windows内核编程白话设备栈

在ntddk.h中定义了该函数原型：

#if (NTDDI_VERSION >= NTDDI_WINXP)

NTKERNELAPI

NTSTATUS

IoAttachDeviceToDeviceStackSafe(

__in PDEVICE_OBJECT SourceDevice,

__in PDEVICE_OBJECT TargetDevice,

__deref_out PDEVICE_OBJECT *AttachedToDeviceObject

);

#endif

我们加载微软的sfilter源码进行分析

1 创建sfilter的CDO

图1

驱动Sfilter.sys等待文件系统驱动的加载 SfFsNotification

图2

我们可以看到 Ntfs.sys驱动的CDO地址是0x862c8270

这时候我们的Sfilter即将创建一个FiDO附着在Ntfs的CDO上面

图3

新创建的FiDO的地址是0x86337998

而newDeviceObject->DriverObject的驱动地址正是我们的Sfilter的驱动地址

另外newDeviceObject->NextDevice是Sfilter!CDO的地址

这说明，IoCreateDevice的时候，新建的DeviceObject在会插在以往的DO之前如图4

图4

下面的任务便是附着FiDO于Ntfs驱动的CDO之上

IoAttachDeviceToDeviceStackSafe(

　　newDeviceObject,

　DeviceObject,

&devExt->AttachedToDeviceObject );

继续用winDBG查看

图5

FiDO的地址是0x86337998

FiDO->AttachedDevice的地址是0x00000000 此时FiDO在设备栈的最顶层

现在明了了 DeviceObject->AttachedDevice指向的是上层的设备

图6

图7

我们用winDBG验证一下

图8

巴特西