Windows 10下基于kbfiltr驱动插入键盘按键事件的问题求助

可能的问题点 #

• 上下文参数不匹配：KBDClass的ServiceCallback依赖原键盘驱动传递的上下文（如KBDCLASS_DEVICE_EXTENSION、设备对象等），直接调用时若未复用这些参数，Class驱动会忽略无效上下文的事件。
• KEYBOARD_INPUT_DATA结构不规范：注入的事件结构可能存在字段缺失或错误，比如Flags未正确设置按键按下/释放状态、MakeCode未包含扩展键位标识、ExtraInformation未匹配系统要求，导致Class驱动判定事件无效。
• 调用流程与同步问题：KBDClass内部队列有严格的同步机制，若调用ServiceCallback时IRQL未处于DISPATCH_LEVEL，或未持有队列锁，事件无法被正确提交到处理流水线。

可行解决方案 #

• 复用原驱动上下文：在kbfiltr的拦截回调中，保存原键盘驱动调用ServiceCallback时的所有参数（包括Class设备对象、设备扩展等）到kbfiltr的设备扩展中，注入事件时直接复用这些参数调用原ServiceCallback。
• 对齐真实事件结构：捕获正常键盘事件的KEYBOARD_INPUT_DATA完整字段，对比注入的结构逐一修正：
  • 按下事件Flags设为0，释放事件设为KEYBOARD_KEY_RELEASE
  • 扩展键（如方向键、F键）的MakeCode需添加0xE0前缀对应的编码
  • Reserved字段需设为0，ExtraInformation匹配系统默认值
• 遵循Class驱动调用规范：确保调用ServiceCallback时IRQL处于DISPATCH_LEVEL，必要时通过KeRaiseIrql调整；若原驱动调用时持有队列锁，需同步获取该锁后再注入事件。

开源驱动参考 #

• Interception：开源的键鼠拦截与注入驱动，基于过滤驱动实现，完整支持驱动层按键拦截和事件注入，可直接参考其事件注入的上下文处理与结构填充逻辑。
• SharpHook底层驱动：虽上层为.NET封装，但底层驱动代码开源，清晰展示了如何在过滤驱动中合规注入键盘事件，适合对比你的实现差异。
• 社区增强版kbfiltr：部分开源平台上的kbfiltr修改版本，添加了事件注入功能，可直接对比其代码与你的实现，定位流程差异。

内容的提问来源于stack exchange，提问作者Nopasara