원본 기록 — IOCTL·드라이버 통합과 최종 테스트 (2024 당시)

심볼릭 링크 사용 이유

예를 들어:

• 실제 디바이스 경로가 \Device\MyDriverDevice라면, 이 경로는 커널 내부에서만 사용될 수 있다.

• 하지만 이 경로에 심볼릭 링크 \\.\MyDriver를 설정하면, 사용자 모드 애플리케이션은 \\.\MyDriver라는 경로를 사용해 커널 드라이버와 통신할 수 있게 된다.

    if (NT_SUCCESS(status)) {
        // 심볼릭 링크 생성
        status = IoCreateSymbolicLink(&symbolicLink, &deviceName);
    }

	HANDLE hDevice = CreateFileW(L"\\\\.\\ExternalStartDriver",
		GENERIC_READ | GENERIC_WRITE,
		0, NULL, OPEN_EXISTING, 0, NULL);

디바이스 객체가 필요한 이유

이유:

• ioctl(I/O control)은 사용자 모드 프로그램이 커널 드라이버에 명령을 전달하는 표준적인 방법입니다. 이를 통해 다양한 I/O 요청을 처리할 수 있습니다.

• DeviceIoControl 또는 ioctl 호출을 통해 커널 드라이버가 I/O 요청을 처리하려면, 그 요청을 받을 디바이스 객체가 필요합니다.

• 이 디바이스 객체가 없으면, 드라이버는 I/O 요청을 받을 수 없으며, ioctl을 사용할 수 없습니다.

절차:

1. *IoCreateDevice*로 디바이스 객체를 생성해야 합니다. 이 객체가 있어야 커널 드라이버가 사용자 모드 애플리케이션의 요청을 받을 수 있습니다.

2. 그 후, 심볼릭 링크를 통해 사용자 모드 애플리케이션이 해당 디바이스 객체에 접근할 수 있도록 해야 합니다. 이 심볼릭 링크를 사용해 애플리케이션은 \\.\MyDevice 같은 경로로 커널 드라이버에 연결할 수 있습니다.

3. IRP_MJ_DEVICE_CONTROL 핸들러를 구현하여, 사용자 모드 애플리케이션에서 전달된 IOCTL 요청을 처리합니다.

결론:

즉, 여태까지는 그냥 후킹만 만들고 DGBprint만 사용하고 이러다 보니깐 상관이 없었는데 이번에는 진짜 객체가 필요했던 것

   NTSTATUS status = IoCreateDevice(
        DriverObject,                // 드라이버 오브젝트
        0,                           // 장치 확장 크기 (없음)
        &deviceName,                 // 장치 이름
        FILE_DEVICE_UNKNOWN,         // 장치 타입
        0,                           // 특성 없음
        FALSE,                       // 익스클루시브 사용 (FALSE = 공유 가능)
        &DeviceObject                // 생성된 장치 객체 반환
    );

BLUEPRIINT

첫번째 부분 구현 성공

BOOL WaitforPALSTART () {

	DWORD bytesReturned = NULL;
	HANDLE hDevice = CreateFileW(L"\\\\.\\TestDriver",
		GENERIC_READ | GENERIC_WRITE,
		0, NULL, OPEN_EXISTING, 0, NULL);

	if (hDevice == INVALID_HANDLE_VALUE) {
		printf("[ERROR : PalGuard] 보안 모듈 탐색 실패 Palworld를 종료합니다. \n");
		// 커널 드라이버로 게임 종료 코드를 보냄 
	}
	BOOL PALSTART = FALSE;

	BOOL result = DeviceIoControl(hDevice,
		IOCTL_RECEIVE_STARTPAL,
		NULL, 0,
		&PALSTART, sizeof(PALSTART),
		&bytesReturned,
		NULL);

	if (result) {
		if (PALSTART) {
			printf("[INF : PalGuard] PAL 시작 확인...\n");
			return TRUE;
		}
		else {
			return FALSE;
		}
	}
	else {
		printf("[ERROR : PalGuard] 시스템 정보 확인 실패 에러코드 : 0x0001\n");
		return 1;
	}


	CloseHandle(hDevice);
	return FALSE;

}

	while (!WaitforPALSTART()) {
		printf("[INF : PalGuard] Pal 시작을 기다리는 중...\n");
		Sleep(5000);
	}


	printf("와 발견띠\n");

    if (controlCode == IOCTL_RECEIVE_STARTPAL) {
        // 유저 모드로부터 문자열을 받음


        
        if (stack->Parameters.DeviceIoControl.OutputBufferLength >= sizeof(BOOLEAN)) {
            RtlCopyMemory(Irp->AssociatedIrp.SystemBuffer, &PALSTART, sizeof(BOOLEAN));  // 유저 모드로 전송
            Irp->IoStatus.Information = sizeof(BOOLEAN);
            Irp->IoStatus.Status = STATUS_SUCCESS;
        }
        else {
            Irp->IoStatus.Status = STATUS_BUFFER_TOO_SMALL;  // 버퍼가 작으면 오류
        }
     
   
    }

막간을 이용한 윈도우 어휘 정리

• P: Pointer (포인터)

• C: Constant (읽기 전용)

• W: Wide character (2바이트 유니코드 문자)

• STR: String (문자열)

크래시가 발생했다.

FAULTING_SOURCE_LINE:  C:\repos\ExternalAnticheat\ExternalAnticheat\Driver.c

FAULTING_SOURCE_FILE:  C:\repos\ExternalAnticheat\ExternalAnticheat\Driver.c

FAULTING_SOURCE_LINE_NUMBER:  122

FAULTING_SOURCE_CODE:  
   118: 
   119: 
   120: 
   121: BOOLEAN IsInSystem32Directory(PUNICODE_STRING processName) {
>  122: 	if (RtlPrefixUnicodeString(&SYSTEM32_PATH, processName, TRUE)) {
   123: 		return TRUE;
   124: 	}
   125: 	return FALSE;
   126: }
   127: 


SYMBOL_NAME:  ExternalAnticheat!IsInSystem32Directory+17

MODULE_NAME: ExternalAnticheat

IMAGE_NAME:  ExternalAnticheat.sys

STACK_COMMAND:  .process /r /p 0xffffb70547142280; .thread 0xffffb70547330080 ; kb

BUCKET_ID_FUNC_OFFSET:  17

FAILURE_BUCKET_ID:  AV_R_(null)_ExternalAnticheat!IsInSystem32Directory

OS_VERSION:  10.0.19041.1

BUILDLAB_STR:  vb_release

OSPLATFORM_TYPE:  x64

OSNAME:  Windows 10

FAILURE_ID_HASH:  {92bcb921-c30f-5b69-2128-85b786132cd0}

Followup:     MachineOwner
---------

추가적인 부분 구현 성공

if (controlCode == IOCTL_SEND_CDRIVER_NAME) {
		// 유저 모드로부터 문자열을 받음
		char* Cdriver = (char*)Irp->AssociatedIrp.SystemBuffer;
		DbgPrint("[INF : DRIVER] C드라이브 NT Device Name : %s\n", Cdriver);
		WCHAR unicodeString[256];
		ULONG unicodeStringLength = 0;
		RtlMultiByteToUnicodeN(
			unicodeString,                 // 출력 유니코드 버퍼
			sizeof(unicodeString),          // 출력 버퍼 크기 (바이트 단위)
			&unicodeStringLength,           // 변환된 유니코드 문자열 크기
			Cdriver,                    // 입력 ANSI 문자열
			(ULONG)strlen(Cdriver)              // 입력 문자열 길이
		);

		WCHAR system32path[PATHNUM] = L"Windows\\System32\0";
		// 변환된 유니코드 문자열 끝에 널 종료 문자 추가
		if (unicodeStringLength < 256) {
			int B = unicodeStringLength / sizeof(WCHAR);
			unicodeString[B] = L'\\';
			B++;
			int A = 0;
			while (A < PATHNUM) {
				unicodeString[B] = system32path[A++];
				B++;
			}
		}
		else {
			unicodeString[255] = L'\0';  // 문자열이 꽉 차 있는 경우 마지막에 널 종료 문자 추가
		}

		DbgPrint("[INF : DRIVER] C드라이브 NT Device Name : %ls\n", unicodeString);


		SetSystem32Path(unicodeString);
		BOOLEAN FLAG_ = TRUE;
		if (stack->Parameters.DeviceIoControl.OutputBufferLength >= sizeof(BOOLEAN)) {
			RtlCopyMemory(Irp->AssociatedIrp.SystemBuffer, &FLAG_, sizeof(BOOLEAN));
			Irp->IoStatus.Status = STATUS_SUCCESS;
			Irp->IoStatus.Information = sizeof(BOOLEAN);
		}
		else {
			Irp->IoStatus.Status = STATUS_BUFFER_TOO_SMALL;  // 버퍼가 작으면 오류
		}

최종 구현 성공

PalGuard.exe 의 역할