target audience

An IRP (I/O Request Packet) Trace Guide refers to a comprehensive driver debugging methodology focused on monitoring, capturing, and analyzing I/O Request Packets (IRPs) within the Windows operating system kernel. IRPs are the foundational data structures that the Windows I/O Manager and kernel-mode drivers use to communicate with one another and pass data back and forth.

When a driver developer or reverse engineer encounters system crashes (Blue Screens of Death), hardware communication bottlenecks, or data corruption, tracking the lifecycle of these packets is the primary way to locate the root cause. 核心目的与调试痛点 (Core Purpose & Pain Points)

在 Windows 驱动开发中，普通的应用程序断点调试（如用户态调试）无法直接窥探内核层的运转。IRP 跟踪指南旨在解决以下核心痛点：

数据流向不明：一个 I/O 请求可能会经过由多个驱动组成的“驱动栈”（Device Stack），开发者很难肉眼判定是哪一层修改了数据或返回了错误。

死锁与挂起：当某个驱动程序收到 IRP 但忘记调用 IoCompleteRequest 结束它，或者没有正确下发（Pass Down）时，系统或特定设备就会无限期卡死。

不兼容性与崩溃：错误的 IRP 状态码（Status Code）或未初始化的栈空间会导致系统触发零级异常（Bug Check）。 主要调试工具链 (Key Tools of the Trade)

一本全面的 IRP 调试指南通常会围绕以下核心工具展开： 1. WinDbg（官方内核调试器）

⁠WinDbg 是微软官方最强大的内核级调试工具。在进行 IRP 跟踪时，最常用的专用扩展命令包括：

!irp <地址>：查看特定内存地址上 IRP 的详细结构、当前主要/次要函数代码（Major/Minor Function）以及其在驱动栈中的位置。

!devobj <地址> 或 !drvobj <名称>：查看设备或驱动对象，弄清哪个驱动正在处理当前的 IRP。

ba e 1 <地址>：对 Irp->IoStatus.Status 设置内存访问断点，精准捕捉是在哪一行代码将该 IRP 标记为失败的。 2. IRPMon & IrpTracker（实时监控利器）

对于不想频繁中断内核执行、希望像使用 Wireshark 抓包一样观察 I/O 请求的人来说，第三方开源工具是最佳选择：

⁠IRPMon (MartinDrab) 是目前主流的 64 位 Windows 实时 IRP 监视器。它不使用容易引发安全软件拦截的内联钩子（Inline Hooks），而是通过安全地修改驱动对象结构，实时捕获 IRP, FastIo, AddDevice, 和 DriverUnload 等内核请求。 3. Driver Verifier（驱动程序验证程序）

Windows 内置的 ⁠Driver Verifier 拥有专门的 IRP Logging（IRP 记录）功能。开启后，系统会自动将驱动的所有 WMI IRP 记录在内存中，开发者可以使用 DC2WMIParser 工具将其导出为可读的文本文件进行离线分析。 关键分析步骤 (Methodology & Workflow)

通常，一份高级的调试指南会引导你通过以下四个步骤排查 IRP 问题：

[ 捕获请求 ] ──> [ 追踪驱动栈 ] ──> [ 检查状态变更 ] ──> [ 确认完成/下发 ] Microsoft Learn

Introduction to DPC Objects – Windows drivers – Microsoft Learn