견우의 블로그

IoCallDriver는 파라미터를 받을 때 fastcall방식을 사용합니다.
즉, ecx는 첫번째 파라미터(DeviceObject), edx는 두번째 파라미터(Irp)가 입력됩니다.

lkd> u nt!IopfCallDriver
804e33a2 dec    byte ptr [edx+23h]                     

; Irp->CurrentLocation 을 1 감소합니다.
; 즉 현재 스택에서 하위 스택으로 이동하는 것이지요

                  
804e33a5 mov    al,byte ptr [edx+23h]
804e33a8 test    al,al                                            
804e33aa jle     nt!IopfCallDriver+0xa (805222e1)

; 현재 스택의 위치가 0보다 작다면 
; nt!IopfCallDriver+0xa  로 점프합니다.
; u 명령어로 역어셈 해보니 블루스크린을 발생하는 곳이군요.
; 즉 현재 스택위치가 0보다 작다는 의미는
; 더이상 하위 스택이 없단 의미로 이렇게 되면 무엇인가
; 코드가 문제가 있는 것이니 더이상 진행할 수 없어 블루스크린을
; 띄우는 것입니다.

804e33b0 mov     eax,dword ptr [edx+60h]            
804e33b3 sub     eax,24h

; 이번엔 Irp->OverLay.CurrentStackLocation을 가져옵니다. 
; CurrentStackLocation에서 -24를 하네요... 왜 -24를 뺄까요?
; 그것은 하위 스택의 주소를 가져오기 위함입니다.
; 스택의 자료구조는 _IO_STACK_LOCATION이고 이 구조체의
; 크기는 24입니다. 헤헤.. 네~ 포인터 연산을 하는 것입니다.

804e33b6 push    esi
804e33b7 mov     dword ptr [edx+60h],eax

; 포인터 연산을 마무리하네요..
; 다음 스택을 Irp->Overlay.CurrentStackLocation에 설정합니다.

804e33ba mov     dword ptr [eax+14h],ecx

; nextStack->DeviceObject에 파라미터로 받은
; DeviceObject를 설정합니다.

804e33bd movzx   eax,byte ptr [eax]

; eax는 currentStack이었죠 첫번째 필드는 MajorFunction입니다.

804e33c0 mov     esi,dword ptr [ecx+8]                

; ecx는 DeviceObject이고 +8의 위치는 DriverObject를 뜻합니다.

804e33c3 push    edx                
804e33c4 push    ecx
804e33c5 call    dword ptr [esi+eax*4+38h]

; DriverObject+ 38h + MajorFunction*4  라는 뜻이 되겠네요.
; DriverObject+ 38h는 MajorFunction Table을 뜻합니다.
; 즉 DriverObject에 MajorFunction에 해당하는 함수를 호출하는 것이 되겠네요.

804e33c9 pop     esi
804e33ca ret

lkd> u 805222e1
nt!IopfCallDriver+0xa:                            
805222e1 push    0
805222e3 push    0
805222e5 push    0
805222e7 push    edx
805222e8 push    35h
805222ea call    nt!KeBugCheckEx (80539657)    ; 블루스크린을 발생시킵니다.!
805222ef  mov     esi,dword ptr [eax+4]

위의 코드를 보면 IoCallDriver의 역할은 Irp를 하위 스택으로 설정하고
하위 스택의 DriverObject의 MajorFunction에 대한 함수를 호출하는 것으로
정리할 수 있습니다.

p.s. 밑의 자료구조와 매칭해서 보시면 더욱 이해가 쉬울 것입니다.