Ring0创建事件Ring3设置事件

同步事件(synchronizationEvent)
当事件对象为激发时，如遇到KeWaitForXX等内核函数，事件对象则自动变回未激发态
通知事件(NotificationEvent)
当事件对象为激发时，如遇到KeWaitForXX等内核函数，事件对象则不会自动变回未激发态

Ring0(创建事件).h

#include <ntifs.h>


#define EVENT_NAME L"\BaseNamedObjects\Ring0KernelEvent"

VOID DriverUnload(PDRIVER_OBJECT DriverObject);

Ring0(创建事件).c

#include "Ring0(创建事件).h"


PKEVENT __Event;
PKEVENT __EventHandle;

NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegisterPath)
{
    NTSTATUS Status = STATUS_SUCCESS;
    PDEVICE_OBJECT  DeviceObject = NULL;
    UNICODE_STRING EventName;

    DbgPrint("DriverEntry()
");
    DriverObject->DriverUnload = DriverUnload;
    
    RtlInitUnicodeString(&EventName, EVENT_NAME);

    __Event = IoCreateNotificationEvent(
        &EventName,//指向一个以NULL结尾的UNICODE字符串，该字符串包含事件的名称
        &__EventHandle//指向一个地址，该地址存储了事件对象的句柄，
    );//创建或者打开一个命名的通知事件用于通知一个或多个线程一个事件已经发生.
    /*
    如果不存在，则创建并打开，并设置事件为有信号状态，如果已存在，则打开
    当事件处于有信号状态时，它会一直保持，直到被明确的清除
    通知事件，像同步事件一样，被用于同步，但是又不像同步事件，通知事件不是自动重置的
    一旦通知事件处于有信号状态，会一直保持，直到被明确重设（通过调用KeClearEvent or KeResetEvent）
    */


    return Status;
}


VOID DriverUnload(PDRIVER_OBJECT DriverObject)
{
    DbgPrint("DriverUnload()
");

    if (__EventHandle != NULL)
    {
        KeClearEvent(__Event);

        ZwClose(__EventHandle);

        __EventHandle = NULL;
        __Event = NULL;
    }

}

RIng3(设置事件).cpp

// RIng3(设置事件).cpp : 定义控制台应用程序的入口点。
//

#include "stdafx.h"
#include <windows.h>
#include <iostream>

using namespace std;

int main()
{
    HANDLE EventHandle = NULL;
    while (1)
    {
        EventHandle = OpenEvent(
            SYNCHRONIZE, //同步  The right to use the object for synchronization. This enables a thread to wait until the object is in the signaled state.
            FALSE, 
            L"Global\Ring0KernelEvent"
        );

        if (EventHandle == NULL)
        {
            continue;
        }
        break;

    }
    cout << "Ring3的等待" << endl;
    while (1)
    {
        int Index = WaitForSingleObject(EventHandle, 3000);
        
        Index -= WAIT_OBJECT_0;

        if (Index == WAIT_TIMEOUT)
        {

            //注意:
            //这里当驱动卸载并关闭事件时事件对象是不能够得到及时的销毁 因为应用层占用了该对象 
            //所以我们长时间等待不到授信 就关闭并重新打开
            
            if (EventHandle != NULL)
            {
                CloseHandle(EventHandle);
                EventHandle = NULL;
                EventHandle = OpenEvent(
                    SYNCHRONIZE, 
                    FALSE, 
                    L"Global\Ring0KernelEvent"
                );

                if (EventHandle == NULL)
                {
                    cout << "对象已经不存在" << endl;
                    break;
                }
            }
            continue;
        }

        if (Index == 0)
        {
            cout << "Ring0触发Ring3" << endl;
        }


        if (Index == WAIT_FAILED)
        {
            break;
        }

        Sleep(1);



    }

    cout << "Input AnyKey To Exit" << endl;

    getchar();

    if (EventHandle != NULL)
    {
        CloseHandle(EventHandle);
        EventHandle = NULL;

    }
    return 0;
}