Windows文件过滤驱动内核发路径至用户态接收显示为空问题排查

内核端排查要点 #

• 确保内核与用户态的消息结构体定义完全一致：包括成员类型、顺序、字节对齐规则，比如双方都要使用系统标准的UNICODE_STRING定义，不能一方自定义结构体导致解析错位。
• 验证FltSendMessage的调用结果：调用后必须检查返回值是否为STATUS_SUCCESS，排查是否因用户态连接断开、端口权限不足等导致消息发送失败。
• 确认GetFullPath的实际输出：在内核中用DbgPrint打印获取到的路径，比如DbgPrint("Kernel path: %wZ\n", &fullPath);，确保函数确实返回了有效的Unicode路径字符串。
• 检查消息缓冲区的内存处理：
  • 不能直接将内核态的UNICODE_STRING指针发送给用户态（用户态无法访问内核内存），必须将路径字符串内容复制到用户态可访问的缓冲区（比如用FltAllocatePoolWithTag分配非分页池，再通过RtlCopyUnicodeString复制路径）。
  • 发送时BufferLength参数要设置为实际数据的总长度（包括UNICODE_STRING结构体本身和字符串缓冲区的大小）。

用户态排查要点 #

• 检查FilterGetMessage的返回值：如果返回STATUS_BUFFER_TOO_SMALL，说明接收缓冲区大小不足，需要扩容后重新调用接收函数。
• 初始化接收缓冲区：接收消息的UNICODE_STRING或缓冲区必须提前初始化（比如UNICODE_STRING msg = {0};），避免读取未初始化的内存导致异常输出。
• 修正printf的格式错误：
  • 内核传递的是Unicode字符串，不能用%s（对应ANSI字符串）解析，否则会因编码不匹配显示为空。
  • 正确格式为printf("message is: %wZ\n", &msg);，或者将Unicode字符串转换为ANSI后用%s输出（比如用WideCharToMultiByte）。
• 确认通信端口连接状态：FilterConnectCommunicationPort调用后必须检查返回值是否为ERROR_SUCCESS，避免在未建立有效连接的情况下尝试接收消息。

内容的提问来源于stack exchange，提问作者Sophia