Device_object_extension 方便反汇编

最新推荐文章于 2024-01-22 21:31:31 发布
最新推荐文章于 2024-01-22 21:31:31 发布
阅读量651 收藏
点赞数
文章标签： extension object struct list 汇编 c
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/whispermemory/article/details/6740449
版权
 struct _DEVOBJ_EXTENSION (sizeof=36)
+00 int16 Type = 000d
+02 uint16 Size = 0000
+04 struct _DEVICE_OBJECT *DeviceObject = FE4F5DF0
+08 uint32 PowerFlags = 00000010
+0c *Dope = 00000000
+10 uint32 ExtensionFlags = 00000000
+14 void *DeviceNode = 00000000
+18 struct _DEVICE_OBJECT *AttachedTo = FE4F5020
+1c struct _LIST_ENTRY FileObjectList
+1c struct _LIST_ENTRY *Flink = 00000000
+20 struct _LIST_ENTRY *Blink = 00000000
下资源要分
关注
DeviceExtenson和DeviceObjectExtension关系猜测
skyair624的专栏
06-17 645
用WinDbg顺便看了下_DEVICE_OBJECT结构，看到了之前疑惑的2个结构：kd> dt _device_object 0x821899c8 nt!_DEVICE_OBJECT   +0x000 Type             : 0n3   +0x002 Size             : 0xd0   +0x004 ReferenceCount   : 0n0
枚举IO_TIMER计时器
qinqin772的博客
01-02 1255
前提： 1。首先你得了解什么是IO_TIMER计时器 不了解的话可以去看一下《Windows驱动开发详解》第10章 2。你得会简单驱动的编写 不了解的话还是可以看一下《windows驱动开发详解》，或是参照网上的教程，开发环境是拦路虎，搭好了，再跟着书上例子，慢慢来，以及多网上查阅 3。你得清楚我的实验环境是在32bit-XP SP3下，因此我这儿的情况可能并不适用你那儿，但是走走流程还
设备对象(DEVICE_OBJECT)
最新发布
wendyWJGU的博客
01-22 1103
设备对象(DEVICE_OBJECT)
获取设备扩展指针
hutao1101175783的专栏
04-21 151
pDeviceExtension=(PDEVICE_EXTENSION)pDeviceObject->DeviceExtension; 注意：DeviceExtension本来的类型是PVOID，所以要强制转换
关于DeviceExtension的使用
TrustNature
08-31 4958
首先定义一个全局扩展设备对象结构体: typedef struct _DEVICE_EXTENSION { PDEVICE_OBJECT pDevice; UNICODE_STRING ustrDeviceName; //设备名称 UNICODE_STRING ustrSymLinkName; //符号链接名 } DEVICE_EXTENSION, *PDEVICE_EXTENSI
_DEVOBJ_EXTENSION结构体
aogejue3051的博客
12-19 210
1、XP中的 　(1)、OS：zh-hans_windows_xp_professional_with_service_pack_3_x86_cd_vl_x14-74070.iso 　(2)、符号表文件：WindowsXP-KB936929-SP3-x86-symbols-full-ENU.exe 　(3)、WDK及WinDBG：GRMWDK_EN_7600_1.ISO 及 其中的...
第一代机器狗源码
09-01 1522
#include       // various NT definitions#define IOCTL_MYDEV_BASE          0xF000 #define IOCTL_MYDEV_Fun_0xF01        CTL_CODE(IOCTL_MYDEV_BASE, 0xF01, METHOD_BUFFERED, FILE_ANY_ACCESS) #define DR0_D
<学习笔记>Windows驱动开发技术详解__IRP的同步
The New Old Things
10-08 4510
对设备的任何操作都会最终转化为IRP请求，而IRP一般都是由操作系统异步发送的。异步处理IRP有助于提高效率，但是有时异步处理会带来逻辑上的错误，这时需要将异步的IRP同步化。将IRP同步化的方法有StartIO例程，使用中断服务例程等。 应用程序对设备的同步异步操作
关于在驱动当中使用__try __finally的问题
anxi2128的博客
09-30 423
今天调试一个驱动发现了一些平时没有考虑过的问题，在驱动当中使用__try和__finally时，在__try块直接使用return时会出现什么情况! 我用wdk里面的例子做为我的测试代码，通过逆向发现在__try块执行return不会被执行到__finally中，而是马上就返回了。因此在__try块中直接使用return会非常的危险，强烈建议不要这样做！我今天就吃了大苦头。 下面是...
机器狗”病毒驱动部分逆向分析注释（C代码）
pray for the future
07-30 444
<br />软件名称】: 机器狗（病毒）<br />【下载地址】: http://www.dream2fly.net/ 或 自己搜索下载<br />【加壳方式】: 未知壳<br />【编写语言】: MASM(我也不太懂这个，学好这个就可以编自己的操作系统了）对应的是LINUX的NASM<br />【使用工具】: IDA<br />【操作平台】: win2003(虚拟机）<br />【软件介绍】: 穿透冰点型带驱动病毒<br />【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!<br />
一个简单的文件系统过滤驱动框架
snowfoxmonitor的专栏
06-02 874
 很多人认为文件系统过滤驱动很复杂，其实也有一定道理，因为需要有很多细节需要考虑到，这是一个简单的文件系统过滤驱动，抛去了大部分细节，留下了一个简单的框架，其实这样文件系统过滤驱动就变得蛮简单的，很多接口可以不用实现，只要知道大致流程，其它都将会很清晰。[cpp] view plain copy#define DBG 1    #include &lt;ntifs.h&gt;  #include ...
《Windows内核安全与驱动编程》-第十一章文件系统的过滤与监控-day5
WocW的博客
05-10 375
文件系统的过滤与监控 11.5 文件系统卷设备的绑定 11.5.1 从IRP中获得VPB指针 ​ 回忆前面说到的文件系统控制请求中的挂载请求。主功能号为 IRP_MJ_FILE_SYSTEM_CONTROL，次功能号为 IRP_MN_MOUNT_VOLUME 的IRP。对这种挂载卷的IRP的处理，调用了函数 SfFsControlMountVolume 这个函数的代码。在其中实现了绑定文件系系统卷的功能。 ​ 从这个IRP的信息中，如何得到文件系统的卷设备呢？ 在 irpSp->Parameters.
Windows驱动开发(7) - DEVICE_OBJECT结构体
Vinx Blog
05-07 2282
Windows驱动开发(7) - DEVICE_OBJECT结构体typedef struct _DEVICE_OBJECT { CSHORT Type; USHORT Size; LONG ReferenceCount; struct _DRIVER_OBJECT
windows内核情景分析---设备驱动
maomao171314的专栏
04-04 1837
设备驱动 设备栈：从上层到下层的顺序依次是:过滤设备、类设备、过滤设备、小端口设备【过、类、过滤、小端口】 驱动栈：因设备堆栈原因而建立起来的一种堆栈  老式驱动：指不提供AddDevice的驱动，又叫NT式驱动 Wdm驱动：指提供了AddDevice的驱动 驱动初始化：指IO管理器加载驱动后，调用驱动的DriverEntry、AddDevice函数 设备栈中上层设备与下层设备的绑定关
文件，注册表过滤--Sfilter、Minifilter
05-16 1755
本公众号分享的所有技术仅用于学习交流，请勿用于其他非法活动，如有错漏，欢迎留言交流指正 文件，注册表过滤 分层驱动框架 NT驱动框架：单层驱动，只能接受自己进程的IRP Sifileter驱动框架：多层驱动，接受所有进程的IRP 过滤:分层驱动中再加一层而不影响它的上下层，以过滤它们之间的数据，对数据或行为进行安全控制。过滤是通过设备绑定实现的(有多少个文件卷设备就生成多少个文件过滤驱动设备对象一一绑定，这样，发给各个卷设备对象的IRP都会被监控到)。 磁盘过滤驱动：用于文件还原 绑定与..
解读Windows 2000/XP分层驱动模型(http://webcrazy.yeah.net)
FreeXploiT
01-31 2455
 解读Windows 2000/XP分层驱动模型            WebCrazy(http://webcrazy.yeah.net)    可扩展性是Windows NT/2000/XP设计的目标之一，其分层驱动模型是可扩展性的最好体现。实现分层依赖于IO管理器的两个重要的设计：1、Windows中的任何一个驱动程序都被设计成Client/Server模式。对于客户端驱动，通过IoGetD
摘除过滤驱动
wowbell的专栏
06-07 1257
转自:http://hi.baidu.com/_achillis/blog/item/cc9cf925c23260064d088d05.html 开始本文之前先膜拜一下老V~“无法F5的驱动，不是好驱动啊~不是好驱动啊~ ”            -----killvxk语录这两天下午的时间，破解那个驱动保护搞得好痛苦，每次关机都要蓝一次，有时候设备还不工作，郁闷...
left join t_alarm_rule tar on IF(tar.ALARM_OBJECT_TYPE = t1.DEVICE_ID, tar.ALARM_OBJECT_TYPE = t1.DEVICE_ID, tar.ALARM_OBJECT_TYPE = OBJECT_TYPE)
06-10
在连接条件中，使用 IF 函数对 tar 表中的 ALARM_OBJECT_TYPE 进行条件判断，如果它等于 t1 表中的 DEVICE_ID，则连接条件为 tar.ALARM_OBJECT_TYPE = t1.DEVICE_ID，否则为 tar.ALARM_OBJECT_TYPE = OBJECT_TYPE。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值