从内核驱动程序中按名称获取 Windows NT 内核对象

Question

我是 Windows 内核编程的新手。我想知道如何转换给定的 NT 内核命名空间（如 \Device\HarddiskVolume1）中的路径到内核对象以供进一步使用，如果可能的话。如果不同对象类型有单独的函数，我只需要硬盘卷的函数。

换句话说，有没有类似的东西：

ObGetObjectByName(wchar_t *name)

我听说有（未记录的）方法可以从用户空间浏览 NT 内核命名空间，例如 WinObj 实用程序使用的方法。我需要的是从内核驱动程序中访问硬盘对象。

Answer 1

@RbMm 基本上已经在 cmets 中回答了你的问题，但我还是把它放在这里作为答案。

一般来说，你想要打开一个对象来获取一个句柄或者一个对象指针。取决于对象和上下文的类型会影响你应该怎么做。对于文件，IoCreateFile[Ex]、NtOpenFile 或ZwOpenFile、ZwCreateFile、NtCreateFile 是@RbMm 提到的示例，还有FltCreateFile 用于微型过滤器驱动程序。

对于注册表项，您具有ZwCreateKey 或ZwOpenKey 等函数。通用且未记录的ObOpenObjectByName 可以打开大多数类型的对象，但您确实需要指定对象类型以防止获取指针对一些不符合你期望的事情。有关这些对象类型的更多信息，请参阅 ObOpenObjectPointer。

Answer 2

我最初寻找的是获取一个可以发送 IRP 的设备对象（通过 IoCallDriver()）。我发现 IoGetDeviceObjectPointer() 可以满足我的需要，但是它需要通过 IoGetDeviceObjectPointer 引用返回的 FileObject，该引用设置在 IRP 的下一个堆栈位置（由 IoGetNextIrpStackLocation() 返回）（请参阅Using IRPs for I/O on device object returned by IoGetDeviceObjectPointer()）。感谢大家的帮助。