USBHound驱动开发笔记
+ -
USBHound开发调试笔记-数据的过滤打印
UVC摄像头BUSHOUND抓包与UBSHOUND抓包所在的层次

自研BUSHOUND工具USBHound开发调试笔记-USB控制传输的数据抓包实现

2022-07-29 778 13

本想着搞一个自研的BUSHOUND应该是一件比较简单的事，但没想到也麻烦了。
搞了一天upperfilter,最终还是投降，换成了lowerfilter.
前面搞的时候，对系统中所有USB设备进行过滤，导致系统中的数据打印太多，无法分清谁是谁。当然也可以分清，每个设备的地址不一样，并且设备栈也是明确的，但如果要对着一大堆的十六进制数，虽然本人看的多也习惯了，但也抗不住啊。
所以，为了化繁为简，本人使用的是一个USB音箱来测试的，只对这个音箱来进行类过滤。过滤的方法也就很简单粗爆，就是通过硬件ID来实现。

  1. BOOLEAN isFind = FALSE;
  2. WCHAR PropertyBuffer[64] = { 0 };
  3. ULONG  ResultLength = 0;
  4. status = IoGetDeviceProperty(PhysicalDeviceObject, DevicePropertyHardwareID, sizeof(PropertyBuffer), PropertyBuffer, &ResultLength);
  5. if (status == STATUS_SUCCESS)
  6. {
  7.     KdPrint(("DevicePropertyHardwareID:%S\n", PropertyBuffer));
  8.     if (wcsstr(PropertyBuffer, L"USB\\VID_1908&PID_2070&REV_0100") != NULL)
  9.     {
  10.         isFind = TRUE;
  11.     }
  12. }

所以最终通过!devstack查看到的设备栈如下：

  1. 1: kd> !devstack FFFFB5801529B270
  2.   !DevObj           !DrvObj            !DevExt           ObjectName
  3.   ffffb58012950060  \Driver\usbccgp    ffffb580129501b0  0000005f
  4. > ffffb5801529b270  \Driver\USBHound   ffffb5801529b3c0  
  5.   ffffb5801530d8e0  \Driver\USBHUB3    ffffb580152d4e70  USBPDO-15

可以看到，我们的设备ffffb5801529b270是usbccgp驱动ffffb58012950060的下层过滤驱动，但又为了HUB创建的ffffb5801530d8e0之上。这样就可以对该设备ffffb58012950060进行数据过滤了。

延用昨天的代码，后面完善了一下UrbFunctionControlTransfer的代码：

  1. NTSTATUS UrbFunctionControlTransfer(PDEVICE_OBJECT DeviceObject, PURB Urb)
  2. {
  3.     PFILTER_DEVICE_EXTENSION DeviceExtension = (PFILTER_DEVICE_EXTENSION)DeviceObject->DeviceExtension;
  4.     PUCHAR buffer = GetTransferBuffer(Urb->UrbControlTransfer);
  5.     ULONG nLength = GetTransferLength(Urb->UrbControlTransfer);
  7.     UNREFERENCED_PARAMETER(DeviceExtension);
  8.     UNREFERENCED_PARAMETER(buffer);
  9.     UNREFERENCED_PARAMETER(nLength);
  10.     KdPrint(("DeviceObject:%p\n", DeviceObject));
  11.     KdPrint(("DeviceExtension:%p\n", DeviceExtension));
  14.     KdPrint(("UrbFunctionControlTransfer:\n"));
  15.     DumpUsbCtrlCmd(Urb->UrbControlTransfer.SetupPacket, sizeof(Urb->UrbControlTransfer.SetupPacket));
  17.     if (Urb->UrbControlTransfer.TransferFlags & USBD_TRANSFER_DIRECTION_IN)
  18.     {
  19.         KdPrint(("IN:"));
  20.     }
  21.     else
  22.     {
  23.         KdPrint(("OUT:"));
  24.     }
  26.     if (Urb->UrbControlTransfer.TransferFlags & USBD_SHORT_TRANSFER_OK)
  27.     {
  28.         DumpHex(buffer, nLength);
  29.     }
  30.     else
  31.     {
  32.         KdPrint(("USTS %08x\n", Urb->UrbControlTransfer.Hdr.Status));
  33.     }
  34.     return STATUS_SUCCESS;
  35. }

插入设备之后，通过windbg打印出的数据信息如下：

  2. Urb=FFFFB580151E77E0,urb2=FFFFB580151E77E0
  3. Urb->UrbHeader.Function=8
  4. DeviceObject:FFFFB5801529B270
  5. DeviceExtension:FFFFB5801529B3C0
  6. UrbFunctionControlTransfer:
  7. CTL: 80 06 00 01 00 00 12 00 
  8. IN:12 01 10 01 00 00 00 40 08 19 70 20 00 01 01 02 
  9. 03 01 
  11. Urb=FFFFB580151E77E0,urb2=FFFFB580151E77E0
  12. Urb->UrbHeader.Function=8
  13. DeviceObject:FFFFB5801529B270
  14. DeviceExtension:FFFFB5801529B3C0
  15. UrbFunctionControlTransfer:
  16. CTL: 80 06 00 02 00 00 09 00 
  17. IN:09 02 6E 00 02 01 00 80 C8 
  19. Urb=FFFFB580151E77E0,urb2=FFFFB580151E77E0
  20. Urb->UrbHeader.Function=8
  21. DeviceObject:FFFFB5801529B270
  22. DeviceExtension:FFFFB5801529B3C0
  23. UrbFunctionControlTransfer:
  24. CTL: 80 06 00 02 00 00 6E 00 
  25. IN:09 02 6E 00 02 01 00 80 C8 09 04 00 00 00 01 01 
  26. 00 00 09 24 01 00 01 28 00 01 01 0C 24 02 01 01 
  27. 01 00 02 03 00 00 00 0A 24 06 02 01 01 03 00 00 
  28. 00 09 24 03 03 01 03 00 02 00 09 04 01 00 00 01 
  29. 02 00 00 09 04 01 01 01 01 02 00 00 07 24 01 01 
  30. 01 01 00 0B 24 02 01 02 02 10 01 80 BB 00 09 05 
  31. 02 09 C0 00 01 00 00 07 25 01 01 01 01 00 
  33. Urb=FFFFB58015272910,urb2=FFFFB58015272910
  34. Urb->UrbHeader.Function=0
  38. Urb=FFFFB5801581D310,urb2=FFFFB5801581D310
  39. Urb->UrbHeader.Function=8
  40. DeviceObject:FFFFB5801529B270
  41. DeviceExtension:FFFFB5801529B3C0
  42. UrbFunctionControlTransfer:
  43. CTL: 80 06 02 03 09 04 04 00 
  44. IN:1C 03 55 00 
  46. Urb=FFFFB5801581D310,urb2=FFFFB5801581D310
  47. Urb->UrbHeader.Function=8
  48. DeviceObject:FFFFB5801529B270
  49. DeviceExtension:FFFFB5801529B3C0
  50. UrbFunctionControlTransfer:
  51. CTL: 80 06 02 03 09 04 1C 00 
  52. IN:1C 03 55 00 53 00 42 00 32 00 2E 00 30 00 20 00 
  53. 44 00 65 00 76 00 69 00 63 00 65 00 
  55. 580151BFBB0
  56. UsbSleepStudy_DeviceD0Entry: Exit Handle 0XFFFFB580151BFBB0
  57. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  58. Urb->UrbHeader.Function=8
  59. DeviceObject:FFFFB5801529B270
  60. DeviceExtension:FFFFB5801529B3C0
  61. UrbFunctionControlTransfer:
  62. CTL: 80 06 02 03 09 04 04 00 
  63. IN:1C 03 55 00 
  65. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  66. Urb->UrbHeader.Function=8
  67. DeviceObject:FFFFB5801529B270
  68. DeviceExtension:FFFFB5801529B3C0
  69. UrbFunctionControlTransfer:
  70. CTL: 80 06 02 03 09 04 1C 00 
  71. IN:1C 03 55 00 53 00 42 00 32 00 2E 00 30 00 20 00 
  72. 44 00 65 00 76 00 69 00 63 00 65 00 
  74. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  75. Urb->UrbHeader.Function=8
  76. DeviceObject:FFFFB5801529B270
  77. DeviceExtension:FFFFB5801529B3C0
  78. UrbFunctionControlTransfer:
  79. CTL: A1 81 00 01 00 02 01 00 
  80. IN:00 
  82. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  83. Urb->UrbHeader.Function=8
  84. DeviceObject:FFFFB5801529B270
  85. DeviceExtension:FFFFB5801529B3C0
  86. UrbFunctionControlTransfer:
  87. CTL: A1 81 00 02 00 02 02 00 
  88. IN:78 80 
  90. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  91. Urb->UrbHeader.Function=8
  92. DeviceObject:FFFFB5801529B270
  93. DeviceExtension:FFFFB5801529B3C0
  94. UrbFunctionControlTransfer:
  95. CTL: A1 82 00 02 00 02 02 00 
  96. IN:00 80 
  98. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  99. Urb->UrbHeader.Function=8
  100. DeviceObject:FFFFB5801529B270
  101. DeviceExtension:FFFFB5801529B3C0
  102. UrbFunctionControlTransfer:
  103. CTL: A1 83 00 02 00 02 02 00 
  104. IN:FF 80 
  106. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  107. Urb->UrbHeader.Function=8
  108. DeviceObject:FFFFB5801529B270
  109. DeviceExtension:FFFFB5801529B3C0
  110. UrbFunctionControlTransfer:
  111. CTL: A1 84 00 02 00 02 02 00 
  112. IN:01 00 
  114. Urb=FFFFB580155F4710,urb2=FFFFB580155F4710
  115. Urb->UrbHeader.Function=1
  116. UrbFunctionSelectInterface:
  117.      InterfaceNumber:01
  118.      AlternateSetting:00
  119.      Class:01
  120.      NumberOfPipes:00
  122. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  123. Urb->UrbHeader.Function=8
  124. DeviceObject:FFFFB5801529B270
  125. DeviceExtension:FFFFB5801529B3C0
  126. UrbFunctionControlTransfer:
  127. CTL: 21 01 00 01 00 02 01 00 
  128. OUT:00 
  130. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  131. Urb->UrbHeader.Function=8
  132. DeviceObject:FFFFB5801529B270
  133. DeviceExtension:FFFFB5801529B3C0
  134. UrbFunctionControlTransfer:
  135. CTL: 21 01 00 02 00 02 02 00 
  136. OUT:6E 80 
  138. Urb=FFFFB580148A1C00,urb2=FFFFB580148A1C00
  139. Urb->UrbHeader.Function=1
  140. UrbFunctionSelectInterface:
  141.      InterfaceNumber:01
  142.      AlternateSetting:01
  143.      Class:01
  144.      NumberOfPipes:01
  146. Urb=FFFFB58014F00880,urb2=FFFFB58014F00880
  147. Urb->UrbHeader.Function=8
  148. DeviceObject:FFFFB5801529B270
  149. DeviceExtension:FFFFB5801529B3C0
  150. UrbFunctionControlTransfer:
  151. CTL: 22 01 00 01 02 00 03 00 
  152. OUT:80 BB 00

这个数据的显示竟然和BUSHOUND抓到的包一致(不一致就怪了)，那就兴奋一下，可以过一个美好的周末了。

BUSHOUND抓包

不过话说回来，今年的进展确实够慢。不过技术就是个探索的过程。
本人大概研究了一下BUSHOUND的原理，不过没有研究明白，他是类过滤驱动但是没有对设备进行类驱动栈的增加，系统只也只有一个控制设备。而我的就不样了。

  • BUSHOUND设备栈
    BUSHOUND设备栈

  • USBHound设备栈
    USBHound设备栈

HID人机交互QQ群：564808376    UAC音频QQ群：218581009    UVC相机QQ群：331552032    BOT&UASP大容量存储QQ群：258159197    STC-USB单片机QQ群：315457461    USB技术交流QQ群2:580684376    USB技术交流QQ群：952873936   
USBHound开发调试笔记-数据的过滤打印
UVC摄像头BUSHOUND抓包与UBSHOUND抓包所在的层次

0 篇笔记 写笔记

USB音箱 工作抓包分析
USB音响打开Length Phase Data -------- ----- ------------------------------ -------------- CTL ......
UVC摄像头的关闭流程及抓包分析
通过UVC协议规范可以知道，UVC的数据传输支持USB四种传输中的批量传输和同步传输，所以对于UVC摄像头，当我们在摄像头正在工作时，需要停止摄像头工作，执行的操作是不同的。在Linux的源代码中，摄像头的流关闭是由函数uvc_video_stop_streaming完成的。代码比较简单，我们直接给......
ubuntu下使用usbmon进行usb抓包
开发或者调试USB设备相关的工具或者驱动，一个调试的利器就是usbmon抓包。 在ubuntu下使用步骤如下：1 运行命令 sudo mount -t debugfs none /sys/kernel/debug ，如果提示已经挂载，则下次抓包就可以不运行这个命令了。表示系统默认会挂载。 2 ......
华为UAC麦克风的工作过程数据分析
看完了耳机的数据分析，再来分析麦克风，就相对来说很简单了，这是因为：第一：麦克风没有音频控制特效单元描述符，所以少了很多特定类请求。第二：麦克风只有一个音频流转换接口，且只支持采样率为48000HZ 16位。具体的过程见下：Length Phase Data-------- --......
BusHound的使用方法详解
在开始菜单日运行Bus Hound软件，将USB设备插入电脑U口。如图所示，进入”Devices”目录，在”Devices”内选择要监听的设备。例如：我的设备置是一个U盘，则装置为USB大容量储存设备，点选”USB大容量储存设备”图示，可以在下面的”Properties”图框内看到设备的设备树及设备......
HID键盘设备数据抓包分析实践
本文使用 Bus Hound 工具对 USB HID 设备数据包进行分析，并结合官方手册及网上文章进行整理。在进行数据分析前，我们先回顾一下USB相关的基础知识。USB描述符USB 主机是通过各种描述符来识别设备的，有设备描述符，接口描述符，端点描述符，字符描述符，报告描述符（HID）等。和普通的......
Windows下使用Wireshark分析USB通信
USB技术的应用越来越广泛,我们常用的U盘、鼠标、键盘都是USB设备。我们有时也会遇见要对这种设备进行调试的情形,但是很少有人知道其实Wireshark也是可以胜任这一任务的。Wireshark可以像处理网络中的通信一样来捕获和解析USB设备的通信。Wireshark2.0之后就加入了对USB协议的......
关于UVC摄像头指示灯的调试过程总结
最近遇到了一个很是奇怪的UVC摄像头指示灯问题，现象如下：上层应用是一个会议系统软件，当需要进行会议时，点击会议按钮添加会议。这时应用软件打开摄像头，并开始与服务器进行网络连接。当然由于摄像头的打开，摄像头指示灯点亮。上层应用软件与服务器连接后，进行会议界面。这时突然摄像头指示灯熄灭，但会议正常，摄......
UVC摄像头打开关闭数据分析
UVC相机在打开时，会使用SET_INTERFACE命令，在停止播放时，也会发送SET_INTERFACE命令。打开时，数据抓包为：CTL 01 0b 01 00 01 00 00 00 SET INTERFACE停播放时，数据抓包为：CTL 01 0b 00 00 01......
BusHound简介及安装
BusHound简介BusHound软件是由美国perisoft公司研制的一种专用于PC机各种总线数据包监视和控制的开发工具软件，其名“hound”的中文意思为“猎犬”，即指其能敏锐地感知到总线的丝毫变化。Bus Hound是一个超级软件总线协议分析器，用于捕捉来自设备的协议包和输入输出操作,其优......
BusHound设备窗口
使用BusHound进行数据抓包，抓包的目标为设备。BusHound提供了一个类似设备管理器的窗口，以树形的方式显示。设备树主要包括SCSI设备树和Usb设备树。设备IDBusHound为每个显示在设备窗口中的设备树分配一个ID,这个ID在设备窗口树列表中，设备名前中括号中的数字为设备ID.点击设备......
Linux源码分析UVC摄像头的打开流程及抓包分析
和关闭摄像头类似，Linux使用uvc_video_start_streaming函数打开摄像头int uvc_video_start_streaming(struct uvc_streaming *stream){ int ret; ret = uvc_video_clock_init......
UVC 描述符实例
通过BUSBOUND抓取USB摄像头插入电脑时的数据信息，这里只是选报设备描述符和接口描述符信息Device Phase Data Description Cmd.Phase.Ofs(rep)------ ----- ----------......
BUSHOUND抓包stall pid的USTS c0000004错误
对USB设备进行数据分析，使用最多的也就是BUSHOUND了，不过经常遇到一个问题就是 USTS c0000004 stall pid 错误。USTS c0000004 stall pid在本站中搜......
手动分析使用BUSHOUND抓取同步传输的URB
BUSHOUND大家太熟了，使用它来进行数据抓包那不太太方便。但在BUSHOUND的抓取配置项中，有一个叫了URB的东西，我相信大家都没有选中过，因为一般来说，对WINDOWS USB驱动开发人员来说都不一定有用，更何况大家也只是用来抓取一下几个数据的输入输出，更没有必要进行USB的分析了。本人今天......
关注公众号
  • HID人机交互
  • Linux&USB
  • UAC音频
  • TYPE-C
  • USB规范
  • USB大容量存储
  • USB百科
  • USB周边
  • UVC摄像头
  • Windows系统USB
  • 音视频博客
    • 取消
    感谢您的支持，我会继续努力的!
    扫码支持
    扫码打赏，你说多少就多少

    打开支付宝扫一扫，即可进行扫码打赏哦

    您的支持，是我们前进的动力！