简介这份资源是面向Windows底层驱动开发学习者的WDM鼠标驱动源代码包适合已具备C/C基础、希望理解设备驱动模型与HID设备交互机制的开发者参考。压缩包共13个文件约12KB以4个h头文件、2个cpp实现文件为主另有rc资源脚本、makefile与sources构建配置、dsp/dsw工程文件、def导出定义及inf安装信息文件覆盖从接口声明、核心逻辑到工程构建与驱动安装的完整环节。源代码围绕设备初始化、IRP请求处理、HID协议解析与设备枚举加载等关键流程展开可帮助读者理清函数驱动与筛选器驱动的分工掌握驱动与硬件通信及向系统传递数据的方式。目前已有922人学习下载对于想通过实例理解WDM架构、积累驱动调试与定制经验的开发者具有较高参考价值。1. 鼠标驱动程序源代码与 WDM 开发从一份 zip 到能跑的最小驱动很多人第一次拿到「鼠标驱动程序源代码windows下WDM开发.zip」这类压缩包时会下意识以为里面是一份能直接编译、装上就能让鼠标动起来的完整工程。实际打开后往往只有几个.c、.h、.inf和一份.vcxproj甚至只有零散的源码片段。这不是坑而是 WDM 驱动开发的常态——它本来就是一套需要你自己搭环境、配签名、调 IRP 的底层工程。WDMWindows Driver Model是微软在 Win98 到 Win10 时代主推的驱动框架鼠标这类 HID 设备驱动、过滤驱动、功能驱动都能用它写。这份源码真正能帮到你的是让你看清一个鼠标驱动从 DriverEntry、AddDevice 到 IRP_MJ_READ 的完整骨架而不是给你一个成品。适合谁适合已经会写 C、懂点内核对象、想搞明白鼠标数据怎么从硬件进到系统的那批人。如果你只是想改个鼠标灯效那这份源码会让你失望但如果你想做输入设备过滤、按键重映射、宏录制这类底层活儿它就是绕不开的起点。2. WDM 鼠标驱动的骨架DriverEntry、AddDevice 与设备栈2.1 为什么鼠标驱动要挂在设备栈上而不是自己造轮子Windows 的输入设备走的是分层驱动模型。一个物理鼠标插上后系统会依次加载总线驱动USB 或 i8042、HID 类驱动、以及可能的过滤驱动。你拿到的这份 WDM 源码通常是一个过滤驱动或功能驱动的模板它不会去直接操作硬件端口而是挂到已有设备栈上拦截或转发 IRP。这是 WDM 最核心的设计每个驱动只负责一层通过DEVICE_OBJECT的AttachedDevice指针串成栈。鼠标数据最终以IRP_MJ_READ的形式从下层往上冒你的驱动可以在DispatchRead里拿到MOUSE_INPUT_DATA结构。理解这一点你就明白为什么源码里没有直接读 0x60 端口的代码——那是 i8042 端口驱动的事不是你的。选型上如果你要写的是鼠标过滤驱动WDM 和 KMDF 都能做。KMDF 更现代、代码更少但这份源码是 WDM 的所以你得按 WDM 的规矩来手动创建DEVICE_OBJECT、手动挂载、手动处理IRP_MN_REMOVE_DEVICE。好处是控制粒度细坏处是内存管理和即插即用状态机得自己兜底。常见做法是先用 WDM 模板跑通再考虑要不要迁到 KMDF。2.2 用 Visual Studio 建一个能编译的 WDM 空工程这份 zip 里的.vcxproj往往缺配置直接打开会报「找不到 wdm.h」或「无法解析的外部符号」。正确姿势是自己建一个 Empty WDM Driver 工程再把源码文件拖进去。步骤如下# 1. 安装 Visual Studio 2022勾选「使用 C 的桌面开发」和「Windows 驱动工具包 (WDK)」 # 2. 确认 WDK 版本与 SDK 匹配命令行验证 where wdk # 输出类似 C:\Program Files (x86)\Windows Kits\10\Include\10.0.22621.0\km # 3. 新建项目 - 选择 Empty WDM Driver 模板 # 4. 把 zip 里的 .c/.h 复制到项目目录在解决方案资源管理器里「添加现有项」逻辑说明WDK 提供wdm.h、ntddk.h等内核头文件以及BufferOverflowK.lib等内核库。VS 模板会自动配好Target Platform和Driver Type。参数上Configuration Properties - Driver Settings - Target OS Version建议选Windows 10或Windows 11Target Platform选Desktop。如果你在 Win11 上开发但目标机是 Win10把Minimum Required Version设成10.0.17763.0能兼容更多机器。编译前记得在C/C - Preprocessor里加上_WIN32_WINNT0x0A00和WINVER0x0A00否则某些 API 声明会被条件编译掉。2.3 DriverEntry 里必须做的三件事与源码对照打开源码的DriverEntry你会看到类似这样的结构NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) { // 1. 注册派遣函数 for (int i 0; i IRP_MJ_MAXIMUM_FUNCTION; i) { DriverObject-MajorFunction[i] DispatchPassThrough; } DriverObject-MajorFunction[IRP_MJ_READ] DispatchRead; DriverObject-MajorFunction[IRP_MJ_PNP] DispatchPnp; DriverObject-DriverUnload DriverUnload; // 2. 设置 AddDevice 回调 DriverObject-DriverExtension-AddDevice AddDevice; // 3. 返回成功 return STATUS_SUCCESS; }逻辑说明MajorFunction数组是 IRP 分发的入口没注册的 IRP 会返回STATUS_INVALID_DEVICE_REQUEST。鼠标过滤驱动必须处理IRP_MJ_READ才能拿到数据IRP_MJ_PNP用来响应设备插拔。AddDevice是 WDM 特有的系统发现新设备时调用它来创建设备对象。参数上RegistryPath是驱动在注册表中的服务键路径一般用ZwOpenKey读配置但鼠标驱动很少需要。注意DriverUnload只在非 PnP 驱动里可靠WDM 驱动卸载靠IRP_MN_REMOVE_DEVICE所以DriverUnload里别做重活。2.4 AddDevice 与设备栈挂载一行代码决定成败AddDevice是 WDM 驱动最容易翻车的地方。源码里通常长这样NTSTATUS AddDevice(PDRIVER_OBJECT DriverObject, PDEVICE_OBJECT PhysicalDeviceObject) { PDEVICE_OBJECT FilterDevice; NTSTATUS status IoCreateDevice( DriverObject, sizeof(DEVICE_EXTENSION), NULL, FILE_DEVICE_MOUSE, FILE_DEVICE_SECURE_OPEN, FALSE, FilterDevice ); if (!NT_SUCCESS(status)) return status; PDEVICE_EXTENSION ext (PDEVICE_EXTENSION)FilterDevice-DeviceExtension; ext-LowerDevice IoAttachDeviceToDeviceStack(FilterDevice, PhysicalDeviceObject); if (!ext-LowerDevice) { IoDeleteDevice(FilterDevice); return STATUS_UNSUCCESSFUL; } FilterDevice-Flags | DO_BUFFERED_IO | DO_POWER_PAGABLE; FilterDevice-Flags ~DO_DEVICE_INITIALIZING; return STATUS_SUCCESS; }逻辑说明IoCreateDevice创建你的过滤设备对象DeviceExtension用来存私有数据比如下层设备指针。IoAttachDeviceToDeviceStack把过滤设备挂到物理设备之上返回下层设备对象。DO_BUFFERED_IO让系统自动处理缓冲区鼠标数据量小用缓冲 IO 最省事。DO_DEVICE_INITIALIZING必须清掉否则设备无法接收 IRP。参数上FILE_DEVICE_MOUSE是设备类型FILE_DEVICE_SECURE_OPEN是特性掩码一般照抄。常见错误是忘了清DO_DEVICE_INITIALIZING现象是驱动装上后鼠标直接不动事件查看器里一堆STATUS_INVALID_DEVICE_STATE。3. 鼠标数据怎么读IRP_MJ_READ 与 MOUSE_INPUT_DATA 解析3.1 DispatchRead 里拿到的到底是什么鼠标过滤驱动的核心价值在DispatchRead。当上层请求鼠标数据时IRP 会先到你的驱动再到下层。源码里通常这样写NTSTATUS DispatchRead(PDEVICE_OBJECT DeviceObject, PIRP Irp) { PDEVICE_EXTENSION ext (PDEVICE_EXTENSION)DeviceObject-DeviceExtension; IoCopyCurrentIrpStackLocationToNext(Irp); IoSetCompletionRoutine(Irp, ReadCompletion, DeviceObject, TRUE, TRUE, TRUE); return IoCallDriver(ext-LowerDevice, Irp); } NTSTATUS ReadCompletion(PDEVICE_OBJECT DeviceObject, PIRP Irp, PVOID Context) { if (NT_SUCCESS(Irp-IoStatus.Status)) { PMOUSE_INPUT_DATA data (PMOUSE_INPUT_DATA)Irp-AssociatedIrp.SystemBuffer; ULONG count Irp-IoStatus.Information / sizeof(MOUSE_INPUT_DATA); for (ULONG i 0; i count; i) { // data[i].ButtonFlags, data[i].LastX, data[i].LastY } } if (Irp-PendingReturned) IoMarkIrpPending(Irp); return Irp-IoStatus.Status; }逻辑说明IoCopyCurrentIrpStackLocationToNext把当前栈位置复制给下层保证下层能看到正确的参数。IoSetCompletionRoutine注册完成例程等下层处理完 IRP 后回调你。在完成例程里SystemBuffer指向MOUSE_INPUT_DATA数组IoStatus.Information是字节数除以结构大小就是条目数。ButtonFlags里MOUSE_LEFT_BUTTON_DOWN、MOUSE_RIGHT_BUTTON_DOWN等标志位表示按键状态LastX/LastY是相对位移。参数上IoSetCompletionRoutine的后三个布尔值分别控制成功、失败、取消时是否调用全设TRUE最稳。注意完成例程运行在DISPATCH_LEVEL不能调KeWaitForSingleObject这类会阻塞的函数。3.2 过滤驱动里改数据按键重映射的最小实现如果你想做按键重映射比如把中键改成左键就在完成例程里改ButtonFlagsif (data[i].ButtonFlags MOUSE_MIDDLE_BUTTON_DOWN) { data[i].ButtonFlags ~MOUSE_MIDDLE_BUTTON_DOWN; data[i].ButtonFlags | MOUSE_LEFT_BUTTON_DOWN; } if (data[i].ButtonFlags MOUSE_MIDDLE_BUTTON_UP) { data[i].ButtonFlags ~MOUSE_MIDDLE_BUTTON_UP; data[i].ButtonFlags | MOUSE_LEFT_BUTTON_UP; }逻辑说明MOUSE_MIDDLE_BUTTON_DOWN和UP是成对的只改 DOWN 不改 UP 会导致按键卡住。参数上ButtonFlags是USHORT位定义在ntddmou.h里。注意改数据只影响上层看到的结果不影响硬件本身所以其他程序读到的也是改过的数据。常见坑是忘了处理UP事件现象是鼠标左键一直处于按下状态拖拽窗口时松不开。3.3 即插即用与电源管理IRP_MN_REMOVE_DEVICE 必须处理WDM 驱动不处理 PnP 会在设备拔出时蓝屏。源码里DispatchPnp通常这样NTSTATUS DispatchPnp(PDEVICE_OBJECT DeviceObject, PIRP Irp) { PDEVICE_EXTENSION ext (PDEVICE_EXTENSION)DeviceObject-DeviceExtension; PIO_STACK_LOCATION stack IoGetCurrentIrpStackLocation(Irp); switch (stack-MinorFunction) { case IRP_MN_REMOVE_DEVICE: IoDetachDevice(ext-LowerDevice); IoDeleteDevice(DeviceObject); Irp-IoStatus.Status STATUS_SUCCESS; IoCompleteRequest(Irp, IO_NO_INCREMENT); return STATUS_SUCCESS; default: IoSkipCurrentIrpStackLocation(Irp); return IoCallDriver(ext-LowerDevice, Irp); } }逻辑说明IRP_MN_REMOVE_DEVICE是设备移除的最终通知必须先IoDetachDevice再IoDeleteDevice顺序反了会留下悬空指针。其他 PnP 子功能直接透传给下层。参数上IoSkipCurrentIrpStackLocation不复制栈位置适合透传场景。注意IoDeleteDevice之后不能再访问DeviceObject所以完成例程里别引用它。4. 编译、签名与安装WDM 驱动在 Win10/Win11 上的避坑清单4.1 测试签名模式不是万能药Win10 1607 之后内核驱动必须签名才能加载测试签名模式bcdedit /set testsigning on只对测试证书签的驱动有效而且会在桌面右下角显示水印。常见做法是# 管理员命令行 bcdedit /set testsigning on # 重启后用 makecert 或 signtool 签驱动 signtool sign /v /s TestCertStore /n MyTestCert /t http://timestamp.digicert.com mouse.sys逻辑说明testsigning on让系统接受测试证书签名的驱动。signtool的/s指定证书存储/n是证书名/t是时间戳服务器。参数上Win11 22H2 之后测试签名模式仍然可用但部分安全策略会拦截。注意正式发布必须用 EV 证书加微软硬件开发者中心签名测试证书只能自己机器用。4.2 用 devcon 或 pnputil 安装 INF源码里的.inf文件负责把驱动和设备关联。安装命令# 查看设备 ID pnputil /enum-devices /class Mouse # 安装驱动 pnputil /add-driver mouse.inf /install # 或者用 devcon devcon update mouse.inf HID\VID_1234PID_5678逻辑说明pnputil是系统自带工具/add-driver把驱动加入驱动库/install立即安装到匹配设备。devcon需要从 WDK 里拷出来。参数上HID\VID_xxxxPID_xxxx是硬件 ID在设备管理器里「属性 - 详细信息 - 硬件 ID」能看到。注意 INF 里的CatalogFile必须和签名后的.cat文件名一致否则安装报「哈希值不在指定目录中」。4.3 蓝屏排查WinDbg 双机调试的最小配置驱动一加载就蓝屏是常态。配置双机调试# 目标机被调试 bcdedit /debug on bcdedit /dbgsettings net hostip:192.168.1.100 port:50000 key:1.2.3.4 # 主机调试机打开 WinDbg windbg -k net:port50000,key1.2.3.4逻辑说明bcdedit /debug on开启内核调试/dbgsettings net配置网络调试。主机 WinDbg 连上后蓝屏时会自动断下用!analyze -v看堆栈。参数上hostip是主机 IPport随便选key是任意四段数字。注意虚拟机里调试要把网络设成桥接或 Host-OnlyNAT 模式下主机连不上。5. 常见问题与排查鼠标驱动加载失败的 5 个血泪坑5.1 现象驱动装上后鼠标完全不动设备管理器显示黄色感叹号原因AddDevice里忘了清DO_DEVICE_INITIALIZING或者IoAttachDeviceToDeviceStack返回 NULL 后没删设备对象。解决检查FilterDevice-Flags ~DO_DEVICE_INITIALIZING;是否执行确认PhysicalDeviceObject非空。用!devobj看设备对象状态。5.2 现象编译报错「无法打开源文件 wdm.h」原因VS 工程没装 WDK或者 SDK 和 WDK 版本不匹配。解决在 VS Installer 里勾选「Windows 驱动工具包」确保 WDK 版本号与 SDK 一致。检查VC Directories - Include Directories里有没有$(WDKContentRoot)\Include\$(TargetPlatformVersion)\km。5.3 现象安装时报「驱动未签名」或「哈希值不在指定目录中」原因测试签名没开或者.cat文件和 INF 里的CatalogFile名字不一致。解决bcdedit /set testsigning on后重启用signtool重新签.sys和.cat确保 INF 里CatalogFilemouse.cat和实际文件名一致。5.4 现象鼠标数据读到了但坐标乱跳原因MOUSE_INPUT_DATA的LastX/LastY是相对位移不是绝对坐标而且可能包含多个条目。解决累加LastX/LastY再使用或者直接透传给上层。检查IoStatus.Information是否被正确除以sizeof(MOUSE_INPUT_DATA)。5.5 现象设备拔出时蓝屏错误码DRIVER_IRQL_NOT_LESS_OR_EQUAL原因IRP_MN_REMOVE_DEVICE里先IoDeleteDevice再IoDetachDevice或者完成例程里引用了已删除的设备对象。解决严格按IoDetachDevice-IoDeleteDevice顺序完成例程里用Context传数据而不是DeviceObject。6. 进阶用 WDM 鼠标过滤驱动做宏录制与回放跑通基础过滤后你可以把MOUSE_INPUT_DATA存下来做宏。核心思路是在完成例程里把数据写进环形缓冲区再用一个IRP_MJ_DEVICE_CONTROL接口让用户态读取。具体做法在DeviceExtension里加KSPIN_LOCK和LIST_ENTRY完成例程里KeAcquireSpinLock后插入节点用户态用DeviceIoControl发IOCTL_GET_MOUSE_LOG取数据。注意完成例程在DISPATCH_LEVEL只能用非分页内存ExAllocatePoolWithTag要加NonPagedPool标志。回放时用户态发IOCTL_REPLAY_MOUSE驱动在DispatchDeviceControl里构造MOUSE_INPUT_DATA并调用IoCallDriver往下层发。这里有个坑下层驱动可能不认你伪造的 IRP常见做法是直接调MouseClassServiceCallback但这个函数未文档化版本间可能变。更稳的是用SendInput在用户态回放驱动只负责录制。验证方法用DebugView看KdPrint输出或者写个用户态程序读IOCTL并打印时间戳和位移。我一般会在完成例程里加一个计数器每 1000 条打一次日志避免KdPrint刷屏导致系统卡顿。参数上环形缓冲区大小建议 4096 条每条MOUSE_INPUT_DATA约 24 字节总共不到 100KB非分页内存完全扛得住。最后说个习惯每次改完驱动先在本机testsigning模式下装一遍再用verifier开标准验证跑 10 分钟。verifier /standard /driver mouse.sys能揪出大部分内存泄漏和 IRQL 错误。别嫌麻烦蓝屏一次浪费的时间够你跑十遍验证。希望帮到你。本文还有配套的精品资源点击获取
简介这份资源是面向Windows底层驱动开发学习者的WDM鼠标驱动源代码包适合已具备C/C基础、希望理解设备驱动模型与HID设备交互机制的开发者参考。压缩包共13个文件约12KB以4个h头文件、2个cpp实现文件为主另有rc资源脚本、makefile与sources构建配置、dsp/dsw工程文件、def导出定义及inf安装信息文件覆盖从接口声明、核心逻辑到工程构建与驱动安装的完整环节。源代码围绕设备初始化、IRP请求处理、HID协议解析与设备枚举加载等关键流程展开可帮助读者理清函数驱动与筛选器驱动的分工掌握驱动与硬件通信及向系统传递数据的方式。目前已有922人学习下载对于想通过实例理解WDM架构、积累驱动调试与定制经验的开发者具有较高参考价值。1. 鼠标驱动程序源代码与 WDM 开发从一份 zip 到能跑的最小驱动很多人第一次拿到「鼠标驱动程序源代码windows下WDM开发.zip」这类压缩包时会下意识以为里面是一份能直接编译、装上就能让鼠标动起来的完整工程。实际打开后往往只有几个.c、.h、.inf和一份.vcxproj甚至只有零散的源码片段。这不是坑而是 WDM 驱动开发的常态——它本来就是一套需要你自己搭环境、配签名、调 IRP 的底层工程。WDMWindows Driver Model是微软在 Win98 到 Win10 时代主推的驱动框架鼠标这类 HID 设备驱动、过滤驱动、功能驱动都能用它写。这份源码真正能帮到你的是让你看清一个鼠标驱动从 DriverEntry、AddDevice 到 IRP_MJ_READ 的完整骨架而不是给你一个成品。适合谁适合已经会写 C、懂点内核对象、想搞明白鼠标数据怎么从硬件进到系统的那批人。如果你只是想改个鼠标灯效那这份源码会让你失望但如果你想做输入设备过滤、按键重映射、宏录制这类底层活儿它就是绕不开的起点。2. WDM 鼠标驱动的骨架DriverEntry、AddDevice 与设备栈2.1 为什么鼠标驱动要挂在设备栈上而不是自己造轮子Windows 的输入设备走的是分层驱动模型。一个物理鼠标插上后系统会依次加载总线驱动USB 或 i8042、HID 类驱动、以及可能的过滤驱动。你拿到的这份 WDM 源码通常是一个过滤驱动或功能驱动的模板它不会去直接操作硬件端口而是挂到已有设备栈上拦截或转发 IRP。这是 WDM 最核心的设计每个驱动只负责一层通过DEVICE_OBJECT的AttachedDevice指针串成栈。鼠标数据最终以IRP_MJ_READ的形式从下层往上冒你的驱动可以在DispatchRead里拿到MOUSE_INPUT_DATA结构。理解这一点你就明白为什么源码里没有直接读 0x60 端口的代码——那是 i8042 端口驱动的事不是你的。选型上如果你要写的是鼠标过滤驱动WDM 和 KMDF 都能做。KMDF 更现代、代码更少但这份源码是 WDM 的所以你得按 WDM 的规矩来手动创建DEVICE_OBJECT、手动挂载、手动处理IRP_MN_REMOVE_DEVICE。好处是控制粒度细坏处是内存管理和即插即用状态机得自己兜底。常见做法是先用 WDM 模板跑通再考虑要不要迁到 KMDF。2.2 用 Visual Studio 建一个能编译的 WDM 空工程这份 zip 里的.vcxproj往往缺配置直接打开会报「找不到 wdm.h」或「无法解析的外部符号」。正确姿势是自己建一个 Empty WDM Driver 工程再把源码文件拖进去。步骤如下# 1. 安装 Visual Studio 2022勾选「使用 C 的桌面开发」和「Windows 驱动工具包 (WDK)」 # 2. 确认 WDK 版本与 SDK 匹配命令行验证 where wdk # 输出类似 C:\Program Files (x86)\Windows Kits\10\Include\10.0.22621.0\km # 3. 新建项目 - 选择 Empty WDM Driver 模板 # 4. 把 zip 里的 .c/.h 复制到项目目录在解决方案资源管理器里「添加现有项」逻辑说明WDK 提供wdm.h、ntddk.h等内核头文件以及BufferOverflowK.lib等内核库。VS 模板会自动配好Target Platform和Driver Type。参数上Configuration Properties - Driver Settings - Target OS Version建议选Windows 10或Windows 11Target Platform选Desktop。如果你在 Win11 上开发但目标机是 Win10把Minimum Required Version设成10.0.17763.0能兼容更多机器。编译前记得在C/C - Preprocessor里加上_WIN32_WINNT0x0A00和WINVER0x0A00否则某些 API 声明会被条件编译掉。2.3 DriverEntry 里必须做的三件事与源码对照打开源码的DriverEntry你会看到类似这样的结构NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) { // 1. 注册派遣函数 for (int i 0; i IRP_MJ_MAXIMUM_FUNCTION; i) { DriverObject-MajorFunction[i] DispatchPassThrough; } DriverObject-MajorFunction[IRP_MJ_READ] DispatchRead; DriverObject-MajorFunction[IRP_MJ_PNP] DispatchPnp; DriverObject-DriverUnload DriverUnload; // 2. 设置 AddDevice 回调 DriverObject-DriverExtension-AddDevice AddDevice; // 3. 返回成功 return STATUS_SUCCESS; }逻辑说明MajorFunction数组是 IRP 分发的入口没注册的 IRP 会返回STATUS_INVALID_DEVICE_REQUEST。鼠标过滤驱动必须处理IRP_MJ_READ才能拿到数据IRP_MJ_PNP用来响应设备插拔。AddDevice是 WDM 特有的系统发现新设备时调用它来创建设备对象。参数上RegistryPath是驱动在注册表中的服务键路径一般用ZwOpenKey读配置但鼠标驱动很少需要。注意DriverUnload只在非 PnP 驱动里可靠WDM 驱动卸载靠IRP_MN_REMOVE_DEVICE所以DriverUnload里别做重活。2.4 AddDevice 与设备栈挂载一行代码决定成败AddDevice是 WDM 驱动最容易翻车的地方。源码里通常长这样NTSTATUS AddDevice(PDRIVER_OBJECT DriverObject, PDEVICE_OBJECT PhysicalDeviceObject) { PDEVICE_OBJECT FilterDevice; NTSTATUS status IoCreateDevice( DriverObject, sizeof(DEVICE_EXTENSION), NULL, FILE_DEVICE_MOUSE, FILE_DEVICE_SECURE_OPEN, FALSE, FilterDevice ); if (!NT_SUCCESS(status)) return status; PDEVICE_EXTENSION ext (PDEVICE_EXTENSION)FilterDevice-DeviceExtension; ext-LowerDevice IoAttachDeviceToDeviceStack(FilterDevice, PhysicalDeviceObject); if (!ext-LowerDevice) { IoDeleteDevice(FilterDevice); return STATUS_UNSUCCESSFUL; } FilterDevice-Flags | DO_BUFFERED_IO | DO_POWER_PAGABLE; FilterDevice-Flags ~DO_DEVICE_INITIALIZING; return STATUS_SUCCESS; }逻辑说明IoCreateDevice创建你的过滤设备对象DeviceExtension用来存私有数据比如下层设备指针。IoAttachDeviceToDeviceStack把过滤设备挂到物理设备之上返回下层设备对象。DO_BUFFERED_IO让系统自动处理缓冲区鼠标数据量小用缓冲 IO 最省事。DO_DEVICE_INITIALIZING必须清掉否则设备无法接收 IRP。参数上FILE_DEVICE_MOUSE是设备类型FILE_DEVICE_SECURE_OPEN是特性掩码一般照抄。常见错误是忘了清DO_DEVICE_INITIALIZING现象是驱动装上后鼠标直接不动事件查看器里一堆STATUS_INVALID_DEVICE_STATE。3. 鼠标数据怎么读IRP_MJ_READ 与 MOUSE_INPUT_DATA 解析3.1 DispatchRead 里拿到的到底是什么鼠标过滤驱动的核心价值在DispatchRead。当上层请求鼠标数据时IRP 会先到你的驱动再到下层。源码里通常这样写NTSTATUS DispatchRead(PDEVICE_OBJECT DeviceObject, PIRP Irp) { PDEVICE_EXTENSION ext (PDEVICE_EXTENSION)DeviceObject-DeviceExtension; IoCopyCurrentIrpStackLocationToNext(Irp); IoSetCompletionRoutine(Irp, ReadCompletion, DeviceObject, TRUE, TRUE, TRUE); return IoCallDriver(ext-LowerDevice, Irp); } NTSTATUS ReadCompletion(PDEVICE_OBJECT DeviceObject, PIRP Irp, PVOID Context) { if (NT_SUCCESS(Irp-IoStatus.Status)) { PMOUSE_INPUT_DATA data (PMOUSE_INPUT_DATA)Irp-AssociatedIrp.SystemBuffer; ULONG count Irp-IoStatus.Information / sizeof(MOUSE_INPUT_DATA); for (ULONG i 0; i count; i) { // data[i].ButtonFlags, data[i].LastX, data[i].LastY } } if (Irp-PendingReturned) IoMarkIrpPending(Irp); return Irp-IoStatus.Status; }逻辑说明IoCopyCurrentIrpStackLocationToNext把当前栈位置复制给下层保证下层能看到正确的参数。IoSetCompletionRoutine注册完成例程等下层处理完 IRP 后回调你。在完成例程里SystemBuffer指向MOUSE_INPUT_DATA数组IoStatus.Information是字节数除以结构大小就是条目数。ButtonFlags里MOUSE_LEFT_BUTTON_DOWN、MOUSE_RIGHT_BUTTON_DOWN等标志位表示按键状态LastX/LastY是相对位移。参数上IoSetCompletionRoutine的后三个布尔值分别控制成功、失败、取消时是否调用全设TRUE最稳。注意完成例程运行在DISPATCH_LEVEL不能调KeWaitForSingleObject这类会阻塞的函数。3.2 过滤驱动里改数据按键重映射的最小实现如果你想做按键重映射比如把中键改成左键就在完成例程里改ButtonFlagsif (data[i].ButtonFlags MOUSE_MIDDLE_BUTTON_DOWN) { data[i].ButtonFlags ~MOUSE_MIDDLE_BUTTON_DOWN; data[i].ButtonFlags | MOUSE_LEFT_BUTTON_DOWN; } if (data[i].ButtonFlags MOUSE_MIDDLE_BUTTON_UP) { data[i].ButtonFlags ~MOUSE_MIDDLE_BUTTON_UP; data[i].ButtonFlags | MOUSE_LEFT_BUTTON_UP; }逻辑说明MOUSE_MIDDLE_BUTTON_DOWN和UP是成对的只改 DOWN 不改 UP 会导致按键卡住。参数上ButtonFlags是USHORT位定义在ntddmou.h里。注意改数据只影响上层看到的结果不影响硬件本身所以其他程序读到的也是改过的数据。常见坑是忘了处理UP事件现象是鼠标左键一直处于按下状态拖拽窗口时松不开。3.3 即插即用与电源管理IRP_MN_REMOVE_DEVICE 必须处理WDM 驱动不处理 PnP 会在设备拔出时蓝屏。源码里DispatchPnp通常这样NTSTATUS DispatchPnp(PDEVICE_OBJECT DeviceObject, PIRP Irp) { PDEVICE_EXTENSION ext (PDEVICE_EXTENSION)DeviceObject-DeviceExtension; PIO_STACK_LOCATION stack IoGetCurrentIrpStackLocation(Irp); switch (stack-MinorFunction) { case IRP_MN_REMOVE_DEVICE: IoDetachDevice(ext-LowerDevice); IoDeleteDevice(DeviceObject); Irp-IoStatus.Status STATUS_SUCCESS; IoCompleteRequest(Irp, IO_NO_INCREMENT); return STATUS_SUCCESS; default: IoSkipCurrentIrpStackLocation(Irp); return IoCallDriver(ext-LowerDevice, Irp); } }逻辑说明IRP_MN_REMOVE_DEVICE是设备移除的最终通知必须先IoDetachDevice再IoDeleteDevice顺序反了会留下悬空指针。其他 PnP 子功能直接透传给下层。参数上IoSkipCurrentIrpStackLocation不复制栈位置适合透传场景。注意IoDeleteDevice之后不能再访问DeviceObject所以完成例程里别引用它。4. 编译、签名与安装WDM 驱动在 Win10/Win11 上的避坑清单4.1 测试签名模式不是万能药Win10 1607 之后内核驱动必须签名才能加载测试签名模式bcdedit /set testsigning on只对测试证书签的驱动有效而且会在桌面右下角显示水印。常见做法是# 管理员命令行 bcdedit /set testsigning on # 重启后用 makecert 或 signtool 签驱动 signtool sign /v /s TestCertStore /n MyTestCert /t http://timestamp.digicert.com mouse.sys逻辑说明testsigning on让系统接受测试证书签名的驱动。signtool的/s指定证书存储/n是证书名/t是时间戳服务器。参数上Win11 22H2 之后测试签名模式仍然可用但部分安全策略会拦截。注意正式发布必须用 EV 证书加微软硬件开发者中心签名测试证书只能自己机器用。4.2 用 devcon 或 pnputil 安装 INF源码里的.inf文件负责把驱动和设备关联。安装命令# 查看设备 ID pnputil /enum-devices /class Mouse # 安装驱动 pnputil /add-driver mouse.inf /install # 或者用 devcon devcon update mouse.inf HID\VID_1234PID_5678逻辑说明pnputil是系统自带工具/add-driver把驱动加入驱动库/install立即安装到匹配设备。devcon需要从 WDK 里拷出来。参数上HID\VID_xxxxPID_xxxx是硬件 ID在设备管理器里「属性 - 详细信息 - 硬件 ID」能看到。注意 INF 里的CatalogFile必须和签名后的.cat文件名一致否则安装报「哈希值不在指定目录中」。4.3 蓝屏排查WinDbg 双机调试的最小配置驱动一加载就蓝屏是常态。配置双机调试# 目标机被调试 bcdedit /debug on bcdedit /dbgsettings net hostip:192.168.1.100 port:50000 key:1.2.3.4 # 主机调试机打开 WinDbg windbg -k net:port50000,key1.2.3.4逻辑说明bcdedit /debug on开启内核调试/dbgsettings net配置网络调试。主机 WinDbg 连上后蓝屏时会自动断下用!analyze -v看堆栈。参数上hostip是主机 IPport随便选key是任意四段数字。注意虚拟机里调试要把网络设成桥接或 Host-OnlyNAT 模式下主机连不上。5. 常见问题与排查鼠标驱动加载失败的 5 个血泪坑5.1 现象驱动装上后鼠标完全不动设备管理器显示黄色感叹号原因AddDevice里忘了清DO_DEVICE_INITIALIZING或者IoAttachDeviceToDeviceStack返回 NULL 后没删设备对象。解决检查FilterDevice-Flags ~DO_DEVICE_INITIALIZING;是否执行确认PhysicalDeviceObject非空。用!devobj看设备对象状态。5.2 现象编译报错「无法打开源文件 wdm.h」原因VS 工程没装 WDK或者 SDK 和 WDK 版本不匹配。解决在 VS Installer 里勾选「Windows 驱动工具包」确保 WDK 版本号与 SDK 一致。检查VC Directories - Include Directories里有没有$(WDKContentRoot)\Include\$(TargetPlatformVersion)\km。5.3 现象安装时报「驱动未签名」或「哈希值不在指定目录中」原因测试签名没开或者.cat文件和 INF 里的CatalogFile名字不一致。解决bcdedit /set testsigning on后重启用signtool重新签.sys和.cat确保 INF 里CatalogFilemouse.cat和实际文件名一致。5.4 现象鼠标数据读到了但坐标乱跳原因MOUSE_INPUT_DATA的LastX/LastY是相对位移不是绝对坐标而且可能包含多个条目。解决累加LastX/LastY再使用或者直接透传给上层。检查IoStatus.Information是否被正确除以sizeof(MOUSE_INPUT_DATA)。5.5 现象设备拔出时蓝屏错误码DRIVER_IRQL_NOT_LESS_OR_EQUAL原因IRP_MN_REMOVE_DEVICE里先IoDeleteDevice再IoDetachDevice或者完成例程里引用了已删除的设备对象。解决严格按IoDetachDevice-IoDeleteDevice顺序完成例程里用Context传数据而不是DeviceObject。6. 进阶用 WDM 鼠标过滤驱动做宏录制与回放跑通基础过滤后你可以把MOUSE_INPUT_DATA存下来做宏。核心思路是在完成例程里把数据写进环形缓冲区再用一个IRP_MJ_DEVICE_CONTROL接口让用户态读取。具体做法在DeviceExtension里加KSPIN_LOCK和LIST_ENTRY完成例程里KeAcquireSpinLock后插入节点用户态用DeviceIoControl发IOCTL_GET_MOUSE_LOG取数据。注意完成例程在DISPATCH_LEVEL只能用非分页内存ExAllocatePoolWithTag要加NonPagedPool标志。回放时用户态发IOCTL_REPLAY_MOUSE驱动在DispatchDeviceControl里构造MOUSE_INPUT_DATA并调用IoCallDriver往下层发。这里有个坑下层驱动可能不认你伪造的 IRP常见做法是直接调MouseClassServiceCallback但这个函数未文档化版本间可能变。更稳的是用SendInput在用户态回放驱动只负责录制。验证方法用DebugView看KdPrint输出或者写个用户态程序读IOCTL并打印时间戳和位移。我一般会在完成例程里加一个计数器每 1000 条打一次日志避免KdPrint刷屏导致系统卡顿。参数上环形缓冲区大小建议 4096 条每条MOUSE_INPUT_DATA约 24 字节总共不到 100KB非分页内存完全扛得住。最后说个习惯每次改完驱动先在本机testsigning模式下装一遍再用verifier开标准验证跑 10 分钟。verifier /standard /driver mouse.sys能揪出大部分内存泄漏和 IRQL 错误。别嫌麻烦蓝屏一次浪费的时间够你跑十遍验证。希望帮到你。本文还有配套的精品资源点击获取
