windows内核 api种类
在初学windows驱动时，开始除了要学习驱动的加载、调试等准备工作后，就要学习内核的API了，作为初学者在刚刚看到那些很陌生的函数时可能会感到很迷茫，其实这些都是很正常的，就像我们在刚刚接触编程时那样。
今天我在我第一篇正式的博文中总结一下windows内核API函数大概的分类，以便以后看到这些函数时首先能通过函数的名字判断出这个函数大概是做哪方面的工作。
大部分内核API都会有前缀，例如Io、Ex、Rtl、Ke、Zw、Nt、Ps、Ndis等等，下面就是各种前缀的函数它们主要功能。
1.Io-系列函数
这类函数的操作是和IO管理器相关的，IO管理器就是将用户调用的API函数翻译成IRP或者将等价请求发
送到内核各个不同的设备的关键组件。这个类别的函数是我们在处理请求时最常调用的。
例如：IoCreateFile 打开文件，这个函数比ZwCreateFile更加底层。
IoCreateDevice 生成一个设备对象。
IoCallDriver 发送请求，IO管理器调用这个函数把不同的IRP发送到不同的设备。
IoCompleteRequest 完成请求。
IoCopyCurrentIrpStackLocationToNet 将当前Irp栈空间所想拷贝到下一个栈空间。
IoSkipCurrentIrpStackLocationToNext 跳过当前IRP的栈空间。
IoGetCurrentStackLocation 获得Irp的当前栈空间指针。
2.Ex-系列函数
这类函数主要用于内存的分配和获取互斥体。
例如：ExAllocatePool 内存分配。相当于malloc。
ExFreePool 内存释放。相当于free。
ExAcquireFastMutex 获取一个快速互斥体。
ExReleaseFastNutex 释放一个快速互斥体。
ExRaiseStatus 抛出一个异常，带有一个错误的status值，用于从代码很深的地
方直接报错。
3.Zw-和Nt-系列函数
这类函数主要用于文件和注册表的操作。Zw和Nt函数具有同样的功能，中间实际上是从Zw函数到Nt函数的
简单跳转。这些函数都有同名的用户态API函数与之对应，而用户态同名函数可以用于所谓的Native程序，
所以这个系列的函数不管是用户态还是内核态都被称为Native API。
例如：ZwCreateFile\NtCreateFile 打开文件
ZwWriteFile\NtWriteFile 写文件
ZwReadFile\NtReadeFile 读文件
ZwQueryDirectoryFile\NtQueryDirectoryFile 目录查询
ZwDeviceIoControlFile\NtDeviceIoControlFile 发出设备控制请求
ZwCreateKey\NtCreateKey 打开一个注册表键
ZwQueryValueKey\NtQueryValueKey 读取一个注册表中的值
4.Rtl-系列函数
这类函数主要用于字符串操作和对内存的操作。
例如：RtlInitUnicodeString 初始化一个字符串
RtlCopyUnicodeString 拷贝字符串
RtlAppendUnicodeToString 将一个字符串追加到另一个字符串后
RtlStringCbPrintf 将字符串打印到一个字符串中。相当于sprintf
RtlCopyMemory 内存数据块拷贝
RtlMoveMemory 内存数据块移动
RtlZeroMemory 内存数据清零
RtlCompareMemory 内存比较
RtlGetVersion 获得当前windows版本
5.其他
Ps系列函数：这类函数大多是与进程、现成信息相关。
Ndis系列函数：这类函数是用来开发NDIS网络驱动。