2. Driver Verifier 架构原理：Verifier 与操作系统内核的交互机制、回调钩子与验证层工作流程

Driver Verifier 并非一个独立的监控程序，而是深度嵌入 Windows 操作系统内核的动态验证框架。其核心架构围绕“拦截-验证-报告”三个环节设计，通过在内核关键路径上插入验证层（Verification Layer），利用回调钩子（Verifier Callbacks）劫持驱动与内核的交互，从而在运行时检测内存违规、对象引用错误、锁使用不当等缺陷。

2.1 架构总览：Verifier 与操作系统内核的交互机制

Driver Verifier 的架构可以抽象为三层：用户态配置层、内核验证引擎层和目标驱动层。用户态通过 verifier.exe 或注册表设置启用的验证规则，由内核验证引擎加载并激活对应的验证层。

内核验证引擎通过函数级拦截（Function-Level Hooking）技术，在驱动调用内核服务时插入验证逻辑。这种拦截不是通过修改内核代码，而是通过替换系统服务描述表（SSDT）或导出函数入口地址来实现。

2.2 回调钩子（Verifier Callbacks）

Verifier 回调钩子是验证层与目标驱动之间的关键接口。当驱动调用特定的内核函数时，Verifier 注册的回调函数会先于原始函数执行，对参数、内存缓冲区、对象属性等进行预检。

2.3 验证层（Verification Layer）工作流程

验证层是 Verifier 架构中最核心的执行单元。每个验证层对应一组特定的验证规则，它们按照分层叠加的方式工作。当驱动调用一个内核函数时，控制流会依次经过多个验证层，每个层执行独立的检查。

验证层的工作遵循“先验证，后执行”的原则。每个验证层在检查通过后，才会将控制权传递给下一层或原始函数。如果某一层检测到违规，Verifier 会立即触发 Bug Check 0xC4 (DRIVER_VERIFIER_DETECTED_VIOLATION)，并记录详细的故障转储信息。

2.4 验证层的叠加与优先级

当启用多个验证选项时，对应的验证层会按照固定的优先级顺序叠加。下表列出了常见验证选项对应的验证层及其优先级关系：

2.5 回调钩子的注册与卸载机制

Verifier 回调钩子的生命周期由内核验证引擎统一管理。当驱动被标记为验证目标后，引擎会执行以下步骤：

1. 函数入口替换：引擎修改内核模块的导出表（Export Table），将目标函数的入口地址替换为 Verifier 提供的回调函数地址。
2. 上下文保存：原始函数地址被保存在 Verifier 内部的回调链表中，确保验证完成后可以正确回退。
3. 验证执行：驱动调用被拦截的函数时，控制权先进入 Verifier 回调，执行验证逻辑后，再通过函数指针调用原始实现。
4. 卸载恢复：当驱动被卸载或验证停止时，引擎将原始函数地址写回导出表，恢复内核的正常调用路径。

// Verifier 注册的回调函数原型
NTSTATUS
VerifierExAllocatePoolWithTag(
    __in POOL_TYPE  PoolType,
    __in SIZE_T     NumberOfBytes,
    __in ULONG      Tag
)
{
    NTSTATUS Status;
    
    // 验证层 1：检查 IRQL
    if (KeGetCurrentIrql() > DISPATCH_LEVEL) {
        VerifierBugCheck(DRIVER_VERIFIER_DETECTED_VIOLATION,
                         VERIFIER_IRQL_NOT_DISPATCH_LEVEL,
                         (ULONG_PTR)PoolType, NumberOfBytes, Tag);
    }
    
    // 验证层 2：检查池类型
    if (PoolType != NonPagedPool && PoolType != PagedPool) {
        VerifierBugCheck(DRIVER_VERIFIER_DETECTED_VIOLATION,
                         VERIFIER_INVALID_POOL_TYPE,
                         (ULONG_PTR)PoolType, 0, 0);
    }
    
    // 验证层 3：插入哨兵字节（特殊池模式）
    NumberOfBytes += VERIFIER_SENTINEL_SIZE;
    
    // 调用原始函数
    Status = RealExAllocatePoolWithTag(PoolType, NumberOfBytes, Tag);
    
    // 验证层 4：检查返回值
    if (!NT_SUCCESS(Status)) {
        VerifierLogFailure(VERIFIER_ALLOCATION_FAILED, Status);
    }
    
    return Status;
}

2.6 验证层与 Bug Check 的联动

当验证层检测到违规时，Verifier 不会简单地返回错误码，而是直接触发系统 Bug Check。这种设计确保了违规行为被立即捕获，不会在后续执行中产生不可预测的副作用。