驱动开发：内核字符串转换方法

在内核编程中字符串有两种格式ANSI_STRING与UNICODE_STRING，这两种格式是微软推出的安全版本的字符串结构体，也是微软推荐使用的格式，通常情况下ANSI_STRING代表的类型是char *也就是ANSI多字节模式的字符串，而UNICODE_STRING则代表的是wchar*也就是UNCODE类型的字符，如下文章将介绍这两种字符格式在内核中是如何转换的。
在内核开发模式下初始化字符串也需要调用专用的初始化函数，如下分别初始化ANSI和UNCODE字符串，我们来看看代码是如何实现的。

1. #include <ntifs.h>
2. #include <ntstrsafe.h>
4. VOID UnDriver(PDRIVER_OBJECT driver)
5. {
6.         DbgPrint("驱动卸载成功 \n");
7. }
9. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
10. {
11.         // 定义内核字符串
12.         ANSI_STRING ansi;
13.         UNICODE_STRING unicode;
14.         UNICODE_STRING str;
16.         // 定义普通字符串
17.         char * char_string = "hello lyshark";
18.         wchar_t *wchar_string = (WCHAR*)"hello lyshark";
20.         // 初始化字符串的多种方式
21.         RtlInitAnsiString(&ansi, char_string);
22.         RtlInitUnicodeString(&unicode, wchar_string);
23.         RtlUnicodeStringInit(&str, L"hello lyshark");
25.         // 改变原始字符串
26.         char_string[0] = (CHAR)"A";         // char类型每个占用1字节
27.         char_string[1] = (CHAR)"B";
29.         wchar_string[0] = (WCHAR)"A";        // wchar类型每个占用2字节
30.         wchar_string[2] = (WCHAR)"B";
32.         // 输出字符串 %Z
33.         DbgPrint("输出ANSI: %Z \n", &ansi);
34.         DbgPrint("输出WCHAR: %Z \n", &unicode);
35.         DbgPrint("输出字符串: %wZ \n", &str);
37.         DbgPrint("驱动加载成功 \n");
38.         Driver->DriverUnload = UnDriver;
39.         return STATUS_SUCCESS;
40. }

复制代码

代码输出效果：

内核中还可实现字符串与整数之间的灵活转换，内核中提供了RtlUnicodeStringToInteger这个函数来实现字符串转整数，与之对应的RtlIntegerToUnicodeString则是将整数转为字符串这两个内核函数也是非常常用的。

1. #include <ntifs.h>
2. #include <ntstrsafe.h>
4. VOID UnDriver(PDRIVER_OBJECT driver)
5. {
6.   DbgPrint("驱动卸载成功 \n");
7. }
9. // Power: lyshark
10. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
11. {
12.   NTSTATUS flag;
13.   ULONG number;
15.   DbgPrint("hello lyshark \n");
17.   UNICODE_STRING uncode_buffer_source = { 0 };
18.   UNICODE_STRING uncode_buffer_target = { 0 };
20.   // 字符串转为数字
21.   // By：LyShark
22.   RtlInitUnicodeString(&uncode_buffer_source, L"100");
23.   flag = RtlUnicodeStringToInteger(&uncode_buffer_source, 10, &number);
25.   if (NT_SUCCESS(flag))
26.   {
27.     DbgPrint("字符串 -> 数字: %d \n", number);
28.   }
30.   // 数字转为字符串
31.   uncode_buffer_target.Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024);
32.   uncode_buffer_target.MaximumLength = 1024;
34.   flag = RtlIntegerToUnicodeString(number, 10, &uncode_buffer_target);
36.   if (NT_SUCCESS(flag))
37.   {
38.     DbgPrint("数字 -> 字符串: %wZ \n", &uncode_buffer_target);
39.   }
41.   // 释放堆空间
42.   RtlFreeUnicodeString(&uncode_buffer_target);
44.   DbgPrint("驱动加载成功 \n");
45.   Driver->DriverUnload = UnDriver;
46.   return STATUS_SUCCESS;
47. }

复制代码

代码输出效果：

继续看另一种转换模式，将UNICODE_STRING结构转换成ANSI_STRING结构，代码中调用了RtlUnicodeStringToAnsiString内核函数，该函数也是微软提供的。

1. #include <ntifs.h>
2. #include <ntstrsafe.h>
4. VOID UnDriver(PDRIVER_OBJECT driver)
5. {
6.         DbgPrint("驱动卸载成功 \n");
7. }
9. // Power: lyshark
10. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
11. {
12.         DbgPrint("hello lyshark \n");
14.         UNICODE_STRING uncode_buffer_source = { 0 };
15.         ANSI_STRING ansi_buffer_target = { 0 };
17.         // 初始化 UNICODE 字符串
18.         RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");
20.         // 转换函数
21.         NTSTATUS flag = RtlUnicodeStringToAnsiString(&ansi_buffer_target, &uncode_buffer_source, TRUE);
23.         if (NT_SUCCESS(flag))
24.         {
25.                 DbgPrint("ANSI: %Z \n", &ansi_buffer_target);
26.         }
28.         // 销毁ANSI字符串
29.         RtlFreeAnsiString(&ansi_buffer_target);
31.         DbgPrint("驱动加载成功 \n");
32.         Driver->DriverUnload = UnDriver;
33.         return STATUS_SUCCESS;
34. }

复制代码

代码输出效果：

如果将上述过程反过来，将ANSI_STRING转换为UNICODE_STRING结构，则需要调用RtlAnsiStringToUnicodeString这个内核专用函数实现。

1. #include <ntifs.h>
2. #include <ntstrsafe.h>
4. VOID UnDriver(PDRIVER_OBJECT driver)
5. {
6.         DbgPrint("驱动卸载成功 \n");
7. }
9. // Power: lyshark
10. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
11. {
12.         DbgPrint("hello lyshark \n");
14.         UNICODE_STRING uncode_buffer_source = { 0 };
15.         ANSI_STRING ansi_buffer_target = { 0 };
17.         // 初始化字符串
18.         RtlInitString(&ansi_buffer_target, "hello lyshark");
20.         // 转换函数
21.         NTSTATUS flag = RtlAnsiStringToUnicodeString(&uncode_buffer_source, &ansi_buffer_target, TRUE);
22.         if (NT_SUCCESS(flag))
23.         {
24.                 DbgPrint("UNICODE: %wZ \n", &uncode_buffer_source);
25.         }
27.         // 销毁UNICODE字符串
28.         RtlFreeUnicodeString(&uncode_buffer_source);
30.         DbgPrint("驱动加载成功 \n");
31.         Driver->DriverUnload = UnDriver;
32.         return STATUS_SUCCESS;
33. }

复制代码

代码输出效果：

如上代码是内核通用结构体之间的转换类型，又是还需要将各类结构体转为普通的字符类型，例如下方的两个案例：
例如将UNICODE_STRING 转为 CHAR*类型。

1. #define _CRT_SECURE_NO_WARNINGS
2. #include <ntifs.h>
3. #include <windef.h>
4. #include <ntstrsafe.h>
6. VOID UnDriver(PDRIVER_OBJECT driver)
7. {
8.         DbgPrint("驱动卸载成功 \n");
9. }
11. // powerBY: LyShark
12. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
13. {
14.         DbgPrint("hello lyshark \n");
16.         UNICODE_STRING uncode_buffer_source = { 0 };
17.         ANSI_STRING ansi_buffer_target = { 0 };
18.         char szBuf[1024] = { 0 };
20.         // 初始化 UNICODE 字符串
21.         RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");
23.         // 转换函数
24.         NTSTATUS flag = RtlUnicodeStringToAnsiString(&ansi_buffer_target, &uncode_buffer_source, TRUE);
26.         if (NT_SUCCESS(flag))
27.         {
28.                 strcpy(szBuf, ansi_buffer_target.Buffer);
29.                 DbgPrint("输出char*字符串: %s \n", szBuf);
30.         }
32.         // 销毁ANSI字符串
33.         RtlFreeAnsiString(&ansi_buffer_target);
35.         DbgPrint("驱动加载成功 \n");
36.         Driver->DriverUnload = UnDriver;
37.         return STATUS_SUCCESS;
38. }

复制代码

代码输出效果：

如果反过来，将 CHAR*类型转为UNICODE_STRING结构呢，可以进行中转最终转为UNICODE_STRING结构体。

1. #define _CRT_SECURE_NO_WARNINGS
2. #include <ntifs.h>
3. #include <windef.h>
4. #include <ntstrsafe.h>
6. VOID UnDriver(PDRIVER_OBJECT driver)
7. {
8.         DbgPrint("驱动卸载成功 \n");
9. }
11. // powerBY: LyShark
12. NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
13. {
14.         DbgPrint("hello lyshark \n");
16.         UNICODE_STRING uncode_buffer_source = { 0 };
17.         ANSI_STRING ansi_buffer_target = { 0 };
19.         // 设置CHAR*
20.         char szBuf[1024] = { 0 };
21.         strcpy(szBuf, "hello lyshark");
23.         // 初始化ANSI字符串
24.         RtlInitString(&ansi_buffer_target, szBuf);
26.         // 转换函数
27.         NTSTATUS flag = RtlAnsiStringToUnicodeString(&uncode_buffer_source, &ansi_buffer_target, TRUE);
28.         if (NT_SUCCESS(flag))
29.         {
30.                 DbgPrint("UNICODE: %wZ \n", &uncode_buffer_source);
31.         }
33.         // 销毁UNICODE字符串
34.         RtlFreeUnicodeString(&uncode_buffer_source);
36.         DbgPrint("驱动加载成功 \n");
37.         Driver->DriverUnload = UnDriver;
38.         return STATUS_SUCCESS;
39. }

复制代码

代码输出效果：


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！