2.3 Windows驱动开发：内核字符串转换方法

在内核编程中字符串有两种格式ANSI_STRING与UNICODE_STRING，这两种格式是微软推出的安全版本的字符串结构体，也是微软推荐使用的格式，通常情况下ANSI_STRING代表的类型是char *也就是ANSI多字节模式的字符串，而UNICODE_STRING则代表的是wchar*也就是UNCODE类型的字符，如下文章将介绍这两种字符格式在内核中是如何转换的。

在Windows内核中，字符串的处理十分重要。不同于用户态程序，内核中的字符串必须遵循严格的安全规则，以确保不会引发各种安全漏洞。

ANSI_STRING和UNICODE_STRING是微软在内核中推出的两种安全版本的字符串结构体，ANSI_STRING代表的是ANSI多字节模式的字符串，而UNICODE_STRING则代表的是UNCODE类型的字符。这两种字符串类型可以相互转换，因此在内核编程中，需要经常进行类型转换。

ANSI_STRING和UNICODE_STRING之间的转换可以通过内核中提供的一系列函数实现。其中，最常用的是RtlUnicodeStringToAnsiString和RtlAnsiStringToUnicodeString这两个函数。这两个函数分别用于将UNICODE_STRING类型的字符串转换成ANSI_STRING类型的字符串，以及将ANSI_STRING类型的字符串转换成UNICODE_STRING类型的字符串。

2.3.1 初始化字符串

在内核开发模式下初始化字符串也需要调用专用的初始化函数，使用ANSI字符串时需要调用RtlInitAnsiString函数进行初始化，而使用Unicode字符串时则需要调用RtlInitUnicodeString函数进行初始化。这两个函数都需要传入要初始化的字符串和字符串长度，初始化完成后就可以对字符串进行使用了。如下分别初始化ANSI和UNCODE字符串，我们来看看代码是如何实现的。

#include <ntifs.h>
#include <ntstrsafe.h>VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("驱动卸载成功 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{// 定义内核字符串ANSI_STRING ansi;UNICODE_STRING unicode;UNICODE_STRING str;// 定义普通字符串char * char_string = "hello lyshark";wchar_t *wchar_string = (WCHAR*)"hello lyshark";// 初始化字符串的多种方式RtlInitAnsiString(&ansi, char_string);RtlInitUnicodeString(&unicode, wchar_string);RtlUnicodeStringInit(&str, L"hello lyshark");// 改变原始字符串（乱码位置，此处仅用于演示赋值方式）char_string[0] = (CHAR)"A";         // char类型每个占用1字节char_string[1] = (CHAR)"B";wchar_string[0] = (WCHAR)"A";        // wchar类型每个占用2字节wchar_string[2] = (WCHAR)"B";// 输出字符串 %ZDbgPrint("输出ANSI: %Z \n", &ansi);DbgPrint("输出WCHAR: %Z \n", &unicode);DbgPrint("输出字符串: %wZ \n", &str);DbgPrint("驱动加载成功 \n");Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

代码输出效果如下图所示；

2.3.2 字符串与整数转换

内核中还可实现字符串与整数之间的灵活转换，内核中提供了RtlUnicodeStringToInteger这个函数来实现字符串转整数，与之对应的RtlIntegerToUnicodeString则是将整数转为字符串这两个内核函数也是非常常用的。

通常使用RtlUnicodeStringToInteger函数来将Unicode字符串转换为整数，函数原型为：

NTSYSAPI NTSTATUS NTAPI RtlUnicodeStringToInteger(PCUNICODE_STRING   String,ULONG              Base,PULONG             Value
);

其中，String参数为输入的Unicode字符串，Base参数为进制数（通常为10进制），Value参数为输出的整数。返回值为函数执行状态，如果成功则返回STATUS_SUCCESS。

与之对应的是RtlIntegerToUnicodeString函数，用于将整数转换为Unicode字符串，函数原型为：

NTSYSAPI NTSTATUS NTAPI RtlIntegerToUnicodeString(ULONG  Value,ULONG  Base,PUNICODE_STRING  String
);

其中，Value参数为输入的整数，Base参数为进制数，String参数为输出的Unicode字符串。返回值同样为函数执行状态，如果成功则返回STATUS_SUCCESS。

#include <ntifs.h>
#include <ntstrsafe.h>VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("驱动卸载成功 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{NTSTATUS flag;ULONG number;DbgPrint("hello lyshark \n");UNICODE_STRING uncode_buffer_source = { 0 };UNICODE_STRING uncode_buffer_target = { 0 };// 字符串转为数字RtlInitUnicodeString(&uncode_buffer_source, L"100");flag = RtlUnicodeStringToInteger(&uncode_buffer_source, 10, &number);if (NT_SUCCESS(flag)){DbgPrint("字符串 -> 数字: %d \n", number);}// 数字转为字符串uncode_buffer_target.Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024);uncode_buffer_target.MaximumLength = 1024;flag = RtlIntegerToUnicodeString(number, 10, &uncode_buffer_target);if (NT_SUCCESS(flag)){DbgPrint("数字 -> 字符串: %wZ \n", &uncode_buffer_target);}// 释放堆空间RtlFreeUnicodeString(&uncode_buffer_target);DbgPrint("驱动加载成功 \n");Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

代码输出效果如下图所示；

2.3.3 字符串ANSI与UNICODE

将UNICODE_STRING结构转换成ANSI_STRING结构，代码中调用了RtlUnicodeStringToAnsiString内核函数，该函数也是微软提供的。

将UNICODE_STRING结构转换成ANSI_STRING结构的代码，核心部分可归纳为：

ANSI_STRING AnsiStr;
UNICODE_STRING UniStr;
RtlUnicodeStringToAnsiString(&AnsiStr, &UniStr, TRUE);

其中，AnsiStr是要存储转换后的ANSI字符串的结构体，UniStr是要转换的UNICODE字符串结构体，第三个参数TRUE表示要分配一个缓冲区来存储转换后的字符串。

注意，使用RtlUnicodeStringToAnsiString函数时，需要在使用完后调用RtlFreeAnsiString函数来释放所分配的缓冲区。

#include <ntifs.h>
#include <ntstrsafe.h>VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("驱动卸载成功 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("hello lyshark \n");UNICODE_STRING uncode_buffer_source = { 0 };ANSI_STRING ansi_buffer_target = { 0 };// 初始化 UNICODE 字符串RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");// 转换函数NTSTATUS flag = RtlUnicodeStringToAnsiString(&ansi_buffer_target, &uncode_buffer_source, TRUE);if (NT_SUCCESS(flag)){DbgPrint("ANSI: %Z \n", &ansi_buffer_target);}// 销毁ANSI字符串RtlFreeAnsiString(&ansi_buffer_target);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

代码输出效果如下图所示；

如果将上述过程反过来，将ANSI_STRING转换为UNICODE_STRING结构，则需要调用RtlAnsiStringToUnicodeString这个内核专用函数实现。

RtlAnsiStringToUnicodeString函数的作用是将ANSI_STRING结构体转换成UNICODE_STRING结构体，其中ANSI_STRING代表的是ANSI格式的字符串，而UNICODE_STRING代表的是Unicode格式的字符串。具体实现过程如下：

首先需要定义一个ANSI_STRING结构体变量ansiStr，并初始化其中的Buffer、MaximumLength和Length成员变量，其中Buffer成员变量指向存储ANSI格式字符串的缓冲区，MaximumLength成员变量表示该缓冲区的最大长度，Length成员变量表示该缓冲区中已经使用的长度。

接着需要定义一个UNICODE_STRING结构体变量uniStr，并初始化其中的Buffer、MaximumLength和Length成员变量，其中Buffer成员变量指向存储Unicode格式字符串的缓冲区，MaximumLength成员变量表示该缓冲区的最大长度，Length成员变量表示该缓冲区中已经使用的长度。

调用RtlAnsiStringToUnicodeString函数，传入两个参数，第一个参数为要转换的UNICODE_STRING结构体指针，第二个参数为要转换的ANSI_STRING结构体指针。函数会将ANSI_STRING中的内容转换为Unicode格式，并将结果存储在UNICODE_STRING结构体的Buffer成员变量中。

调用完成后，uniStr.Buffer中就存储了转换后的Unicode格式字符串，可以进行后续的操作。

需要注意的是，RtlAnsiStringToUnicodeString函数在使用完毕后，还需要调用RtlFreeUnicodeString函数释放内存。

#include <ntifs.h>
#include <ntstrsafe.h>VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("驱动卸载成功 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("hello lyshark \n");UNICODE_STRING uncode_buffer_source = { 0 };ANSI_STRING ansi_buffer_target = { 0 };// 初始化字符串RtlInitString(&ansi_buffer_target, "hello lyshark");// 转换函数NTSTATUS flag = RtlAnsiStringToUnicodeString(&uncode_buffer_source, &ansi_buffer_target, TRUE);if (NT_SUCCESS(flag)){DbgPrint("UNICODE: %wZ \n", &uncode_buffer_source);}// 销毁UNICODE字符串RtlFreeUnicodeString(&uncode_buffer_source);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

代码输出效果如下图所示；

如上代码是内核通用结构体之间的转换类型，有时我们还需要将各类结构体转为普通的字符类型，例如下方的两个案例：

例如将UNICODE_STRING 转为 CHAR*类型。将UNICODE_STRING转换为CHAR*类型需要先将UNICODE_STRING转换为ANSI_STRING类型，然后再将ANSI_STRING类型转换为CHAR*类型。

具体步骤可以总结为如下：

  • 1.定义ANSI_STRING和UNICODE_STRING类型的变量，分别用于存储转换前后的字符串；
  • 2.调用RtlUnicodeStringToAnsiString函数，将UNICODE_STRING转换为ANSI_STRING类型；
  • 3.定义一个CHAR*类型的变量，用于存储转换后的字符串；
  • 4.将ANSI_STRING类型转换为CHAR*类型，可以使用ANSI_STRING.Buffer指向的字符数组作为CHAR*类型的字符串。

以下是示例代码，可用于测试两者的转换模式；

#define _CRT_SECURE_NO_WARNINGS
#include <ntifs.h>
#include <windef.h>
#include <ntstrsafe.h>VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("驱动卸载成功 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("hello lyshark \n");UNICODE_STRING uncode_buffer_source = { 0 };ANSI_STRING ansi_buffer_target = { 0 };char szBuf[1024] = { 0 };// 初始化 UNICODE 字符串RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");// 转换函数NTSTATUS flag = RtlUnicodeStringToAnsiString(&ansi_buffer_target, &uncode_buffer_source, TRUE);if (NT_SUCCESS(flag)){strcpy(szBuf, ansi_buffer_target.Buffer);DbgPrint("输出char*字符串: %s \n", szBuf);}// 销毁ANSI字符串RtlFreeAnsiString(&ansi_buffer_target);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

代码输出效果如下图所示：

如果我们将上述过程反过来实现，将 CHAR*类型转为UNICODE_STRING结构此时有两种可行的方式；

第一种方式，可以通过调用 RtlCreateUnicodeStringFromAsciiz 函数来实现，该函数将 CHAR* 类型的字符串转换成 UNICODE_STRING 结构体。函数原型如下：

NTSYSAPI BOOLEAN RtlCreateUnicodeStringFromAsciiz(PUNICODE_STRING DestinationString,PCSZ            SourceString
);

函数接受两个参数，分别为目标 UNICODE_STRING 结构体指针和源字符串指针。函数内部将会动态分配内存并将转换后的 UNICODE_STRING 结构体写入到目标结构体指针所指向的内存空间中，同时返回一个布尔值表示操作是否成功。函数的具体用法如下：

CHAR* srcString = "Hello, lyshark!";
UNICODE_STRING destString;RtlCreateUnicodeStringFromAsciiz(&destString, srcString);// 对 destString 进行操作
RtlFreeUnicodeString(&destString);

需要注意的是，RtlCreateUnicodeStringFromAsciiz 函数创建的 UNICODE_STRING 结构体内存需要手动释放，否则会产生内存泄漏。可以使用 RtlFreeUnicodeString 函数来释放该内存，函数原型如下：

NTSYSAPI VOID RtlFreeUnicodeString(PUNICODE_STRING UnicodeString
);

该函数接受一个 UNICODE_STRING 结构体指针，用于指定需要释放内存的结构体。

而第二种方法则是通过中转的方式实现，首先用户可使用RtlInitString将一个CHAR*初始化为ANSI结构，然后再使用RtlAnsiStringToUnicodeString一次性完成ANSI到UNICODE的类型转换；

#define _CRT_SECURE_NO_WARNINGS
#include <ntifs.h>
#include <windef.h>
#include <ntstrsafe.h>VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("驱动卸载成功 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("hello lyshark \n");UNICODE_STRING uncode_buffer_source = { 0 };ANSI_STRING ansi_buffer_target = { 0 };// 设置CHAR*char szBuf[1024] = { 0 };strcpy(szBuf, "hello lyshark");// 初始化ANSI字符串RtlInitString(&ansi_buffer_target, szBuf);// 转换函数NTSTATUS flag = RtlAnsiStringToUnicodeString(&uncode_buffer_source, &ansi_buffer_target, TRUE);if (NT_SUCCESS(flag)){DbgPrint("UNICODE: %wZ \n", &uncode_buffer_source);}// 销毁UNICODE字符串RtlFreeUnicodeString(&uncode_buffer_source);Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

代码输出效果如下图所示：

2.3.4 字符串连接操作

字符串还可以进行连接操作，例如将两个不同变量中的字符串进行合并，以此来生成一个新的字符串，通过RtlAppendUnicodeToString这个内核函数即可实现连接。

RtlAppendUnicodeToString用于将 Unicode 字符串追加到另一个 Unicode 字符串的末尾。这个函数位于 ntdll.dll 中，可以通过 NtDll.lib 库来链接，函数的原型如下：

NTSTATUS RtlAppendUnicodeToString(PUNICODE_STRING DestinationString,PCWSTR SourceString
);

其中，DestinationString 是一个指向目标字符串的 UNICODE_STRING 结构体的指针，而 SourceString 则是一个指向源字符串的 wchar_t 类型的指针。

使用该函数可以很方便地将两个字符串连接起来，只需将第一个字符串作为 DestinationString 参数传递，第二个字符串作为 SourceString 参数传递即可。这个函数将会自动计算两个字符串的长度，并将第二个字符串的内容追加到第一个字符串的末尾。

以下是一个示例代码，将两个字符串 str1 和 str2 连接起来，并输出结果：

#include <ntifs.h>VOID UnDriver(PDRIVER_OBJECT driver)
{DbgPrint("驱动已卸载 \n");
}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{DbgPrint("hello lyshark \n");UNICODE_STRING dst;WCHAR dst_buf[256];NTSTATUS status;// 初始化字符串UNICODE_STRING src = RTL_CONSTANT_STRING(L"hello");// 字符串初始化为空串，长度为256RtlInitEmptyUnicodeString(&dst, dst_buf, 256 * sizeof(WCHAR));// 将src拷贝到dstRtlCopyUnicodeString(&dst, &src);// 在dst之后追加status = RtlAppendUnicodeToString(&dst, L" lyshark");if (status == STATUS_SUCCESS){DbgPrint("输出链接后字符串：%wZ \n", &dst);}Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;
}

最后，我们使用 DbgPrint 函数输出结果。在输出结果之前，我们需要使用 %wZ 格式化符号将 Unicode 字符串作为参数进行输出。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/171475.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Ubuntu之apt更换国内镜像源

Ubuntu之apt更换国内镜像源

一、需求说明 Ubuntu系统默认使用的是Ubuntu官网镜像源http://archive.ubuntu.com&#xff0c;网站位于境外&#xff0c;我们使用apt安装软件包的时候经常出现无法连接的情况&#xff0c;如下图所示。所以建议将系统apt安装的镜像源切换为国内镜像源。 二、更新apt镜像源步骤…
阅读更多...
五、L2TPv2 VPN

五、L2TPv2 VPN

L2TPv2 VPN 1、L2TPv2概述1.1.目的1.2.特点 2、L2TP原理2.1.基本概念2.2.工作原理2.2.1.协议架构2.2.2.报文结构2.2.3.报文封装2.2.4.报文传输 3、工作过程4、应用场景4.1、远程拨号用户发起L2TP隧道连接4.2、LAC接入拨号请求发起L2TP隧道连接4.3、LAC接入PPPoE用户发起L2TP隧道…
阅读更多...
Java版本spring cloud + spring boot企业电子招投标系统源代码

Java版本spring cloud + spring boot企业电子招投标系统源代码

项目说明 随着公司的快速发展&#xff0c;企业人员和经营规模不断壮大&#xff0c;公司对内部招采管理的提升提出了更高的要求。在企业里建立一个公平、公开、公正的采购环境&#xff0c;最大限度控制采购成本至关重要。符合国家电子招投标法律法规及相关规范&#xff0c;以及审…
阅读更多...
C++网络编程库编写自动爬虫程序

C++网络编程库编写自动爬虫程序

首先&#xff0c;我们需要使用 C 的网络编程库来编写这个爬虫程序。以下是一个简单的示例&#xff1a; #include <iostream> #include <string> #include <curl/curl.h> #include <openssl/ssl.h>const char* proxy_host "duoip"; const in…
阅读更多...
thinkphp5 连接多个服务器数据库

thinkphp5 连接多个服务器数据库

如果你的database.php 是这样&#xff0c; 这是默认的db连接配置 如果还想连接其他服务器&#xff0c;或数据库 在config.php中追加数据库配置&#xff0c; 在使用的地方调用&#xff1a; use think\Db;public function test(){$db3Db::connect(config(db3));$result $db3…
阅读更多...
简单地聊一聊Spring Boot的构架

简单地聊一聊Spring Boot的构架

本文由葡萄城技术团队发布。转载请注明出处&#xff1a;葡萄城官网&#xff0c;葡萄城为开发者提供专业的开发工具、解决方案和服务&#xff0c;赋能开发者。 前言 本文小编将详细解析Spring Boot框架&#xff0c;并通过代码举例说明每个层的作用。我们将深入探讨Spring Boot的…
阅读更多...
2023亚太杯数学建模思路 - 复盘：校园消费行为分析

2023亚太杯数学建模思路 - 复盘：校园消费行为分析

文章目录 0 赛题思路1 赛题背景2 分析目标3 数据说明4 数据预处理5 数据分析5.1 食堂就餐行为分析5.2 学生消费行为分析 建模资料 0 赛题思路 &#xff08;赛题出来以后第一时间在CSDN分享&#xff09; https://blog.csdn.net/dc_sinor?typeblog 1 赛题背景 校园一卡通是集…
阅读更多...
2.4 Windows驱动开发：内核字符串拷贝与比较

2.4 Windows驱动开发：内核字符串拷贝与比较

在上一篇文章《内核字符串转换方法》中简单介绍了内核是如何使用字符串以及字符串之间的转换方法&#xff0c;本章将继续探索字符串的拷贝与比较&#xff0c;与应用层不同内核字符串拷贝与比较也需要使用内核专用的API函数&#xff0c;字符串的拷贝往往伴随有内核内存分配&…
阅读更多...
【Orangepi Zero2 全志H616】驱动串口实现Tik Tok—VUI(语音交互)

【Orangepi Zero2 全志H616】驱动串口实现Tik Tok—VUI(语音交互)

一、编程实现语音和开发板通信 wiringpi库源码demo.c 二、基于前面串口的代码修改实现 uartTool.huartTool.cuartTest.c 三、ADB adb控制指令 四、手机接入Linux热拔插相关 a. 把手机接入开发板 b. 安装adb工具&#xff0c;在终端输入adb安装指令&#xff1a; sudo apt-g…
阅读更多...
k8s的service自动发现服务：实战版

k8s的service自动发现服务：实战版

Service服务发现的必要性: 对于kubernetes整个集群来说&#xff0c;Pod的地址也可变的&#xff0c;也就是说如果一个Pod因为某些原因退出了&#xff0c;而由于其设置了副本数replicas大于1&#xff0c;那么该Pod就会在集群的任意节点重新启动&#xff0c;这个重新启动的Pod的I…
阅读更多...
基于卷积神经网络和客源注意力机制的OD客流预测模型

基于卷积神经网络和客源注意力机制的OD客流预测模型

文章信息 论文题目为《An origin–destination passenger flow prediction system based on convolutional neural network and passenger source-based attention mechanism》&#xff0c;该文于2023年发表于Expert Systems With Applications期刊上。文章提出一种基于乘客源注…
阅读更多...
xss学习笔记

xss学习笔记

跨站脚本攻击 掌握XSS 的原理 掌握XSS 的场景 掌握XSS 的危害 掌握XSS 漏洞验证 掌握XSS 的分类跨站脚本攻击 漏洞概述 ​ 跨站点脚本&#xff08;Cross Site Scripting&#xff0c; XSS&#xff09;是指客户端代码注入攻击&#xff0c;攻击者可以在合法网站或Web 应用程…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023