UNICODE_STRING

UNICODE_STRING 是在内核中描述字符串的结构体，和应用层的Char不一样，Unicode_String 每个字占两个字节，计算length是 *sizeof(WCHAR)
定义为 UNICODE_STRING Str = {0}
结构为

typedef struct _UNICODE_STRING{
USHORT Length;//字节数
USHORT MaximumLength;//字节数，告诉系统函数多少内存可用
PWSTR Buffer;//指向字符串的指针
}UNICODE_STRING
typedef struct _STRING{
USHORT Length;
USHORT MaximumLength;
PCHAR Bufer
}ANSI_STRING

初始化UNICODE_STRING 的方法

Buffer 指向栈上的内存
UNICODE_STRING Str = {0};
Str.Buffer = WCHAR类型的指针指向字符串
Str.Length = wcslen(L"字符串")*sizeof(WCHAR);
Str.MaximumLength = sizeof(WCHAR) //测量字符串的长度
Buffer 指向堆上的内存
UNICODE_STRING Str = {0};
ULONG uLength = (wcslen(L"字符串")) * sizeof(WCHAR);
Str.Buffer = ExAllocatePooleWithTag(PagedPool,MAX_PATH*sizeof(WCHAR),"pocu");
RtlZeroMemory(Str,Buffer,MAX_PATH*sizeof(WCHAR));
memcpy(Str.Buffer,L"字符串");
Str.Length = uLength;
Str.MaximumLength = MAX_PATH*sizeof(WCHAR);
ExFreePool(Str.Buffer);

UNICODE_STRING常用API

RtllnitUnicodeString(&uStr1,str1) 浅拷贝
RtlCopyUnicodeString(&uStr1,&uStr2) 深拷贝 浅拷贝直接动指针，深拷贝动内存
RtlAppendUnicodeToString(&uStr1,str2(普通字符串)) 拼接
RtlAppendUnicodeStringToString(&uStr1,&uStr2(Unicode_String字符串)) 拼接
RtlCompareUnicodeString(&uStr1,&uStr2,TRUE/FALSE(表示是否忽略大小写)) 相等返回0，第一个字符串小于第二个字符是负数，大于是正数
strcmp stricmp(忽略大小写) strncmp(比较前n的字符) strnicmp (即忽略大小写又比较前n的字符) 下面的同理
wcscmp wcsicmp wcsncmp wcsnicmp
_tcscmp _tcsicmp _tcsncmp _tcsnicmp
RtlAnsiStringToUnicodeString(&uStr1,&aStr1,TRUE/FALSE(true的话不需要计算所需要的的内存))字符串编码的转化，可以把多字节字符串转化为宽字节串，大小会变化

API 使用中可能出现的问题

计算字节数不能直接MAX_PATH MAX_PATH是字节数 UNICODE_STRING每个字有两个字符 要用MAX_PATH * 2、
RtlFreeUnicodeString(&uStr1)(有溢出风险，最大字节65535，最多字节32767)

RtllnitUnicodeString(&ustrTest,L"Hello,world") ;把buffer指向静态常量区，丢掉了堆上的内存
ExFreePool(ustrTest.Buffer);这里再释放的话就会蓝屏