驱动程序到用户模式通信

Question

我正在尝试编写一个工具来监控进程。每当创建具有 SYSTEM 权限的高权限进程时，它都会提醒用户。 我正在使用一个监控每个进程创建的驱动程序和一个用户模式应用程序来检查它是否在 SYSTEM 下运行，如果是则发出警报。 为此，用户模式应用程序应听取驱动程序。我正在尝试通过事件来做到这一点。每当创建进程时，驱动程序将使用 IoCreateNotificationEvent 发出事件信号（使用模式应用程序使用 WaitForSingleObject 侦听该事件），然后应用程序将向驱动程序发送 IRP 以获取 pid。 这对我来说效果不佳，我一直在寻找其他方法来进行从驱动程序到侦听用户模式应用程序的通信，但我找不到...... 我怎样才能让它发挥作用？

感谢您的帮助

Answer 1

通常的方法是使用异步 IOCTL，完全忘记事件，如果没有未完成的进程创建要读取，则让驱动程序保存 IOCTL，然后在获得新进程时完成 IOCTL。这确实需要客户端在进程创建之前提交 IOCTL 请求。为了获得最佳结果，我会说将您的设备句柄绑定到 IOCP（我发现 IOCP 比需要跟踪哪个事件与哪个 OVERLAPPED 一起处理要容易得多）。

Answer 2

从驱动程序到用户模式进程的另一种通信方式是用户模式进程以消息模式打开管道并监听来自内核的消息。它比实现异步 IOCTL 更简单，因为您不必处理可能需要取消的未决 IOCTL。确保当您打开管道时，它是正确的 ACL，这样只有内核才能与用户模式进程打开的管道通信。