在内核编程中字符串有两种格式ANSI_STRING与UNICODE_STRING，这两种格式是微软推出的安全版本的字符串结构体，也是微软推荐使用的格式，通常情况下ANSI_STRING代表的类型是char *也就是ANSI多字节模式的字符串，而UNICODE_STRING则代表的是wchar*也就是UNCODE类型的字符，如下文章将介绍这两种字符格式在内核中是如何转换的。
在内核开发模式下初始化字符串也需要调用专用的初始化函数，如下分别初始化ANSI和UNCODE字符串，我们来看看代码是如何实现的。
#include #include VOID UnDriver(PDRIVER_OBJECT driver){DbgPrint("驱动卸载成功 \n");}NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){// 定义内核字符串ANSI_STRING ansi;UNICODE_STRING unicode;UNICODE_STRING str;// 定义普通字符串char * char_string = "hello lyshark";wchar_t *wchar_string = (WCHAR*)"hello lyshark";// 初始化字符串的多种方式RtlInitAnsiString(&ansi, char_string);RtlInitUnicodeString(&unicode, wchar_string);RtlUnicodeStringInit(&str, L"hello lyshark");// 改变原始字符串char_string[0] = (CHAR)"A"; // char类型每个占用1字节char_string[1] = (CHAR)"B";wchar_string[0] = (WCHAR)"A"; // wchar类型每个占用2字节wchar_string[2] = (WCHAR)"B";// 输出字符串 %ZDbgPrint("输出ANSI: %Z \n", &ansi);DbgPrint("输出WCHAR: %Z \n", &unicode);DbgPrint("输出字符串: %wZ \n", &str);DbgPrint("驱动加载成功 \n");Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;}代码输出效果：
内核中还可实现字符串与整数之间的灵活转换，内核中提供了RtlUnicodeStringToInteger这个函数来实现字符串转整数，与之对应的RtlIntegerToUnicodeString则是将整数转为字符串这两个内核函数也是非常常用的。
#include #include VOID UnDriver(PDRIVER_OBJECT driver){ DbgPrint("驱动卸载成功 \n");}// Power: lysharkNTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){ NTSTATUS flag; ULONG number; DbgPrint("hello lyshark \n"); UNICODE_STRING uncode_buffer_source = { 0 }; UNICODE_STRING uncode_buffer_target = { 0 }; // 字符串转为数字 // By：LyShark RtlInitUnicodeString(&uncode_buffer_source, L"100"); flag = RtlUnicodeStringToInteger(&uncode_buffer_source, 10, &number); if (NT_SUCCESS(flag)) { DbgPrint("字符串 -> 数字: %d \n", number); } // 数字转为字符串 uncode_buffer_target.Buffer = (PWSTR)ExAllocatePool(PagedPool, 1024); uncode_buffer_target.MaximumLength = 1024; flag = RtlIntegerToUnicodeString(number, 10, &uncode_buffer_target); if (NT_SUCCESS(flag)) { DbgPrint("数字 -> 字符串: %wZ \n", &uncode_buffer_target); } // 释放堆空间 RtlFreeUnicodeString(&uncode_buffer_target); DbgPrint("驱动加载成功 \n"); Driver->DriverUnload = UnDriver; return STATUS_SUCCESS;}代码输出效果：
继续看另一种转换模式，将UNICODE_STRING结构转换成ANSI_STRING结构，代码中调用了RtlUnicodeStringToAnsiString内核函数，该函数也是微软提供的。
#include #include VOID UnDriver(PDRIVER_OBJECT driver){DbgPrint("驱动卸载成功 \n");}// Power: lysharkNTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){DbgPrint("hello lyshark \n");UNICODE_STRING uncode_buffer_source = { 0 };ANSI_STRING ansi_buffer_target = { 0 };// 初始化 UNICODE 字符串RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");// 转换函数NTSTATUS flag = RtlUnicodeStringToAnsiString(&ansi_buffer_target, &uncode_buffer_source, TRUE);if (NT_SUCCESS(flag)){DbgPrint("ANSI: %Z \n", &ansi_buffer_target);}// 销毁ANSI字符串RtlFreeAnsiString(&ansi_buffer_target);DbgPrint("驱动加载成功 \n");Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;}代码输出效果：
如果将上述过程反过来，将ANSI_STRING转换为UNICODE_STRING结构，则需要调用RtlAnsiStringToUnicodeString这个内核专用函数实现。
#include #include VOID UnDriver(PDRIVER_OBJECT driver){DbgPrint("驱动卸载成功 \n");}// Power: lysharkNTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){DbgPrint("hello lyshark \n");UNICODE_STRING uncode_buffer_source = { 0 };ANSI_STRING ansi_buffer_target = { 0 };// 初始化字符串RtlInitString(&ansi_buffer_target, "hello lyshark");// 转换函数NTSTATUS flag = RtlAnsiStringToUnicodeString(&uncode_buffer_source, &ansi_buffer_target, TRUE);if (NT_SUCCESS(flag)){DbgPrint("UNICODE: %wZ \n", &uncode_buffer_source);}// 销毁UNICODE字符串RtlFreeUnicodeString(&uncode_buffer_source);DbgPrint("驱动加载成功 \n");Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;}代码输出效果：
如上代码是内核通用结构体之间的转换类型，又是还需要将各类结构体转为普通的字符类型，例如下方的两个案例：
例如将UNICODE_STRING 转为 CHAR*类型。
#define _CRT_SECURE_NO_WARNINGS#include #include #include VOID UnDriver(PDRIVER_OBJECT driver){DbgPrint("驱动卸载成功 \n");}// powerBY: LySharkNTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){DbgPrint("hello lyshark \n");UNICODE_STRING uncode_buffer_source = { 0 };ANSI_STRING ansi_buffer_target = { 0 };char szBuf[1024] = { 0 };// 初始化 UNICODE 字符串RtlInitUnicodeString(&uncode_buffer_source, L"hello lyshark");// 转换函数NTSTATUS flag = RtlUnicodeStringToAnsiString(&ansi_buffer_target, &uncode_buffer_source, TRUE);if (NT_SUCCESS(flag)){strcpy(szBuf, ansi_buffer_target.Buffer);DbgPrint("输出char*字符串: %s \n", szBuf);}// 销毁ANSI字符串RtlFreeAnsiString(&ansi_buffer_target);DbgPrint("驱动加载成功 \n");Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;}代码输出效果：
如果反过来，将 CHAR*类型转为UNICODE_STRING结构呢，可以进行中转最终转为UNICODE_STRING结构体。
#define _CRT_SECURE_NO_WARNINGS#include #include #include VOID UnDriver(PDRIVER_OBJECT driver){DbgPrint("驱动卸载成功 \n");}// powerBY: LySharkNTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath){DbgPrint("hello lyshark \n");UNICODE_STRING uncode_buffer_source = { 0 };ANSI_STRING ansi_buffer_target = { 0 };// 设置CHAR*char szBuf[1024] = { 0 };strcpy(szBuf, "hello lyshark");// 初始化ANSI字符串RtlInitString(&ansi_buffer_target, szBuf);// 转换函数NTSTATUS flag = RtlAnsiStringToUnicodeString(&uncode_buffer_source, &ansi_buffer_target, TRUE);if (NT_SUCCESS(flag)){DbgPrint("UNICODE: %wZ \n", &uncode_buffer_source);}// 销毁UNICODE字符串RtlFreeUnicodeString(&uncode_buffer_source);DbgPrint("驱动加载成功 \n");Driver->DriverUnload = UnDriver;return STATUS_SUCCESS;}代码输出效果：
文章作者：lyshark (王瑞)
文章出处：https://www.cnblogs.com/LyShark/p/16739228.html
版权声明：本博客文章与代码均为学习时整理的笔记，文章 [均为原创] 作品，转载请 [添加出处] ，您添加出处是我创作的动力！
转载文章，请遵守《中华人民共和国著作权法》相关规定或遵守《署名CC BY-ND 4.0国际》禁止演绎规范，合理合规，携带原创出处转载。