windows驱动开发如何防止驱动被卸载

1、签名：在驱动程序中嵌入一个有效的数字签名，这样可以防止未经授权的人卸载驱动程序。

2、系统服务：在驱动程序中定义一个系统服务，这样就可以防止用户不知情的情况下卸载驱动程序。

3、安装程序：为驱动程序创建一个安装程序，这样就可以防止用户不知情的情况下卸载驱动程序。

4、安全模式：在驱动程序中定义一个安全模式，这样可以防止未经授权的人卸载驱动程序。

5、注册表：在注册表中添加一个键值，这样可以防止未经授权的人卸载驱动程序。

[序言]

很多人都对驱动开发有兴趣,但往往找不到正确的学习方式.当然这跟驱动开发的本土化资料少有关系.大多学的驱动开发资料都以英文为主,这样让很多驱动初学者很头疼.本人从事驱动开发时间不长也不短,大概也就3~4年时间.大多数人都认为会驱动开发的都是牛人,高手之类的.其实高手,牛人不是这样定义的.我们在学习驱动开发之前,一定要明白一个道理:术业有专攻,不要盲目跟风.

[本内容适用环境及工具]

1>Windows系统下

2>VS2003版本以上

3>Windows驱动开发包(DDK(老版本) WDK(新版本))

4>有能力着可以安装VMWare

[本内容适用群体]

1>具有C/C++语言基础的人

2>具有80x86汇编基础的人

3>具备高中以上文化水平的逻辑思维

[具备Windows系统理论书籍]

1>Windows核心编程

2>Win32多线程程序设计

3>深入解析Windows *** 作系统

4>Windows *** 作系统原理

FAQ1:为什么需要[具备Windows系统理论书籍]这4本书？

答:驱动是Windows系统的一个重要的组成部分,深入Windows系统核心的一个体系,就因为驱动跟系统内核联系得十分紧密,所以涉及了不少系统的基础理论以及原理.因此在学习驱动开发之前必须先明白Windows系统的基础开发理论,Windows系统的运作原理,Windows系统的架构体系.那么我提供的上面4本书是目前市面上我认为最经典最全面的书籍了.

[具备Windows驱动开发书籍]

1>Windows驱动开发技术详解

2>Windows设备驱动程序WDF开发

FAQ2:为什么需要[具备Windows驱动开发书籍]这2本书?

答:假设你对Windows系统的基础理论扎实了,也看完了所说的[Windows系统理论书籍]这4本书,而且你还从事开发过Windows程序或者大程序的经验者.那么你进入Windows驱动开发的时候,需要一本经典的驱动入门开发书籍即可正确入门.现在我提供了[Windows驱动开发书籍]这2本书完完全全针对Windows驱动开发入门而编写的书籍.当然我首要推荐<Windows驱动开发详解>这本书.本书的内容在目前来说,针对驱动开发的讲解时非常到位了.包含了驱动开发理论 配置 驱动体系 等等......是一本不可多得的好书.那么第2本,其实有点滥竽充数，但是他里面有少少涉及到WDF这个最新的驱动开发理论的讲解,大家也就凑合着吧.

[具备Windows调试基础理论书籍]

1>软件调试

2>Windows用户态程序高效排错

FAQ3:为什么需要[具备Windows调试基础理论书籍]这2本书?

答:在开发驱动的情况下,你少不了要调试驱动程序.那么如何调试驱动程序呢? Windows已为你考虑到这个问题了并开发了一套强有力的调试工具:Windbg .如何学习这个工具的调试呢？那么现在市面上只有这2本书针对Windbg讲解得还比较到位,至少针对调试命令的使用,已经用中文讲解了,大家可以通过2本书先大概了解Windbg的调试命令,然后再进一步进行GOOGLE搜索并深入学习.

[具备汇编基础理论书籍]

1>汇编语言 作者:王爽

2>80x86汇编语言程序设计教程[绿皮版 或者 黑皮版]

FAQ4:为什么需要[具备汇编基础理论书籍]这2本书?

答:由于在Windows环境下开发驱动,从而有个弊端,就是Windows的WDK,DDK文档少得可怜,很多说明多是模糊的.因此导致我们开发的驱动极其不稳定,这时就需要逆向Windows驱动的机制来加深理解.在一个由于驱动的不稳定性,会导致系统蓝屏,有时错误并不会直接定位到你的代码,这时就需要汇编来分析错误的缘由.就如我前面介绍的[具备Windows调试基础理论书籍]基本是用汇编语言来阐述调试技术.

[驱动开发扩展书籍]

1>寒江独钓-Windows内核安全编程

2>Windows内核原理与实现

3>Rootkit Windows内核安全防范

4>Windows内核情景分析

FAQ5:为什么需要[驱动开发扩展书籍]这4本书?

答:熟话说：学无止境,驱动开发领域是一个很庞大的体系,这归根于驱动框架多样化而决定的.驱动包含了:文件驱动,磁盘驱动,显卡驱动,网络驱动,等等不同的种类,每一种类就是一个领域,你决定你的能力需要扩展到多方面,那么你可以考虑先我这里提供的这4本书来学习,通过阅读这3本书,你会发现驱动可以做很多你意想不到的事情.本人从事开发驱动将近4年,也仅仅涉及 文件驱动，磁盘驱动以及一些小型驱动而已.这些的学习我也仅仅是根据需求来进行选择性学习.每个人都有自己的能力极限,大家要量力而行.

[推荐正确学习方式]

1>认真阅读我提供的参考书籍

2>多使用Google来解决你遇到的问题

3>多尝试用驱动写你自己喜欢的功能

4>提升你英文阅读能力,因为大部分有价值的资料来自于国外

5>不要急于求成,不要浮躁,不要把驱动开发技术当做一种炫耀

这个，介绍只好复制来说了。我觉得你要是有兴趣，随便在那都能找到很多有趣的资料。看下面驱动的发展史：

Windows 驱动程序的发展演变

我们在学习开发驱动程序时有必要弄清楚Windows设备驱动程序的发展演变过程（为了简便起见，以下简称驱动程序）,以便明白我们将要开发什么样的驱动程序。这就象你开发一个应用程序时必须弄清楚它是运行在WINDOWS平台下还是在DOS平台下，否则我们能写出什么样的应用程序就可想而知了。

驱动程序开发者的各项任务之中，有许多是为特定的硬件编写驱动程序。由于WINDOWS的发展，这样的工作在 Windows 9X 下要比在前一版Windows(windows3.x 、Windows Workgroup) 中容易得多。先了解一些历史演变，可能会对驱动程序的编写有所帮助。

实模式Windows(Real-Mode Windows)

从一开始，MS-DOS 和系统基本输入输出系统(BIOS) 就已经提供了许多硬件设备的驱动程序。BIOS 通过一些常用的软件中断，开放出驱动程序的服务 ，像INT 10h 是显示系靳中断，INT 13h是磁盘子系靳中断，INT 16h 是键盘中断等等。BIOS 也处理硬件中断，并承担对“可编程中断控制器”（Programmable Interrupt Controller ，PIC ）的管理任务。MS-DOS 也通过软件中断（如 INT 21h 、INT 25h 、INT 26h ）提供了系统服务 ，并提供一个机制（CONFIG.SYS 中的 device= 语句），让新的或强化后的驱动程序能?蛟谙到y启动时被加载进 *** 作系统内核。

标准模式Windows(Standard-Mode Windows)

早期的 Windows 中，MS-DOS 和 BIOS 是最重要的。Windows运行在实模式状态中，这时的Windows充其量不过是一个强化后的MS-DOS图形用户界面而已。从系统角度看，Windows只不过是个大的图形应用程序。Intel 80286 的出现，使 Windows能?蛟诒；つJ街性诵胁⒒竦酶叽? 16MB 实际内存空间。依靠保护模式和实模式的转换，Windows 仍然继续使用MS-DOS 和 BIOS 提供的服务来完成所有的系统需求。这种运作模式被称为 Windows标准模式(Windows standard mode) 。在 80286 机器上切换实模式和保护模式，系统开销很大。Intel 于是提供了一个快又有效率的指令，让你从实模式切换到保护模式。但Intel 认为没有什么人还需要再从保护模式切换回实模式。结果，唯一能?蛉帽；つJ匠绦颍ㄈ? Windows standard mode ）存取实模式软件（如 MS-DOS ）的方法就是复位CPU(reset CPU) 。在人们开发出来的各种复位方法中，最普遍的一种就是触发键盘控制器，提供由 Ctrl-Alt-Delete 键所发出的外部信号。于是引发所谓的三键失效(triple fault,即三键热启动)，这是 CPU 先天无法处理的一种“失效“。事实上无论哪一种作法，代价都很昂贵，因为它们至少都得经过 BIOS 的引导程序 。事实上，在某些 286 机器，模式的切换要花掉好几毫秒。显然 Windows 需要一种方法，避免每次一有事件发生，像是键盘被按下或鼠标移动等等，就得切换到实模式。解?Q方法就是写一个保护模式驱动程序，可以在保护模式中处理 I/O 中断。这些驱动程序直到今天我们都还在使用，你在 SYSTEM 子目录中看到的扩展名为 .DRV 的文件都是！包括 MOUSE.DRV 、COMM.DRV 等等。我把它们称为 ring3 DLL 驱动程序，因为它们实质上都是 16 位 Windows 动态链接库（DLLs ），在 ring3层 （Intel CPU 最不受保护的层,一般应用程序运行在ring3层，核心态的驱动程序动行在ring0层）执行。它们的任务是在不离开 CPU保护模式的前提下，和 Windows KERNEL 、USER 、GDI 模块之间形成接口。

增强模式Windows(Enhanced-Mode Windows )

Intel 80386 CPU 使 Windows的第三种 *** 作模式（所谓的 enhanced mode）成为可能。在此模式中 Windows 采用分页(paging) 和虚拟86(V86) 特性，创造出??拟机器（VirtualMachines ，VMs ）。对一个应用程序而言，VM 就像一独立的的个人电脑，独自拥有自己的键盘、鼠标、显示器等等硬件。而实际上，经过所谓的??拟化（virtualization ），数个 VMs 共享相同硬件。对最终用户而言，最大的好处是他现在能?蛟诖翱谧刺?中（而非全屏幕）运行MS-DOS程序 。"??拟化"是 VxDs 的工作。VxD 的名称来自于 "virtual x device"，意思是此驱动程序用来??拟化某个（x ）设备。例如：VKD用来??拟化键盘，使Windows 和任何一个MS-DOS程序都自认为独立拥有属于自己的键盘。VMD 用来??拟化鼠标。某些 VxDs 并不是为了??拟化某些硬件，而是为了提供各种底层系统服务。页面交换(PAGESWAP) 和 页面文件(PAGEFILE)就属于这种非设备VxD ，它们共同管理交换文件（swap file ），使 增强模式Windows (enhanced-modeWindows) 得以将磁盘空间分配成为??拟内存的一部份。尽管基础技术令人耳目一新，但增强模式Windows (enhanced-mode Windows )还是继续在磁盘和文件 I/O 方面使用 MS-DOS 和 BIOS 。需要交换（swap ）一个文件时，它还是把 CPU 切换到 V86 模式，让 MS-DOS 和 BIOS 来处理 I/O *** 作。在保护模式、真实模式、V86 模式之间的所有切换动作都使得 Windows 慢下来。更多

的延时则来自于MS-DOS 和 BIOS 不可重入这一问题(即不能两个程序同时使用相同的服务)。Windows 必须强迫所有应用程序在同一个队列等待实模式服务。

Windows95

Windows 95 将终结这一份对历史的回忆。Windows 95 使用数种不同的驱动程序模型，大部份是使用 32 位 ring0层的虚拟设备驱动程序(VxDs) ，而非 rin3层的 DLLs 。所有的设备驱动程序都有一个具有管理功能的核心虚拟机VMM(虚拟机管理器)管理。

Windows对中断的处理与MS-DOS大不一样。当中断发生时，处理器转换为ring0级保护模式。Windows系统并不像MS-DOS那样通过中断描述符表IDT(Interrupt Descriptor Table)直接指向中断处理过程，而是由IDT入口指向VMM中的程序。该程序将判断是否为中断调用，如果是，则把中断控制权交给虚拟可编程中断控制器VPICD(Virtual Programmable Interrupt Controller Device)，VPICD实际上是一个重要的VxD。VPICD再将其交给另一个注册了该中断的VxD（如Audcard.vxd）来处理。VxD程序是通过调用VPICD服务VPICD_Virtualize_IRQ来注册中断的。

Windows 95 对于设备 (device) 的处理，一般的模型是：由一个 VxD 掌管所有中断并执行所有数据传输，应用程序则使用函数调用 (function calls) 的方式对 VxDs 发出服务请求。这种VxD 为主的设备规划模型的一个好例子就是：Windows 95 的串行通信(serial communications) 。从前 Windows的串行通讯是使用一个 ring3 驱动程序（COMM.DRV ），?群?硬件中断处理程序以及驱动一个通用异步收发蕊片(universal asynchronous receiver-transmitter （UART ）蕊片)所需的全部逻辑功能代码。在未让此驱动程序知道的情?r下，两个 VxDs （VCD 和COMBUFF ）拦截了硬件中断和软件 IN/OUT 指令，为的是??拟化每一个 port ，并且改善因多任务而引起的问题。Windows 95 也有一个 ring3 组件名为 COMM.DRV ，但这个组件已经成为新的VxD （VCOMM ）的一个简单的外层程序，只用来提供 16 位程序和 VCOMM之间的接口。VCOMM 则处于底层，联结一般应用程序、VxD clients 、 VxD 端口驱动程序和实际的硬件。端口驱动程序现在负责处理所有中断，并执行真正与硬件起作用的 IN/OUT 指令。

Windows 95 文件系统是另一个好例子。过去，对文件系统服务的请求（requests ），源自于16 位保护模式程序所发出的 INT 21h 。有一个 VxD 用来处理这些 INT 21h ，并将它们切换到 V86 模式，以便让MS-DOS 处理。MS-DOS 发出 INT 13h中断 ，以请求使用 BIOS 的磁盘 I/O 功能；发出 INT 2Fh ，允许网络的 "redirector modules"（重新定向模块）将此请求通过网络传输出去。Windows 95 提供给应用程序的，仍是向上兼容的接口，INT 21h 仍旧是导至文件系统的动作，但是底层基础却大不一样。

在 Windows 95 之中，一个名为“可安砚文件系统“（Installable File System ，IFS ）的管理器会处理所有 INT 21h ，甚至是来自于 V86 模式的。然后它把控制权交斤一个文件系统驱动程序（File System Driver ，FSD ）。有一个 FSD 名为 VFAT ，是针对 MS-DOS

文件系统（所谓 File Allocation Table ，FAT ）而设计；另一个 FSD 名为 CDFSD ，可以解析 CD-ROM 格式；此外还有其他 FSDs ，知道如何经由各种网络彼此通讯。针对本机（local 端）FSD （如VFAT ）的磁盘 *** 作，会经过被I/O管理器（Input/Output Supervisor ，IOS）监视管理的一堆VxDs处理。甚至 V86 模式的 INT 13h 中断调用最终也是由 IOS 处理。换句??真，实模式和保护模式所发出的对文件系靳的请求（request ），不论是针对本地（local ）或远程（remote ）磁盘，有可能完全（或几乎完全）由 VxDs 来处理。Windows 95 这种以 VxD 为中心的驱动程序模型，好处之一是，系统程序员不一定要是 MS-DOS 和 BIOS 的专家，就可以写驱动程序。那些准备提供系统扩展组件的程序员，也同享这个好处；原本你必须了解DOS保护模式接口（DPMI）以及 Windows 核心模块的许多神秘特性或未公开特性，现在只需了解 Win32 的 DeviceIoControl API 函数，以及那些支持所谓 "alertable waits”(即时唤醒，大意是那些可以在VXD中调用的Windows 32位 API函数，但数量极其有限,)的 Win32 API 即可。这两个接口可以让你把 VxD 当做 32 位应用程序的扩展组件。尽管Windows系统驱动程序设计的任务主要是在系统底层上扩展 Windows 的功能，但Windows 95 还是保留了令人印象深刻的向上兼容能力(对上层程序,如dos程序来说，它们的调用接口没变，但底层实际 *** 作却大不一样了)。DPMI 还是存在（有些16 位程序还是需要它），你还是可以运行实模式的网络驱动程序或文件系统驱动程序--如果这是你的必要选择。事实上，你往往可以把 Windows 3.1 的一整组硬件设备、网络驱动程序、16 位应用程序及其必要的 VxDs 整个搬到 Windows 95 ，不至于遭遇什么大问题。

Windows98&2k&NT

1996年的Windows Hardware Engineering Conference（WinHEC）会议上，Microsoft宣布了一种新的Windows设备驱动程序模型――Win32 Driver Model（WDM）。这种新的设备驱动程序模型将成为Windows 2000（即Windows NT 5.0）的核心。

这个消息令从事Windows设备驱动程序（VxD）开发的程序员感到沮丧（虽然大家早已预料到Windows系列与Windows NT系列最终将走到一起）。WDM将vxd的开发人员带到了一个新的起点上，什么都是新的：新的模式，新的观点。如果你曾看过DDK的汇编代码的话，你一定可以体会这个消息对VxD开发者是个沉重的打击，而对于Windows NT设备驱动程序（Kernel Mode Driver）的开发者来说，却是另一番心情――因为WDM基本等于Kernel Mode Driver＋Plug and Play。

VxD将让位于WDM，现在令我们欣慰的是Microsoft宣布Windows 98（Windows 98支持VxD,推荐使用WDM方式驱动，但有些设备，如打印机等还不能用它，微软预先设想的是Windows98和Windows 2k x86版在WDM驱动上可以二进制码兼容，但实际上没有完全实现）可能会坚持到200X年(天知道,估计也就是三两年)。在这期间，掌握VxD技术的你还是可以主动要求老板给你加薪的。即使到了WDM一统天下之时，也不用灰心，因为无论是VxD还是WDM，都要求开发人员对计算机硬件有着全面而细致的了解。通过VxD的锻炼，你至少熟悉了计算机的硬件资源并对保护模式有了比较深刻的认识，这些东西都是将来从事WDM开发的硬功夫。

好了，该说说Windows NT了。在Windows NT中，80386保护模式的“保护”比Windows 95中更坚固，这个“镀金的笼子”更加结实，更加难以打破。在Windows 95中，至少应用程序I/O *** 作是不受限制的，而在Windows NT中，我们的应用程序连这点权限都被剥夺了。在NT中几乎不太可能进入真正的ring0层。

在Windows NT中，存在三种Device Driver：

1．“Virtual device Driver” (VDD)。通过VDD，16位应用程序，如DOS 和Win16应用程序可以访问特定的I/O端口（注意，不是直接访问，而是要通过VDD来实现访问）。

2．“GDI Driver”，提供显示和打印所需的GDI函数。

3．“Kernel Mode Driver”，实现对特定硬件的 *** 作，比如说CreateFile, CloseHandle (对于文件对象而言), ReadFile, WriteFile, DeviceIoControl 等 *** 作。“Kernel Mode Driver”还是Windows NT中唯一可以对硬件中断和DMA进行 *** 作的Driver。SCSI 小端口驱动和 网卡NDIS 驱动都是Kernel Mode Driver的一种特殊形式。

Windows NT的驱动程序模型与Windows 3.1、Windows 95是截然不同的。所以如你的程序使用的某些特有驱动程序是VXD驱动的话，在Windows nt和windows 2k中是不能运行的。你听说过的CIH病毒就是运用的是VXD相似技术。所以不可能在nt和windows 2k中感染CIH病毒。

关于WDM驱动程序方面的相关知识，可以参看《WINDOWS WDM设备驱动程序开发指南》和《Programming the Microsoft Windows Driver Model》两本书或参看微软DDK文档。在本专栏以后的文章中，我们将一起学习WDM驱动程序的开发技术(大势所趋嘛)。

---