QXL驱动分析报告 .pdfVIP

QXL驱动分析报告

1.Windows基本开发框架和驱动运行原理

1.1Windows基本开发框架

WDM采用分层结构，核心模型来描述设备驱动程序的标准结构，其次微软

为常见类型的设备提供一些列的总线驱动程序和类型驱动程序。核心模型描述驱

动程序如何安装和启动，类驱动则具有为许多标准类型设备所需的基本功能。

标准的WDM驱动包含一个总线驱动和一个功能驱动

总线驱动：包含在Windows中，不需另行安装，总线包括PCI、AGP、并

口、串口、IEEE1394接口等。它主要负责管理总线设备，例如当在PCI

插槽上插入新硬件，开启电脑并进入系统后总线驱动开始工作——报告发

现新硬件、并提示用户安装驱动程序。另外，总线驱动还会实时向操作系

统报告总线设备状态，检测总线上有什么类型的设备，这就是即插即用。

总线设备还负责设备的电源管理（ACPI），比如windows的休眠功能。当

我们通过控制面板选择不同电源管理模式时，电源管理器就会通过系统发

出的电源命令向总线驱动发出改变电源状态的请求，总线驱动就会响应这

些请求并设置相应设备的电源状态。

功能驱动，就是常说的驱动程序，由类驱动程序和Mini驱动程序组成。

类驱动程序用来处理常规系统事务，如电源管理和即插即用，这都是微软

定义好的，程序开发者只需要编写Mini驱动。功能驱动一般由设备生产

厂商提供，用以实现硬件设备的具体功能。

Windows驱动程序开发提供了两种框架：用户模式驱动程序框架（User-Mode

DriverFramework）和内核模式驱动程序框架（Kernel-ModeDriverFramework）

用户模式驱动程序和内核模式驱动程序具有不同的结构、入口点和系统接

口。设备是需要用户模式驱动程序还是内核模式驱动程序取决于设备的类型，以

及操作系统中为设备提供的支持。

KMDF是一个库，可用它开发支持WDM的内核模式驱动程序。KMDF体

系结构：它为驱动程序提供基于对象的接口，框架定义的对象接口包括：对象方

法（驱动程序使用它访问每个框架对象）、对象事件回调函数、对象属性、对象

句柄。框架定义了多种可供基于框架的驱动程序使用的对象类型：框架驱动程序

对象、框架设备对象、框架队列对象、框架请求对象等。创建基于框架的驱动程

序，就要使用这些对象。

每个基于框架的驱动程序都包括：

一个DriverEntry例程（qxl.c），可在加载驱动程序时调用。

一组事件回调函数，框架将在发生特定于对象的事件时调用这些函数。这

些函数由KMDF对象定义，供基于框架的驱动程序使用，回调函数调用

框架对象导出的对象方法。例如，框架设备对象定义了驱动程序可实现的

EvtDeviceD0Entry回调函数。每当设备进入其工作（D0）状态时，框

架都将调用驱动程序的EvtDeviceD0Entry回调函数。

请求处理程序（如EvtIoDefault回调函数），当I/O管理器向驱动程序发

送I/O请求时，框架将调用此请求处理程序。I/O管理器向驱动程序发

送I/O请求时，框架会将这些请求放置到I/O队列中，然后通过调用请

求处理程序来通知驱动程序。驱动程序必须至少为每台设备创建一个I/O

队列。

操作系统加载基于框架的驱动程序时，也会加载存根文件和库的加载程序。

接下来，系统调用存根文件的FxDriverEntry例程。然后，该例程调用加载程序。

加载程序确定驱动程序所需框架库的版本，然后加载正确的库版本作为内核模式

服务（如果尚未加载）。最后，库调用驱动程序的DriverEntry例程。

1.2WDM驱动运行原理

设备驱动物理结构图：

组件描述

Win32API操作系统的32位应用程序编程接口，通过Ntdll启动IO操作

Ntdll调用Windows系统调用（例如NtR