通过

irqlZwPassive rule (wdm)

  • 项目

IrqlZwPassive 规则指定驱动程序仅在 IRQL = PASSIVE_LEVEL 执行时才调用 ZwClose。

驱动程序模型：WDM

通过以下规则找到的 bug 检查 () ：Bug 检查0xC4：DRIVER_VERIFIER_DETECTED_VIOLATION (0x2001F)

示例

以下代码违反了此规则：

NTSTATUS 
DriverCloseResources (
    _In_ PDRIVER_CONTEXT Context
    )
{
    …

    NT_ASSERT(KeGetCurrentIrql() == PASSIVE_LEVEL);

    //
    // ExAcquireFastMutex sets the IRQL to APC_LEVEL, and the caller continues 
    // to run at APC_LEVEL after ExAcquireFastMutex returns.
    //
  
    ExAcquireFastMutex(&Context->FastMutex);
    
    ....
    
    if (NULL != Context->Handle) {

            //
            // RULE VIOLATION! - ZwClose can be called only at PASSIVE_LEVEL 
            //
            
            ZwClose(Context->Handle);      
            Context->Handle = NULL;
    }
    
    ....

    //
    // N.B. ExReleaseFastMutex restores the original IRQL.
    //
     
    ExReleaseFastMutex(&Context->FastMutex);
    
    ....
}

如何测试

编译时

运行 静态驱动程序验证程序 并指定 IrqlZwPassive 规则。

使用以下步骤运行代码分析：
  1. 准备代码 (使用角色类型声明) 。
  2. 运行静态驱动程序验证程序。
  3. 查看和分析结果。

有关详细信息，请参阅 使用静态驱动程序验证程序查找驱动程序中的缺陷。
运行时

运行 驱动程序验证程序 并选择 DDI 符合性检查 选项。

适用于

ZwCloseZwCreateKeyZwDeleteKeyZwEnumerateKeyZwEnumerateValueKeyZwFlushKeyZwOpenKeyZwQueryKeyZwQueryValueKeyZwSetValueKey