驅動開發：內核字元串轉換方法

• 2022 年 9 月 28 日
• 筆記
• Windows 內核驅動開發, Windows 驅動開發

在內核編程中字元串有兩種格式ANSI_STRING與UNICODE_STRING，這兩種格式是微軟推出的安全版本的字元串結構體，也是微軟推薦使用的格式，通常情況下ANSI_STRING代表的類型是char *也就是ANSI多位元組模式的字元串，而UNICODE_STRING則代表的是wchar*也就是UNCODE類型的字元，如下文章將介紹這兩種字元格式在內核中是如何轉換的。

在內核開發模式下初始化字元串也需要調用專用的初始化函數，如下分別初始化ANSI和UNCODE字元串，我們來看看程式碼是如何實現的。

#include <ntifs.h>
#include <ntstrsafe.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動卸載成功 \n");
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	// 定義內核字元串
	ANSI_STRING ansi;
	UNICODE_STRING unicode;
	UNICODE_STRING str;

	// 定義普通字元串
	char * char_string = "hello lyshark";
	wchar_t *wchar_string = (WCHAR*)"hello lyshark";

	// 初始化字元串的多種方式
	RtlInitAnsiString(&ansi, char_string);
	RtlInitUnicodeString(&unicode, wchar_string);
	RtlUnicodeStringInit(&str, L"hello lyshark");

	// 改變原始字元串
	char_string[0] = (CHAR)"A";         // char類型每個佔用1位元組
	char_string[1] = (CHAR)"B";

	wchar_string[0] = (WCHAR)"A";        // wchar類型每個佔用2位元組
	wchar_string[2] = (WCHAR)"B";

	// 輸出字元串 %Z
	DbgPrint("輸出ANSI: %Z \n", &ansi);
	DbgPrint("輸出WCHAR: %Z \n", &unicode);
	DbgPrint("輸出字元串: %wZ \n", &str);

	DbgPrint("驅動載入成功 \n");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

程式碼輸出效果：

內核中還可實現字元串與整數之間的靈活轉換，內核中提供了RtlUnicodeStringToInteger這個函數來實現字元串轉整數，與之對應的RtlIntegerToUnicodeString則是將整數轉為字元串這兩個內核函數也是非常常用的。

#include <ntifs.h>
#include <ntstrsafe.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
  DbgPrint("驅動卸載成功 \n");
}

// Power: lyshark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
  NTSTATUS flag;
  ULONG number;

  DbgPrint("hello lyshark \n");

  UNICODE_STRING uncode_buffer_source = { 0 };
  UNICODE_STRING uncode_buffer_target = { 0 };

  // 字元串轉為數字
  // By：LyShark
  RtlInitUnicodeString(&uncode_buffer_source, L"100");
  flag = RtlUnicodeStringToInteger(&uncode_buffer_source, 10, &number);

  if (NT_SUCCESS(flag))
  {
    DbgPrint("字元串 -> 數字: %d \n", number);
  }

  // 數字轉為字元串
  uncode_buffer_target.Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024);
  uncode_buffer_target.MaximumLength = 1024;

  flag = RtlIntegerToUnicodeString(number, 10, &uncode_buffer_target);

  if (NT_SUCCESS(flag))
  {
    DbgPrint("數字 -> 字元串: %wZ \n", &uncode_buffer_target);
  }

  // 釋放堆空間
  RtlFreeUnicodeString(&uncode_buffer_target);

  DbgPrint("驅動載入成功 \n");
  Driver->DriverUnload = UnDriver;
  return STATUS_SUCCESS;
}

程式碼輸出效果：

繼續看另一種轉換模式，將UNICODE_STRING結構轉換成ANSI_STRING結構，程式碼中調用了RtlUnicodeStringToAnsiString內核函數，該函數也是微軟提供的。

#include <ntifs.h>
#include <ntstrsafe.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動卸載成功 \n");
}

// Power: lyshark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	ANSI_STRING ansi_buffer_target = { 0 };

	// 初始化 UNICODE 字元串
	RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");

	// 轉換函數
	NTSTATUS flag = RtlUnicodeStringToAnsiString(&ansi_buffer_target, &uncode_buffer_source, TRUE);

	if (NT_SUCCESS(flag))
	{
		DbgPrint("ANSI: %Z \n", &ansi_buffer_target);
	}

	// 銷毀ANSI字元串
	RtlFreeAnsiString(&ansi_buffer_target);

	DbgPrint("驅動載入成功 \n");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

程式碼輸出效果：

如果將上述過程反過來，將ANSI_STRING轉換為UNICODE_STRING結構，則需要調用RtlAnsiStringToUnicodeString這個內核專用函數實現。

#include <ntifs.h>
#include <ntstrsafe.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動卸載成功 \n");
}

// Power: lyshark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	ANSI_STRING ansi_buffer_target = { 0 };

	// 初始化字元串
	RtlInitString(&ansi_buffer_target, "hello lyshark");

	// 轉換函數
	NTSTATUS flag = RtlAnsiStringToUnicodeString(&uncode_buffer_source, &ansi_buffer_target, TRUE);
	if (NT_SUCCESS(flag))
	{
		DbgPrint("UNICODE: %wZ \n", &uncode_buffer_source);
	}

	// 銷毀UNICODE字元串
	RtlFreeUnicodeString(&uncode_buffer_source);

	DbgPrint("驅動載入成功 \n");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

程式碼輸出效果：

如上程式碼是內核通用結構體之間的轉換類型，又是還需要將各類結構體轉為普通的字元類型，例如下方的兩個案例：

例如將UNICODE_STRING 轉為 CHAR*類型。

#define _CRT_SECURE_NO_WARNINGS
#include <ntifs.h>
#include <windef.h>
#include <ntstrsafe.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動卸載成功 \n");
}

// powerBY: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	ANSI_STRING ansi_buffer_target = { 0 };
	char szBuf[1024] = { 0 };

	// 初始化 UNICODE 字元串
	RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");

	// 轉換函數
	NTSTATUS flag = RtlUnicodeStringToAnsiString(&ansi_buffer_target, &uncode_buffer_source, TRUE);

	if (NT_SUCCESS(flag))
	{
		strcpy(szBuf, ansi_buffer_target.Buffer);
		DbgPrint("輸出char*字元串: %s \n", szBuf);
	}

	// 銷毀ANSI字元串
	RtlFreeAnsiString(&ansi_buffer_target);

	DbgPrint("驅動載入成功 \n");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

程式碼輸出效果：

如果反過來，將 CHAR*類型轉為UNICODE_STRING結構呢，可以進行中轉最終轉為UNICODE_STRING結構體。

#define _CRT_SECURE_NO_WARNINGS
#include <ntifs.h>
#include <windef.h>
#include <ntstrsafe.h>

VOID UnDriver(PDRIVER_OBJECT driver)
{
	DbgPrint("驅動卸載成功 \n");
}

// powerBY: LyShark
NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
	DbgPrint("hello lyshark \n");

	UNICODE_STRING uncode_buffer_source = { 0 };
	ANSI_STRING ansi_buffer_target = { 0 };

	// 設置CHAR*
	char szBuf[1024] = { 0 };
	strcpy(szBuf, "hello lyshark");

	// 初始化ANSI字元串
	RtlInitString(&ansi_buffer_target, szBuf);

	// 轉換函數
	NTSTATUS flag = RtlAnsiStringToUnicodeString(&uncode_buffer_source, &ansi_buffer_target, TRUE);
	if (NT_SUCCESS(flag))
	{
		DbgPrint("UNICODE: %wZ \n", &uncode_buffer_source);
	}

	// 銷毀UNICODE字元串
	RtlFreeUnicodeString(&uncode_buffer_source);

	DbgPrint("驅動載入成功 \n");
	Driver->DriverUnload = UnDriver;
	return STATUS_SUCCESS;
}

程式碼輸出效果：