4. 内存池检测机制（Pool Tracking）

内存池检测（Pool Tracking）是 Driver Verifier 中用于监控内核驱动内存分配与释放行为的一组验证功能。它通过记录每一次池分配操作的调用栈、大小和标签，并在释放时进行核对，从而检测内存泄漏、重复释放、释放后使用等常见内存错误。

4.1 池分配与释放追踪

Windows 内核提供了 ExAllocatePoolWithTag 和 ExFreePoolWithTag 等 API 用于池内存管理。Driver Verifier 的 Pool Tracking 功能会拦截这些 API 调用，在每次分配时记录以下信息：

• 分配地址：返回给调用者的内存起始地址。
• 请求大小：调用者请求的字节数。
• 池标签（Pool Tag）：一个 4 字符的标识符，用于标记内存用途。
• 调用栈回溯：分配时刻的完整调用栈，用于定位分配代码路径。
• 分配时间戳：记录分配发生的系统时间。
• IRQL 级别：分配时的中断请求级别。

当驱动释放内存时，Verifier 会检查该地址是否在追踪记录中，并验证标签是否匹配。如果发现异常，系统会立即触发 Bug Check 0xC4 (DRIVER_VERIFIER_DETECTED_VIOLATION)。

4.2 池标签（Pool Tag）的作用

池标签是一个 4 字节 的 ASCII 字符序列，通常由驱动开发者自定义，用于标识内存分配的用途或来源。池标签在调试和内存分析中扮演着关键角色：

在驱动代码中，池标签的使用方式如下：

// 定义池标签（4 字节，用单引号包裹）
#define TAG_MYDRIVER 'MyDr'

// 分配内存时传入标签
PVOID buffer = ExAllocatePoolWithTag(
    NonPagedPool,       // 池类型
    1024,               // 大小（字节）
    TAG_MYDRIVER        // 池标签
);

// 释放内存时必须使用相同的标签
ExFreePoolWithTag(buffer, TAG_MYDRIVER);

4.3 内存泄漏检测原理

Driver Verifier 的内存泄漏检测基于 引用计数 + 追踪记录 的机制。其核心原理如下：

1. 记录分配：每次驱动调用 ExAllocatePoolWithTag 时，Verifier 在内部哈希表中插入一条记录，包含地址、大小、标签、调用栈等信息。
2. 匹配释放：每次调用 ExFreePoolWithTag 时，Verifier 查找哈希表中对应的记录，验证标签和地址有效性，然后删除记录。
3. 驱动卸载检查：当驱动卸载时，Verifier 遍历哈希表中属于该驱动的所有记录。如果发现仍有未释放的记录，则判定为内存泄漏。
4. 触发 Bug Check：检测到泄漏后，系统触发 Bug Check 0xC4，参数 1 为子代码 0x62（池泄漏），并附带泄漏内存的详细信息。

4.4 池泄漏的调试分析

当 Driver Verifier 检测到池泄漏并触发 Bug Check 后，调试器（WinDbg）会显示类似以下的信息：

DRIVER_VERIFIER_DETECTED_VIOLATION (c4)
Arguments:
Arg1: 00000062, 池泄漏子代码
Arg2: ffff800123456789, 泄漏内存的地址
Arg3: 0000000000000400, 泄漏内存的大小（1024 字节）
Arg4: 4d794472, 池标签 'MyDr'（小端存储）

!analyze -v 输出：
POOL_LEAK_DETECTED
Pool tag: MyDr
Allocation size: 1024
Call stack at allocation:
    mydriver!AllocateBuffer+0x50
    mydriver!ProcessRequest+0x120
    mydriver!DispatchCreate+0x80
    nt!IofCallDriver+0x50

调试步骤：

1. 使用 !analyze -v 获取泄漏的详细信息，包括池标签和分配调用栈。
2. 使用 !pool 命令 查看泄漏地址所在的池页信息。
3. 使用 kb 或 kv 查看当前线程的调用栈，确认泄漏路径。
4. 检查驱动代码，在调用栈指示的分配路径中查找缺少 ExFreePoolWithTag 的分支。

4.5 启用与配置 Pool Tracking

通过 verifier.exe 命令行工具启用 Pool Tracking：

verifier /flags 0x8 /driver mydriver.sys
rem 0x8 对应 Pool Tracking 标志位

也可以通过图形界面启用：

1. 运行 verifier 打开 Driver Verifier Manager。
2. 选择 创建自定义设置（针对代码开发人员）。
3. 勾选 内存池追踪。
4. 选择要验证的驱动。
5. 重启系统生效。