2016年03月_wzsy

转载驱动程序堆栈

发送到设备驱动程序的大部分请求都打包在 I/O 请求数据包 (IRP) 中。每个设备都用设备节点表示，每个设备节点都有一个设备堆栈。有关详细信息，请参阅设备节点和设备堆栈。若要将读、写或控制请求发送至某个设备，I/O 管理器会查找设备的设备节点，然后将 IRP 发送至该节点的设备堆栈。有时，处理 I/O 请求的过程中会涉及到多个设备堆栈。无论涉及了多少个设备堆栈，参与 I/O 请求的驱动程

2016-03-28 14:18:52 1196

转载微型驱动程序、微型端口驱动程序和驱动程序对

微型驱动程序或微型端口驱动程序可以用作半个驱动程序对。诸如（微型端口、端口）的驱动程序对可以简化驱动程序开发。在驱动程序对中，一个驱动程序处理整个设备集合共同的常规任务，而另一个驱动程序处理特定于单个设备的任务。处理设备特定任务的驱动程序有多个名称，包括微型端口驱动程序、微型类驱动程序和微型驱动程序。Microsoft 提供一般驱动程序，而独立的硬件供应商通常提供特定驱动程序。在阅读本主题之前

2016-03-28 14:12:19 1319

原创 wsprintf妙用

wsprintf与sprintf和swprintf是不同的，具体见http://www.cnblogs.com/ziwuge/archive/2011/12/03/2272873.html通过wsprintf进行MBCS和UNICODE编码转换char szA;WCHAR wszA;wsprintfA(szA, "%S",

2016-03-23 14:51:19 491

转载 WIN7系统内核网络堆栈实现简述

了解windows平台内部网络堆栈实现架构，对于我们开发 NDIS驱动，TDI驱动，WSK驱动，WFP驱动等网络驱动更有帮助。因为windows并不是开源系统，不像linux那样可以从源代码中详细了解网络堆栈的实现流程，所以只能从ＭＳＤＮ文档，ＷＤＫ驱动开发包的实例代码，以及网络上零碎的资料来做个大致的了解。我们从底层往上层一直到用户层了解win7的网络堆栈流程。最底层的是ＮＤＩＳ

2016-03-22 13:59:15 1987

转载浅析Windows的访问权限检查机制

Author: DanielKing0x00 简介在操作系统中，当我们提到安全的时候，意味着有一些资源需要被保护，在Windows操作系统中，这些被保护的资源大多以对象（Object）的形式存在，对象是对资源的一种抽象。每个对象都可以拥有自己的安全描述符（Security Descriptor），用来描述它能够被谁、以何种方式而访问。这些对象是客体，那么访问这些对象的主体是什么呢？这些

2016-03-18 14:59:57 2338

转载 Best Practices for Handling Shutdown in Windows Vista

As a result of the above changes, how should applications handle shutdown in Windows Vista differently relative to Windows XP? The following are recommended best practices.Applications should not bl

2016-03-09 16:44:13 1031

原创 win7登录、注销、关机会话状态变化

1、先登录后注销登录界面session 0 WTSDisconnected session 1 WTSConnectQuery注销session 0 WTSDisconnected session 1 WTSActive重回登录界面session 0 WTSDisconnected session 2 WTSConnect

2016-03-09 14:44:09 662

转载调试 Credential Provider 的简单方法

1、使用visual studio 的remote debugger 在widnows的安装盘的根目录下的Remote Debugger文件夹中选择合适的安装文件，一路next：安装完毕后，为方便调试，可安照下图设置：（如果启用了windows的防火墙，记得打开udp协议的4015端口，上图的默认端口为4015）在visual studio中选择附加到进程，选择log

2016-03-08 09:57:49 522

转载 Win7可变对象头结构之InfoMask解析

标题: [原创]Win7可变对象头结构之InfoMask解析作者: achillis时间: 2010-08-11,02:04:45链接: http://bbs.pediy.com/showthread.php?t=118325对Windows对象管理有一定了解的人都知道，在固定对象头(OBJECT_HEADER)前面是一块可变区域，称为可变对象头，它所包含的结构内容并不

2016-03-01 11:53:23 960

转载 Win7 Object_Header之TypeIndex解析，ObGetObjectType使用

在暴力搜索内存进程对象反隐藏进程这篇文章中，我们提到：Object Header偏移0×008处Type成员为对象类型值,相同类型的对象具有相同的值. 自Window 7开始, _OBJECT_HEADER及其之前的一些结构发生了变化. lkd> dt _object_header nt!_OBJECT_HEADER +0×000 PointerCount : I

2016-03-01 11:23:19 2401

求索