获取时间

我们需要用一个large intger 来存系统时间戳，
KeQuerySystemTime(&system_time); 获取系统时间戳
ExSystemTimeToLocalTime(&system_time,&local_time); 将系统时间戳转为本地区的时间
RtlTimeToTimeFields(&local_time,&local_time_fileds); 将本地时间转为time_fileds，年月日时间类型

  2. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegisteryPath) {
  5.     DriverObject->DriverUnload = Unload;
  7.     PCHAR string;
  8.     LARGE_INTEGER system_time = { 0 };
  9.     LARGE_INTEGER local_time = { 0 };
  10.     TIME_FIELDS   local_time_fileds = { 0 };
  12.     KeQuerySystemTime(&system_time);
  13.     ExSystemTimeToLocalTime(&system_time,&local_time);
  14.     RtlTimeToTimeFields(&local_time,&local_time_fileds);
  16.     DbgPrint("time is：%4d-%2d-%2d  %2d-%2d-%2d,\r\n",
  17.                 local_time_fileds.Year,
  18.                 local_time_fileds.Month,
  19.                 local_time_fileds.Day,
  20.                 local_time_fileds.Hour,
  21.                 local_time_fileds.Minute,
  22.                 local_time_fileds.Second);
  24.     return STATUS_SUCCESS;
  25. }

image.png

延迟函数

KeDelayExecutionThread(KernelMode,FALSE,)

  • 等待模式
  • 是否可变
  • 等待时间，可以是负值或绝对值，通常用负值来表示相对时间，单位为100纳秒 ```c

    include

    define DELAY_ONE_MICROSEC (-10) //微秒

    define DELAY_ONE_MILLISEC (DELAY_ONE_MICROSEC*1000)//毫秒

VOID Unload(IN PDRIVER_OBJECT DriverObject) { DbgPrint(“driver unload\r\n”); }

NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegisteryPath) {

  1. DriverObject->DriverUnload = Unload;
  3. PCHAR string;
  4. LARGE_INTEGER system_time = { 0 };
  5. LARGE_INTEGER local_time = { 0 };
  6. TIME_FIELDS   local_time_fileds = { 0 };
  8. LARGE_INTEGER interval = { 0 };
  9. //5秒
  10. int mytime = 5 * 1000;//
  11. interval.QuadPart = mytime*DELAY_ONE_MILLISEC ; //100nano
  12. KeDelayExecutionThread(KernelMode, FALSE, &interval);
  13. //需要一个annosecond值，我们设置一个毫秒宏
  14. DbgPrint("delay loading");
  15. return STATUS_SUCCESS;

}

  1. <a name="bKSdz"></a>
  2. # 设置计时器
  3. 使用KeSetTimer，我们还需要PDC来设置计时器<br />KeSetTimer 有3个参数：
  5. - timer
  6. - 过期时间
  7. - DPC
  9. 定时器初始化非常简单，定义一个KTIMER变量，使用KeinitializeTImer 对其初始化即可
  11. 定时器初始完后是pdc，它有3个参数：
  13. - KDPC地址
  14. - 你要运行 的函数
  15. - 给自定义的函数上下文
  17. ```c
  18. #include <ntddk.h>
  19. #define DELAY_ONE_MICROSEC (-10) 
  20. #define DELAY_ONE_MILLISEC (DELAY_ONE_MICROSEC*1000)
  23. KTIMER myTimer;
  24. KDPC myDpc;
  25. LARGE_INTEGER due;
  26. VOID Unload(IN PDRIVER_OBJECT DriverObject) {
  27.     KeCancelTimer(&myTimer);
  28.     //取消定时器
  29.     DbgPrint("driver unload\r\n");
  30. }
  33. //这个函数没有在PASS_LEVEL 中运行（绝大多数函数在此级别运行）
  34. //而是在DISPATCH_LEVEL中运行，这意味着我们不能使用分页内存
  35. VOID myDpcFunc(IN PKDPC Dpc,IN PVOID context,IN PVOID SysArgment1,IN PVOID SysArgment2 ) {
  36.     DbgPrint("timer working..\r\n");
  37.     KeSetTimer(&myTimer, due, &myDpc);
  38.     //函数执行完后重置计时器
  40. }
  42. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegisteryPath) {
  45.     DriverObject->DriverUnload = Unload;
  48.     due.QuadPart = 5000 * DELAY_ONE_MILLISEC;
  49.     //5秒延迟
  51.     KeInitializeTimer(&myTimer);
  52.     KeInitializeDpc(&myDpc,myDpcFunc,NULL);
  53.     //没有参数 context 为null
  54.     KeSetTimer(&myTimer,due,&myDpc);
  57.     return STATUS_SUCCESS;
  58. }

image.png