Снова драйвер фильтр и ошибка 0x000000CE.

[Pe]

Есть не PnP драйвер фильтр. В его диспетчерской процедуре всего стоит IoSkipCurrentIrpStackLocation и IoCallDriver.
Есть и процедура выгрузки, в ней IoDetach, ObDereference и IoDeleteDevice.
Запускается драйвер фильтр, потом запускается IRPTrace, в нем указывается устройство фильтруемого драйвера (не фильтра) , запускается программа User режима, которая обращается к устройству фильтруемого драйвера (не фильтра) .
При попытке выгрузить драйвер фильтр, когда идут IRPs к устройству фильтруемого драйвера (IRPTrace показывает, что идет) возникает ошибка 0x000000CE (DRIVER_UNLOADED_WITHOUT_CANCELLING_PENDING_OPERATIONS) и написано, что она в драйвере фильтре.

Как корректно сделать выгрузку и как сделать корректную выгрузку моего фильтра, если над моим драйвером фильтром висит еще какой - то драйвер фильтр ?

[SlavaI]

Корректная выгрузка фильтра-драйвера невозможна, а тем более если над твоим драйвером фильтром висит сидит еще кто-то! У него же указатель на объекты твоего драйвера! Сначала надо отсоединить объект, который над тобой, что может официально сделать только система если PDO решил исчезнуть, то есть о нем не сообщила при запросе BusRelation.

[Pe]

Во-первых, IRPTracer вроде не присоединяется, он работает вроде как-то по другому. Вроде не меняет адреса обработчиков отслеживаемого драйвера. Как, не знаешь, он работает ?
Во-вторых, такая же ошибка была и когда он не запускался.
В-третьих, как отсоединить объект, который над объектом моего фильтра, при выгрузке моего фильтра или как корректно убрать из stack' a устройство моего фильтра, не нарушив stack ?
Мне нужен способ, работающий на всех NT системах.

[Pe]

Может как-то поменять указатель stack' a при выгрузке устройства моего фильтра ?

[SlavaI]

у кого ты его и где менять будешь? Его во внутренних структурах хранят, формат которых тебе неизвестен это раз, второе- уже может быть инициирована посылка IRP на тебя, просто из-за планировщика не успели вызвать твою точку входа, но IoCallDriver уже вызвали, в итоге все упадет с тем же кодом. Нельзя выгружаться и все!
Как работает Irp трасер я естественно знаю, поработай немного с дебагером- и сам поймешь.
!drvobj <имя дравера> 2

[Pe]

Смотрел отлвадчиком, эта ошибка на стадии выполнения IoDeleteDevice, там что, с устройством фильтра связан IRP, а в это время происходит удаление устройства ?
SlavaI, как тогда его динамически выгружать ?
Или сделать его таким, как драйвер IRPtrace ?

[SlavaI]

Пока у тебя есть свой объект в стеке, ты удалится не можешь. Можно сделать как IrpTrace но тут тоже проблемы- а если еще кто-то так сделает? А ты выгружаться начнешь, то все упадет- у него адреса твоих точек входа, а у тебя родного драйвера и все упадет.

[Pe]

Если кто-то еще сделает, то можно попробовать поменять точки входа с моего фильтра на точки входа "родного" драйвера.
Можешь рассказать как работает IRPTrace, пока не где поставить SoftIce и нет его.
Он вроде не меняет адреса процедур.

[SlavaI]

Я не помню как точно работает IRP трасер, там два варианта
1) Он меняет адреса в DRIVER_OBJECT
2) Он использует механизм, который использует DriverVerifier- регистрирует свои ф-ции, которые вызываются вместо стандартных, так как например IoCallDriver работает через вызов ф-ции, адрес которой расположен в таблице ф-ций. Но так можно зарегистрировать только один драйвер.

[Pe]

Вроде 1  и есть 2.
Чем 1 отличается от 2 ?
В 1 случае все понятно, IoGetDeviceObjectPointer и замена адресов, что во 2 ?
Вроде IRPTracer не меняет адреса, смотрел до и после "захвата" им устройства драйвера.
И еще есть один момент, когда IRPTracer "захватил" драйвер, показал все IRPs, которые идут через него, а потом выгрузили и снова загрузили, показывается. Когда у драйвера меняют адреса обработчиков, его выгружают, а потом загружают, адреса уже другие, не те, на которые меняли.

[Pe]

Но IoCallDriver вызывает устройство.
И  если не делать attach, то как на драйвер, который должен перехватывать IRPs, они пойдут ?
Есть примеры 2 ?

[SlavaI]

Ну устройство, а устройством кто управляет? этот IoCallDriver - это будет код твоего драйвера, который сам вызовет родной IoCallDriver если надо будет. Элементарно же.

главный и основной пример пункта 2- driververifier

[Pe]

SlavaI, можешь пример кода привести, если например в диспетчерской процедуре фильтра только IoSkipCurrentIrpStackLocation и IoCallDriver ?

[SlavaI]

берешь DDK и по папке source запускаешь поиск слова IoSkipCurrentIrpStackLocation

[Pe]

SlavaI, ты не понял, пример кода ко 2 пункту, если например в диспетчерской процедуре фильтра только IoSkipCurrentIrpStackLocation и IoCallDriver.
Вообще у меня уже написана диспетчерская процедура с этими функциями.