实战windbg调试驱动例子

分享一下我老师大神的人工智能教程！零基础，通俗易懂！http://blog.csdn.net/jiangjunshow

也欢迎大家转载本篇文章。分享知识，造福人民，实现我们中华民族伟大复兴！

               

关于VM和WINDBG的基本配置请参考相关的文档。（在这里给各位一篇不错的文章，就是jiurl老大写的《  利用VM使用windbg  》）

好了，废话少说，让我们整点干的 ：-）
既然我们要分析的是sr.sys，当然我们先要看的就是目标机加载的驱动程序的位置了，sr.sys是XP系统系统还原的主体部分，它是建立在NTFS文件分区格式下的一个驱动，说白了 sr.sys其实就是ntfs.sys的filter driver。
kd>!drivers
Base       Code Size      Data Size      Image Name        Creation Time
……
fc3ed000   de80 (  56 k)  2c00 ( 11 k)       sr.sys  Thu Aug 29 16:17:56 2002
……
我查找了与sr.sys相关的资料，不过没找到什么有用的东西，最有用的可能就是MSDN里面关于WINXP SYSTEM RESTORE的相关介绍了，不过实在是没有什么帮助，看来只有自己动手丰衣足食了,首先我们先来大概的分析一下代码，然后由