这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为

这篇文章也不是用来比较Linux和Windows内核

转载自http://hi.baidu.com/winkernel/blog/item/2a444fcc36fac41701e928a0.htmlERESOURCE对象-》》相当于读写锁，即用于同时只能有一个WRITER写入，多个READER读的情况：ExInitializeResourceLite初始化一个ERESOURCE对象；ExAcquireResourceExclusiveLite用于获取

于是就开始学习windows内核，学了一段时间之后，又着手去学习linux内核，包括linux内核驱动程序的编写，个人感觉是写linux的驱动比写windows的驱动要简单一些，呵呵，纯属个人感觉。

本章目标：完成一个磁盘卷设备的上层类过滤驱动，该过滤驱动的功能是实现对卷的还原，即开启该驱动的功能之后，对还原卷的写操作将只适用于当前，重启电脑后所写入的数据都将清零，类似于还原卡之类的功能。1、磁盘卷设备OK，根据章节的主题。首先要知道什么是磁盘卷设备，根据《windowsinternals》一书中的讲解，Windows的存储结构自上而下分成以下各个部分，如图所示：（擦，一个图片翻译了N久，尼玛

最近看了一下一个叫做filedisk的开源程序的代码了解了关于磁盘设备驱动的一些东西总结一下filedisk的功能就是可以把磁盘上的某个文件映射成一个磁盘驱动器像一般的磁盘卷一样来使用关于filedisk的原理简单来说就是利用驱动程序创建一个磁盘设备(IoCreateDevice)然后在用户态程序中用DefineDosDevice将这个设备挂载到某个盘符下面也就是把所有到这个盘符的操作都导向使用内

磁盘过滤驱动的概念1.设备过滤和类过滤在之前的文章里，我们已经介绍过滤的概念，所谓过滤技术就是在本来已有的设备栈中加入自己的一个设备。由于Windows向任何一个设备发送IRP请求都会首先发送给这个设备所在设备栈的最上层设备，然后再依次传递下去，这就使得加入的设备在目标设备之前获取Irp请求称为可能，这时候就可以加入自己的处理流程。在这里把插入设备栈的用户设备叫做过滤设备，建立这个设备并使其具有特

是因为头文件封装了许多库函数以及一些类，将一些复杂的工作由库函数处理，Windows.h头文件中包含了Windef.h、Winnt.h、Winbase.h、Winuser.h、Wingdi.h等头文件，涉及到了Windows

继上一篇“使用自动化脚本进行Windows提权”，本文将介绍有关Windows内核漏洞提权的方法。我将使用内置的Metasploit模块作为演示。

在用户空间，编译的时候将驱动当做一个自定义的资源存入到.exe文件当中，然后执行的时候将其解压并且加载到内存里面。而解压出来的驱动最主要就是hook某个内核层面的函数。#pragmacomment(linker,"/ENTRY:main")#pragmacomment(linker,"/MERGE:.rdata=.data")#pragmacomment(linker,"/MERGE:.text=

Windows内核新手上路2——挂钩shadowSSDT文章核心内容：安全软件窗口保护、安全输入、截屏保护的一些思路。

虽然，多年java，正在java，看样子还得继续java。（IT小城，还是整java随意点）应用程序运行于操作系统之上，晓操作系统，方更晓应用程序。主看windows，闭源才有意思。C&C++，略《windows程序设计》(第5版.珍藏版)，非珍藏版的翻译垃圾，莫看《WINDOWS.核心编程第五版》《深入理解计算机系统》（第2版）《用TCP_IP进行网际互连第一卷》《汇编语言》王爽《INTEL汇编

近来在看《寒江独钓windows内核编程》，看到键盘过滤部分，记下笔记，仅供参考，有理解不对之处，还望大家指正。现在来说一下传统型键盘过滤，就是把自己的设备对象绑定在KbdClass设备对象之上。

游戏作弊工程师，从事开发4-5年，擅长语言:C，C++领域：服务器开发，精通MFC，STL，Boost，熟悉TCP/IP协议，熟练运用IOCP完成端口模型，线程池等，熟练掌握OD,IDA,IDA等逆向同居，Windows

LINUX和WINDOWS内核的区别[声明：欢迎转载，转载请注明出自CUACCESSORYhttp://linux.chinaunix.net/bbs/thread-1153868-1-1.html]关于

纤程的操作首先要注意的一个问题是，实现线程的是Windows内核。操作系统清楚地知道线程的情况，并且根据Microsoft定义的算法对线程进行调度。

这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为

Windows中进程和线程的数据结构Windows内核中的执行体层负责各种与管理和策略相关的功能，而内核层（或微内核）实现了操作系统的核心机制。进程和线程在这两层上都有对应的数据结构。

这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为一

3.3节中windows中进程线程的数据结构内核层进程对象:KPROCESStypedefstruct_KPROCESS{////Thedispatchheaderandprofilelistheadarefairlyinfrequently//referenced.//DISPATCHER_HEADERHeader;LIST_ENTRYProfileListHead;////Thefollowi

1.进程结构体EPROCESS每个运行中的进程在Windows内核中都有一个EPROCESS的结构体，这个结构体包含了进程所有重要的信息。

消息与钩子众所周知,Windows系统是消息驱动的,现在我们就来看Windows的消息机制.早期的Windows的窗口图形机制是在用户空间实现的,后来为了提高图形处理效率,将这部分移入内核空间,在Win32k.sys模块中实现。这个模块作为一个扩展的内核模块，提高了一个扩展额系统服务表，专用于窗口图形操作，相应的，这个模块中添加了一个扩展系统调用服务表ShadowSSDT，以及一个扩展的系统调用服

写过Windows应用程序的朋友都常常听说“内核对象”、“句柄”等术语却无从得知他们的内核实现到底是怎样的,本篇文章就揭开这些技术的神秘面纱。常见的内核对象有：Job、Directory（对象目录中的目录）、SymbolLink（符号链接），Section（内存映射文件）、Port（LPC端口）、IoCompletion（Io完成端口）、File（并非专指磁盘文件）、同步对象（Mutex、Even

这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为

1.3建立用户登录会话Windows内核在阶段1初始化的最后，启动了一个用户模式进程——会话管理器子系统（smss）。

进程的相关结构非常重要，重点学习～有一些内容参考自：http://dev.csdn.net/article/20/20210.shtm进程结构中，首推EPROCESS，标记一些重要成员（可能不全）：lkd>dt_EPROCESSnt!_EPROCESS+0x000Pcb:_KPROCESS//进程控制块+0x06cProcessLock:_EX_PUSH_LOCK+0x070CreateTime:

本篇主要讲述进程的启动过程、线程的调度与切换、进程挂靠一、进程的启动过程：BOOLCreateProcess(LPCTSTRlpApplicationName,//LPTSTRlpCommandLine,//commandlinestringLPSECURITY_ATTRIBUTESlpProcessAttributes,//SDLPSECURITY_ATTRIBUTESlpThreadAttri

本篇主要讲述进程的启动过程、线程的调度与切换、进程挂靠进程的启动过程：BOOLCreateProcess(LPCTSTRlpApplicationName,//LPTSTRlpCommandLine,//commandlinestringLPSECURITY_ATTRIBUTESlpProcessAttributes,//SDLPSECURITY_ATTRIBUTESlpThreadAttribu

由于已经有很多很好的文章了，我就不重复了。这里，贴出几个网址，供大家参考。对不同的系统配置方法不同，我们分xp和win7来考虑：xp:点击打开链接win7:http://wenku.baidu.com/view/c96d7c77a417866fb84a8e47.html环境搭建好了以后，就可以开始我们的内核驱动编程之旅了。

Windows操作系统的基本结构如下图，分别运行于处理器特权模式（ring0）的操作系统内核，以及运行在处理器非特权模式（ring3）的用户空间代码Windows操作系统内核的基本模块：Windows执行体、Windows

UAF这个词确实不算陌生不过要说的一点是在CTF里面的应用一般是堆块在释放的时候堆块指针没有清空然后再次申请申请到那块的区域然后就可以通过一开始的堆块指针来写就达到了修改的目的然后在这个样例里面来说并不是堆块算是内存池===这个概念还是不太了解等到扒扒我的书然后可以先看这个样例的代码可以看到有几个重要函数AllocateUaFObjectNonPagedPool这个函数就是申请一个自己定义的结构体

自http://bbs.pediy.com/showthread.php?t=135229最近喜欢用IDA搞一些内核的东西，于是就到处找IDA关于内核方面的东东。这篇文章实在原文的基础上进行了一定的封装，也算是半原创的东东吧～希望大家不要拍砖撒～VMWare的GDB调试器功能比较简单也比较基础，该调试器并不知道处理器和线程的任何信息（对于Windows系统），因而如果想要得到一些高等级的信息，我们

内核数据保护（KernelDataProtection，KDP）是一项新技术，可以通过基于虚拟化的安全性（VBS）保护部分Windows内核和驱动程序。K

flyingstarsoul2007-9-21内核调试：内核调试可以帮助我们查看内核的内部数据结构，跟踪内核中的函数，从而探查Windows的内部机理。内核调试工具有Microsoft的Windows调试工具箱、CompuwareNuMega的SoftIce、www.sysinternals.com上的LiveKD等等。内核调试所需的符号文件：符号文件包含了函数和变量的名称，由链接器产生，在调试过

按照《从汇编语言到windows内核编程》中方法设置完以后，windbg中提示：Waitingtoreconnect...．底下出现：Debuggeenotconnected网上找到一篇解决方法http

我已经初窥到这一代码包，Windows内核

这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为

因为字符串不再是空结束的，所以用wscpy来拷贝字符串是不行的。UNICODE_STRING可以用RtlCopyUnicodeString来进行拷贝，在进行这种拷贝的时候，最需要注意的一点是：拷贝目的字符串buffer必须有足够的空间。如果buffer的空间不足，字符串会考倍的不完全。这是一个比较隐蔽的错误。下面举个例子：UNICODE_STRINGdst;///--目的字符串WCHARdst_b

考虑到对windows内核不熟悉，打算继续用POSIXAPI。

2.IDAPro，OllyDbg和WinDbg解析：[1]静态反汇编工具:IDAPro[2][2]动态反汇编工具:OllyDbg[3][3]Windows内核调试工具:WinDbg[4]3.端口扫描目的解析

#include"ntddk.h"voidExample1Unload(INPDRIVER_OBJECTpDrvobj){UNICODE_STRINGusDosDevName;DbgPrint("Example1:Driverisbeingunload.\n");RtlInitUnicodeString(&usDosDevName,L"\\DosDevices\\ExampleLINK2");Io

AppVerifier（应用程序验证器）AppVerifier的客观介绍AppVerifier能识别的问题AppVerifier的使用参考文献“Bug”中最头痛的是那么一类：野指针、无效句柄，访问冲突，跟Windows

Windows内核Hook之IOAPIC编程HOOK系列中，包括应用程序HOOK编程、IDT和IOAPIC编程，其中IOPIC顾名思义I/OADVANCEDPROGRAMMABLEINTERRUPTCONTROLLER

简单的说来，C#中的每一个类型都代表一种资源，而资源又分为两类：托管资源：由CLR管理分配和释放的资源，即由CLR里new出来的对象；非托管资源：不受CLR管理的对象，windows内核对象，如文件、数据库连接

通过WRK可以了解到，WINDOWS内核绝大部分源代码是由C语言实现，只有部分与处理器相关的调度代码是通过汇编语言实现。

python中的signal模块便是用来处理信号的，需要注意的是，这个模块不能在Windows上使用，因为Windows内核对信号的支持不是很好，这里我们使用Linux进行操作。

Windows提权：Windows提权总结Windows组策略首选项提权Windows错误配置提权Windows内核溢出漏洞提权绕过UAC提权WindowsPR提权Linux提权：Linux提权总结Linux

从2005年开始公开讲授“Windows内核及高级调试”课程，曾在微软的Webcast和

从2005年开始公开讲授“Windows内核及高级调试”课程，曾在微软的Webcast和

目录前言Chapter4Paging4.1分页模式和控制位4.1.1四种分页模式4.1.2启用和切换分页模式4.1.3分页属性控制4.1.4EnumerationofPagingFeaturesbyCPUID4.2分层页表结构概览4.4PAE分页模式4.4.1PDPTE寄存器4.4.2线性地址转物理地址实验题：实现页表浏览工具0.查看源码1.环境设置2.MFC浏览工具的代码实现3.驱动代码的实现前