriverEntry函数中，驱动程序会注册所有需要的回调函数，并进行必要的初始化操作。

NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath) {
    // 在此处进行驱动初始化
}

DriverEntry函数的参数包括指向驱动程序对象的指针以及指向注册表路径的Unicode字符串。驱动程序对象包含一组指向驱动程序函数的指针，这些函数包括IRP处理例程。

2.2.2 驱动扩展对象

驱动扩展对象（Device Extension）是一个由驱动程序定义的结构，通常与设备对象相关联，用于存储与特定设备实例相关的私有数据。驱动程序可以使用这些扩展来维护状态信息或实现特定于设备的功能。

创建设备对象时，扩展对象的大小由驱动程序指定，并在创建设备对象的IRP_MJ_CREATE请求处理函数中初始化。通过设备扩展，多个驱动程序可以为同一设备添加自己的数据。

2.2.3 功能驱动和过滤驱动的协作

功能驱动（Function Driver）是最直接控制硬件的驱动程序，而过滤驱动（Filter Driver）则用于监视或修改经过的I/O请求。当一个I/O请求发出后，它首先到达过滤驱动（如果存在的话），然后才到达功能驱动。

功能驱动负责响应IRP_MJ_INTERNAL_DEVICE_CONTROL和IRP_MJ_DEVICE_CONTROL等IRP请求，而过滤驱动则利用IRP_MJ_READ、IRP_MJ_WRITE等IRP请求来监控或修改请求。通常，过滤驱动被设计为透明的，以便不会干扰正常的功能驱动操作。

功能驱动和过滤驱动之间需要良好地协作，以确保I/O请求得到正确处理，且不会造成性能瓶颈或数据不一致的问题。在设计过滤驱动时，开发者需要了解功能驱动的具体工作方式，以便正确地处理I/O请求。

通过理解这些关键组件，开发者可以开始构建可靠且高效的驱动程序。它们是实现硬件通信和确保系统稳定运行的基石。在后续的章节中，我们将进一步探讨如何实现这些组件，并讨论它们在实际驱动程序开发中的应用和优化。

3. 设备对象与IRP管理

3.1 设备对象与设备栈的创建

3.1.1 设备对象的类型和特点

在WDM驱动开发中，设备对象（Device Object）是驱动程序管理硬件设备的基本单位。设备对象具有多种类型，包括物理设备对象（PDO）、功能设备对象（FDO）、过滤设备对象（Filter DO）等。PDO由总线驱动程序创建，代表硬件设备本身；FDO由功能驱动程序创建，用于执行设备的主要功能；Filter DO由过滤驱动程序创建，用于监控或修改与设备对象相关的IRP。

物理设备对象（PDO）作为硬件抽象的起始点，它代表了物理硬件设备，负责处理I/O请求到硬件设备的传递。功能设备对象（FDO）则是由驱动程序构建的，用来具体实现设备的逻辑功能。过滤设备对象（Filter DO）是对FDO和PDO的补充，它能够拦截和修改经过的IRP。

3.1.2 设备栈的创建和管理

设备栈（Device Stack）由多个设备对象组合而成，这些设备对象上下层堆叠，形成了一个栈结构。驱动程序通过IRP来与设备对象交互，并通过设备栈传递请求。设备栈中每个设备对象都有机会处理IRP，直到某个设备对象完成请求或请求被拒绝。

在创建设备对象时，驱动程序会使用 IoCreateDevice 或 IoCreateDeviceSecure 函数创建FDO或Filter DO，并使用 IoCreateDependantDevice 来创建PDO。设备栈的创建和管理涉及对设备栈内部对象的引用计数管理，防止内存泄漏等问题。

NTSTATUS CreateDeviceObject() {
    // 创建一个功能设备对象(FDO)
    PDEVICE_OBJECT pDeviceObject = NULL;
    NTSTATUS status = IoCreateDevice(
        gDriverObject, // 驱动程序对象
        sizeof(DEVICE_EXTENSION), // 设备扩展大小
        NULL, // 设备名
        FILE_DEVICE_UNKNOWN, // 设备类型
        0, // 设备特征
        FALSE, // 非独占
        &pDeviceObject // 返回创建的设备对象
    );

    if (NT_SUCCESS(status)) {
        // 初始化设备扩展等操作...
    }

    return status;
}

上述代码展示了如何使用 IoCreateDevice 创建一个功能设备对象。其中，参数 gDriverObject 是驱动程序对象， sizeof(DEVICE_EXTENSION) 是设备扩展结构的大小， FILE_DEVICE_UNKNOWN 是设备类型， 0 表示不指定设备特征， FALSE 表示该设备不是独占设备。创建成功后，会返回一个指向新创建的设备对象的指针。

3.2 I/O请求分派与处理

3.2.1 IRP的生命周期管理

I/O请求分派与处理是WDM驱动的核心部分，IRP（I/O Request Packet）是其中的关键。IRP表示一个I/O请求的系统结构，它描述了要执行的操作类型和参数。IRP的生命周期从驱动程序收到IRP开始，直到该IRP被完成并返回给上层驱动程序或系统为止。

IRP的生命周期管理涉及到创建、初始化IRP，分派IRP给正确的分派例程（Dispatch Routines），以及最终完成和释放IRP。在处理IRP时，驱动程序通常会调用 IoGetCurrentIrpStackLocation 来获取当前设备对象的I/O栈位置。

VOID DispatchRoutine(IN PDEVICE_OBJECT pDeviceObject, IN PIRP pIrp) {
    // 获取当前设备对象的IRP栈位置
    PIO_STACK_LOCATION pIrpSp = IoGetCurrentIrpStackLocation(pIrp);
    // 根据IRP的主功能码执行不同的处理...
    switch (pIrpSp->MajorFunction) {
    case IRP_MJ_READ:
        // 处理读请求...
        break;
    case IRP_MJ_WRITE:
        // 处理写请求...
        break;
    // 其他I/O操作...
    }

    // 完成IRP
    pIrp->IoStatus.Status = STATUS_SUCCESS;
    pIrp->IoStatus.Information = // 传递的数据长度等信息;
    IoCompleteRequest(pIrp, IO_NO_INCREMENT);
}

3.2.2 IRP主要功能代码分析

IRP包括一系列主要功能代码，如 IRP_MJ_READ 、 IRP_MJ_WRITE 、 IRP_MJ_DEVICE_CONTROL 等，分别对应读、写和设备控制操作。对于每个主要功能代码，驱动程序都会提供相应的分派例程来处理请求。例如，读请求通常由一个名为 DispatchRead 的函数处理，写请求由 DispatchWrite 处理。

每个分派函数需要根据IRP栈位置中的信息（如缓冲区指针、长度、偏移量等）来执行相应的I/O操作。处理完成后，通过设置 pIrp->IoStatus.Status 和 pIrp->IoStatus.Information ，最后调用 IoCompleteRequest 来完成IRP的处理。

3.2.3 IRP完成和传递机制

当驱动程序完成IRP处理后，必须调用 IoCompleteRequest 函数来通知I/O管理器IRP已完成。 IoCompleteRequest 不仅通知上层驱动程序IRP已完成，而且I/O管理器会根据IRP栈上的信息来决定是否需要将IRP向下传递到设备栈中的下一个设备对象。

在某些情况下，驱动程序可能需要将IRP向下传递给下一个设备对象，这时候会使用 IoCallDriver 函数。驱动程序在执行完必要的处理后，将IRP转发给设备栈中的下一个驱动程序。

// IRP传递示例
NTSTATUS ForwardIrpToNextDriver(IN PDEVICE_OBJECT pDeviceObject, IN PIRP pIrp) {
    // 获取当前设备对象的下一个设备对象
    PDEVICE_OBJECT pNextDeviceObject = pDeviceObject->NextDevice;
    // 将IRP向下传递给下一个设备对象
    return IoCallDriver(pNextDeviceObject, pIrp);
}

在IRP传递过程中，驱动程序需要确保传递给下层驱动的IRP在任何情况下都能被适当完成。驱动程序应当遵循I/O管理器的IRP完成规则，确保在适当的时机将IRP标记为完成状态并传递给I/O管理器。

3.2.4 设备栈的层次结构图

下图展示了WDM环境下设备栈的层次结构，IRP在设备栈中由上层驱动向下层驱动传递，直至到达物理设备对象（PDO）：

graph TD
    subgraph FDO
    DrvA -->|IRP| DrvB
    end
    DrvB -->|IRP| PDO
    subgraph PDO
    PDO
    end

其中 DrvA 和 DrvB 是功能设备对象（FDO），由相应的功能驱动程序创建，而 PDO 是物理设备对象，由总线驱动程序创建。IRP按照设备栈的层次结构从上至下分派给各个设备对象进行处理。

4. 中断服务例程(ISR)和DPC/工作线程

中断服务例程(ISR)和延迟过程调用(DPC)是WDM驱动程序中处理硬件中断和响应高优先级任务的重要组件。它们对于保证系统性能和响应能力至关重要。本章将深入探讨ISR和DPC的工作原理，并分析如何有效地使用工作线程来处理需要较长时间执行的任务。

4.1 中断服务例程(ISR)

中断服务例程是驱动程序中处理中断请求的关键部分。当中断发生时，CPU会立即停止当前工作，转而执行ISR，以快速响应硬件请求。

4.1.1 中断请求级(IRQL)和ISR的作用

IRQL（Interrupt Request Level）是中断处理中的一个关键概念，它指示当前CPU的中断屏蔽状态。对于ISR来说，它运行在较高的IRQL，通常高于线程级调度的IRQL，以保证中断能快速得到处理。

// 示例代码展示ISR的原型
VOID
MyIsr(
    IN PKINTERRUPT Interrupt, // 中断对象
    IN PVOID ServiceContext // 服务上下文
)
{
    // ISR代码逻辑
}

在这段代码中， MyIsr 函数就是ISR的实现，当硬件发出中断请求时，CPU会调用该函数。通常，ISR应尽可能快速地执行，仅进行必要的硬件状态保存和启动DPC例程等操作。

4.1.2 编写ISR的注意事项和最佳实践

编写ISR时需要特别注意以下几点：

• 尽量减少ISR执行的工作量：ISR应迅速完成，避免阻塞。
• 避免使用可能引起页面错误的操作：页面错误可能会导致系统崩溃。
• 正确管理硬件状态：保存必要的硬件状态信息，以便后续处理。

// 示例：错误的ISR，使用了可能会造成页面错误的操作
VOID
WrongIsr(
    IN PKINTERRUPT Interrupt,
    IN PVOID ServiceContext
)
{
    // 错误使用字符串操作，可能导致页面错误
    DbgPrint("Interrupt occurred at %s\n", "High IRQL");
}

在上述示例中， DbgPrint 函数的调用是不合适的，因为它可能会尝试执行不可在高IRQL上完成的操作，从而引发系统崩溃。

4.2 延迟过程调用(DPC)和工作线程

DPC为ISR提供了一种机制，以在较低的IRQL上完成中断处理。工作线程则用于处理那些需要更多执行时间的任务。

4.2.1 DPC的作用和使用场景

DPC可以被看作是“延迟的中断处理”。ISR完成后，如果需要在非高IRQL上下文中处理中断，它可以安排一个DPC对象，将工作推迟到稍后完成。

// 示例：在ISR中安排DPC
VOID
MyIsr(
    IN PKINTERRUPT Interrupt,
    IN PVOID ServiceContext
)
{
    // 假设已经正确初始化了Dpc对象
    KeInsertQueueDpc(&MyDpc, NULL, NULL);
}

在这段代码中， MyDpc 是一个 KDPC 对象， KeInsertQueueDpc 函数将它加入到系统的DPC队列中，当ISR返回时，DPC将被执行。

4.2.2 工作线程的创建和同步

工作线程可以处理那些需要大量处理时间，或者需要执行线程安全操作的任务。创建工作线程通常涉及使用 PsCreateSystemThread 函数。

// 示例代码创建工作线程
NTSTATUS
CreateMyWorkerThread(
    void
)
{
    OBJECT_ATTRIBUTES objAttr;
    HANDLE threadHandle;

    InitializeObjectAttributes(&objAttr, NULL, OBJ_KERNEL_HANDLE, NULL, NULL);

    // 创建工作线程
    return PsCreateSystemThread(
        &threadHandle,
        GENERIC_ALL,
        &objAttr,
        NULL,
        NULL,
        MyWorkerThread,
        NULL
    );
}

在这段代码中， MyWorkerThread 是工作线程的入口函数。创建后，可以在该线程中执行复杂的处理操作。

4.2.3 DPC和工作线程的协调机制

DPC和工作线程经常协同工作，DPC快速处理一些任务，随后调度工作线程进行更深入的处理。协调DPC和工作线程可以优化系统性能，减少对系统资源的占用。

sequenceDiagram
    participant ISR
    participant DPC
    participant WorkThread

    ISR->>DPC: 调度DPC
    DPC->>WorkThread: 启动工作线程
    WorkThread-->>DPC: 更复杂的处理
    DPC-->>ISR: 中断处理完成

在上述流程图中，中断发生时，ISR快速执行并安排DPC。DPC在较安全的IRQL处理一些任务后，会启动工作线程来完成剩下的任务。这样可以平衡中断响应时间和系统性能。

总结

本章深入解析了中断服务例程(ISR)、延迟过程调用(DPC)和工作线程的概念、实现及其最佳实践。了解这些组件如何共同工作对于设计高性能和高响应性的WDM驱动程序至关重要。我们探讨了_ISR_快速响应硬件中断的角色，如何通过_DPC_进行后续处理，以及如何创建和同步工作线程来完成更复杂的任务。遵循本章的指导原则，开发者可以有效地利用这些关键组件，优化驱动程序的中断处理效率。

5. WDM驱动开发流程

开发Windows驱动模型（WDM）驱动程序是一个复杂的过程，涉及到多个步骤，从设置开发环境到调试和测试驱动。本章将详细探讨WDM驱动开发流程的各个方面，为读者提供一个清晰的开发路线图。

5.1 开发环境和工具链

5.1.1 驱动项目设置和编译选项

在开始编写WDM驱动代码之前，首先需要配置好开发环境。通常使用Visual Studio配合Windows Driver Kit（WDK）来设置驱动项目。以下是创建驱动项目的基本步骤：

1. 打开Visual Studio。
2. 选择“文件” > “新建” > “项目”。
3. 在“创建新项目”对话框中，选择“Windows 驱动”。
4. 输入项目名称和位置，然后点击“创建”。

在项目创建后，需要设置正确的编译选项来准备构建驱动程序。开发者需要确保项目配置中包含了正确的平台目标（x64、x86等）和目标版本（Windows 10、Windows Server 2019等），还要为驱动签名做准备。

5.1.2 使用的调试工具和符号服务

调试是驱动开发过程中不可或缺的一部分。以下是常用的调试工具和服务：

• WinDbg : 一个功能强大的内核模式调试工具，常用于调试驱动程序。
• 符号文件 : 调试时加载相应的符号文件以获取更准确的错误信息。
• Visual Studio 集成调试器 : Visual Studio集成的调试器可以用来调试驱动程序的用户模式部分。

开发者需要确保调试工具链的安装和配置正确，以便能够顺利地进行调试工作。

5.2 编写和编译WDM驱动

5.2.1 驱动代码的基本模板

WDM驱动代码通常包含以下几个基本部分：

• DriverEntry : 驱动程序的主要入口点，系统加载驱动时执行的函数。
• AddDevice : 负责创建设备对象，并将其添加到设备栈。
• IRP Major Function Handlers : 处理各种I/O请求的函数，如IRP_MJ_CREATE、IRP_MJ_CLOSE等。

下面是一个简单的DriverEntry函数模板：

NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) {
    // 初始化驱动对象的入口点
    DriverObject->DriverUnload = UnloadDriver;
    DriverObject->DriverExtension->AddDevice = AddDevice;

    // 设置IRP处理函数
    DriverObject->MajorFunction[IRP_MJ_CREATE] =DispatchCreateClose;
    DriverObject->MajorFunction[IRP_MJ_CLOSE]  =DispatchCreateClose;
    DriverObject->MajorFunction[IRP_MJ_READ]  =DispatchReadWrite;
    DriverObject->MajorFunction[IRP_MJ_WRITE] =DispatchReadWrite;
    // ... 其他IRP处理函数 ...

    return STATUS_SUCCESS;
}

5.2.2 驱动程序的编译和链接过程

编译和链接WDM驱动的过程通常与编译普通用户模式应用程序类似，但是需要使用WDK提供的工具链。在Visual Studio中配置好项目后，可以通过按F7或点击“生成”菜单来编译项目。

编译驱动程序时，编译器会检查代码中的常见错误并输出警告和错误信息。链接器将各个编译单元组合成可执行的驱动程序，并生成一个*.sys文件，这便是最终的驱动程序。

5.3 驱动程序的安装和测试

5.3.1 驱动程序的签名和安装流程

在测试之前，驱动程序需要进行签名，否则可能无法在64位版本的Windows上加载。签名可以使用Microsoft的签名服务或自签名以进行本地测试。

安装驱动程序的过程包括以下步骤：

1. 将驱动程序文件*.sys放置在适当的目录中。
2. 执行安装脚本或手动安装驱动。
3. 使用设备管理器或sc命令进行安装。

5.3.2 驱动的测试和验证技巧

驱动程序的测试需要谨慎进行，以避免系统崩溃。测试的技巧包括：

• 使用虚拟机 : 在虚拟环境中安装和测试驱动，避免对宿主机造成影响。
• 代码覆盖率测试 : 使用代码覆盖率工具来分析测试的全面性。
• 压力测试 : 在高负载或异常条件下运行驱动，检查其健壮性。

通过这些步骤，可以确保驱动程序在发布之前稳定性和性能都达到预期。

本文还有配套的精品资源，点击获取

简介：WDM是微软设计的驱动程序模型，用于Windows系统硬件驱动开发。本文档旨在引导初学者学习WDM驱动的基础知识、结构与开发流程。将介绍WDM驱动的层次化结构、设备对象、IRP处理、中断服务例程(ISR)、DPC与工作线程。同时，会概述驱动开发的整个流程，包括环境准备、设备注册、编写设备驱动函数、处理IRPs、编译与签名、安装与测试，以及驱动程序调试和安全注意事项。通过本教程，学习者将能够理解和创建基本的WDM驱动程序，增强对Windows内核的控制能力，实现高效、稳定和安全的驱动开发。

本文还有配套的精品资源，点击获取