windows 内核函数前缀解析

《Windows内核情景分析–采用开源代码ReactOS(上、下册)》本书通过分析ReactOS的源代码介绍了Windows内核各个方面的结构、功能、算法与具体实现。本小节为大家介绍Windows内核函数的命名。

1.5 Windows内核函数的命名

Windows的内核函数在命名上有个很好的特色,就是函数名都按其所在的层次或模块加上了特定的前缀。了解了这些前缀,看到一个函数名就可以大致知道这个函数所属的层次和模块,主要的前缀有:

Ex:管理层,Ex是Executive的开头两个字母。

Ke:核心层,Ke是Kernel的开头两个字母。

Hal:硬件抽象层,Hal是Hardware Abstraction Layer的缩写。

Ob:对象管理,Ob是Object的开头两个字母。

Mm:内存管理,Mm是Memory Manager的缩写。

Ps:进程(线程)管理,Ps表示Process。

Se:安全管理,Se是Security的开头两个字母。

Io:I/O管理。

Fs:文件系统,Fs是File System的缩写。

Cc:文件缓存管理,Cc表示Cache。

Cm:系统配置管理,Cm是Configuration Manager的缩写。

Pp:"即插即用"管理,Pp表示PnP。

Rtl:运行时程序库,Rtl是Runtime Library的缩写。

不过并非所有的函数名都带有这样的前缀,对前缀的使用也并非十分严格。例如,核心层函数名的前缀本应是Ke,但是实际上有不少核心层函数名的前缀是Ki,这些函数大都是与中断有关的比较底层的函数。

有时候还在函数名的前缀后面加上小写字母f,表示这个函数是快速调用函数。例如:

NTKERNELAPI LONG_PTR FASTCALL ObfDereferenceObject(IN PVOID Object);

这里的类型说明FASTCALL向编译工具表明这是个快速调用函数,函数名前缀后面加上f则使人一看见函数名就知道这是个快速调用函数。一般的函数调用是通过堆栈传递参数的,而快速调用函数则通过ECX等寄存器传递参数,因为避免了几个堆栈操作而使效率有所提高。当然,这里的说明FASTCALL是必需的,否则编译工具不知道应该通过寄存器传递参数,而在函数名中加上f则只是为了增加程序的可读性。

上面所说的是C语言程序中的函数名,如果是在汇编语言中,则需要在函数名前面再加上前缀"_",并加上表示参数个数的后缀。例如,函数名RtlZeroMemory()出现在汇编程序中就是_RtlZero Memory@8。为什么是@8呢?这是因为这个函数有两个参数,一共是8个字节。之所以如此,是因为GCC在编译C语言程序而生成汇编代码时就会作这样的转换。

如果是快速调用函数,则又与普通的函数名有所不同。例如KfLowerIrql()是个快速调用函数,这个函数名出现在汇编程序中时则变成@KfLowerIrql@4。这里的前缀@表示这是快速调用函数,后缀的@4则表示这个函数带有4个字节的参数,即一个参数。当然,这是通过寄存器(因为只有一个参数,所以是ECX)传递的参数,而不是通过堆栈传递的参数。

按理说,KfLowerIrql()是核心层的函数,又是快速调用,因而其函数名的前缀应该是Kef,但是实际用的却是Kf,所以这些前缀的使用并不严格。读者也许怀疑,是否ReactOS的人不守规矩?其实不然,因为在别的资料中也看到过这个函数名。


1.对于ring3 api主要由 kernel32.dll,user32.dll等dll导出函数,

2.对于内核函数,由ntoskrnl.exe导出。可以直接用IDA加载,在export栏中察看(可使用搜索栏搜索函数)

  注意:文档化:在export显示的函数,说明函数已导出,在WDK文档中,可查询到的函数(联网+本地),为文档化,可直接调用。

           未文档化:若导出了,未文档化,则要声明此内核函数。

主要的前缀有:

Zw:Zw 和同名的 Nt 函数具有相同的功能,中间是从 Zw 到 Nt 函数的简单跳转。本系列内核函数用于文件和注册表方面的操作,比如文件操作、注册表操作、访问进程、事件操作、令牌操作、进程操作和端口操作等。

Ex:管理层,Ex 是 Executive 的开头两个字母。
Ke:核心层,Ke 是 Kernel 的开头两个字母。
Hal:硬件抽象层,Hal 是 Hardware Abstranction Layer 的缩写。
Ob:对象管理,Ob 是 Object 的开头两个字母。
Mm:内存管理,Mm 是 Memory Manager 的缩写。
Ps:进程(线程)管理,Ps 表示Process。
Se:安全管理,Se 是 Security 的开头两个字母。
Io:I/O管理。
Fs:文件系统,Fs 是 File System 的缩写。
Cc:文件缓存管理,Cc 表示 Cache。
Cm:系统配置管理,Cm 是 Configuration Manager 的缩写。
Pp:“即插即用”管理,Pp 表示 PnP。
Rtl:运行时程序库,Rtl 是 Runtime Library 的缩写。本系列内核函数用于运行时库,以Rtl为前缀的函数可以完成多种操作,例如字符串、线程、资源、临界区、安全对象的初始化和使用,内存、进程异常和数据类型的处理,还用于完成定时器、堆、IPv4和IPv6方面的操作,以及压缩和解压缩等。

Ndis:与NDIS网络驱动开发相关的函数。
Wdf:开发WDF驱动相关的函数都是以 Wdf 开头。
KiEtw:本系列内核函数用于系统内核,这些函数只能从内核的内部进行调用,常用的有:KiUserCallbackDispatcher、KiRaiseUserExceptionDispatcher、KiUserApcDispatcher、KiUserExceptionDispatcher等。

Csr系列:此系列函数用于客户机和服务器运行时,如果您想拦截客户机/服务器方面的操作,那么就需要对Csr系列内核函数做进一步的了解。常见的有:CsrClientCallServer、CsrCaptureMessageBuffer、CsrConnectClientToServer和CrsNewThread等。

Ldr系列:本系列内核函数用于加载程序管理器,如果你打算拦截加载程序的话,那么请进一步考察这组以Ldr为前缀的函数,常用的有:LdrInitializeThunk、LdrLockLoaderLock、LdrUnlockLoaderLock、LdrGetDllHandle、LdrGetProcedureAddress等。

Dbg系列:本系列内核函数用于调试管理,如果打算拦截调试操作的话,那么请进一步考察这组以Dbg为前缀的函数,常用的函数包括:、DbgBreakPoint、DbgUserBreakPoint、DbgPrint和DbgUiConnectToDbg等。

Etw系列:本系列内核函数用于追踪窗口事件,如果你打算拦截追踪之类的操作的话,那么请进一步考察这组以Etw为前缀的函数。常用的函数包括:EtwTraceEvent、EtwEnableTrace、EtwGetTraceEnableLevel和EtwGetTraceEnableFlags等。

Pfx系列:本系列内核函数用于ANSI字符串操作,如果你打算拦截ASNI串表方面的操作的话,就需要进一步了解这些函数。常用的包括:PfxInitialize、PfxRemovePrefix、PfxInsertPrefix、PfxFindPrefix等。

不过并非所有函数名都带有这样的前缀,对前缀的使用也并非非常严格。
例如:核心层函数名的前缀本应该是Ke,但实际上有不少核心层函数名的前缀是 Ki,这些函数大都是与中断有关的比较底层的函数。

有时候还在函数名的前缀后面加上小写字母 f,表示这个函数是快速调用函数。
例如:NTKERNELAPI LONG_PTR FASTCALL ObfDereferenceObject(IN PVOID Object);
这里的类型说明 FASTCALL 向编译工具表明这是个快速调用函数,函数名前缀加 f 则使人一看见函数名就知道这个函数是个快速调用函数,一般的函数调用是通过堆栈传递参数的,而快速调用函数则通过 ECX 等寄存器传递参数,因为避免了几个堆栈操作而使效率有所提高。
这里的 FASTCALL 是必须的,否则编译工具不知道应该通过寄存器传递参数,而在函数名中加 f 则只是为了增加程序的可读性。

展开阅读全文

没有更多推荐了,返回首页