windows内核原理分析之DPC函数的执行（3）windows内核什么时候会扫描DPC请求队列，执行这些DPC函数呢？

Windows应用程序的类型-控制台程序ConsoleDOS程序，本身没有窗口，通过WindowsDOS窗口执行-窗口程序拥有自己的窗口，可以与用户交互-库程序存放代码、数据的程序，执行文件可以从中取出来代码执行和获取数据-静态库程序扩展名LIB，在执行文件执行时从中获取代码-动态库程序扩展名DLL，在编译链接程序时，将函数地址放入到执行文件中三种应用程序的对比-入口函数控制台程序-main窗口程

1、os常用命令importos#操作系统类型,只有两个nt和posix；nt表示windows内核系统，posix表示linux/unix内核系统print(os.name)#获取详细的系统信息；只能在

首先，Linux内核是开源的，咱们的Windows内核是闭源的。开源呢，就意味着免费，所以，渐渐的，Linux系统就火了起来。我的虚拟机呢，有两个用户，咱们开启来看一下：咱们点击Notlisted?

这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为

DPC不同APC，DPC的全名是‘延迟过程调用’。DPC最初作用是设计为中断服务程序的一部分。因为每次触发中断，都会关中断，然后执行中断服务例程。由于关中断了，所以中断服务例程必须短小精悍，不能消耗过多时间，否则会导致系统丢失大量其他中断。但是有的中断，其中断服务例程要做的事情本来就很多，那怎么办？于是，可以在中断服务例程中先执行最紧迫的那部分工作，然后把剩余的相对来说不那么重要的工作移入到DPC

这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为一个用户而不是一个开发者来说话的，我们的讨论是

这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为

1.下载和使用WDK应用程序使用开发包SDK，类似的，内核编程使用"WindowsDriverKit"，简称WDK。WDK已经自带所有需要的头文件、库、C/C++语言及汇编语言的编译器和链接器如何获取WDK参见http://msdn.microsoft.com/zh-cn/windows/hardware/gg487463安装注意：尽量安装到相对简单路径，避免特殊情况配置路径时麻烦以及可能出现的编

《编程思想之消息机制》一文中我们讲了消息的相关概念和消息机制的模拟，本文将进一步聊聊C++中的消息机制。从简单例子探析核心原理在讲之前，我们先看一个简单例子：创建一个窗口和两个按钮，用来控制窗口的背景颜色。其效果如下：图2：效果图Win32Test.h#pragmaonce#include#include#include//资源ID#defineID_BUTTON_DRAW1000#defineI

楚狂人谭文的《寒江独钓-Windows内核安全编程》和张帆的《Windows驱动开发技术详解》要反复地读。我用的是最新的WDK７６００，那个帮助真叫人汗，英文的倒罢了，怎么不给个例子让人抄。。。

INTRO(写给NT研究者)=============================МывсеголишьмоментвовремениОтблесквглазах,Мечтыослепоте,Образыумирающегорассудка...(c)byAnathema00.系统组件01.WindowsNT操作系统的内存格局02.WindowsNT与FLAT模型03.线程信息块（THREAD

这是接下来一系列关于通过驱动漏洞进行Windows内核驱动攻击里的第一部篇。

这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为

1调度Windows不是实时操作系统，它是抢占式多线程操作系统。在假设所有优先级相同的情况下，CPU对线程的调度原则是每隔20m就会切换到下一个线程，根据Context中的IP和SP来接着执行上次的东西。Windows永远不会让1个线程去独占一段时间。2可调度性系统只调用可以调度的线程，其实系统的大部分线程都是处于不可调度的状态，要么处于暂停的状态，要么处于休眠的状态。3线程的暂停和恢复在Crea

1线程定义内核对象，操作系统用它来对线程实施管理。内核对象也是系统用来存放线程统计信息的地方另一个是线程堆栈，它用于维护线程在执行代码时需要的所有函数参数和局部变量.2线程和进程的区别进程是不活泼的。进程从来不执行任何东西，它只是线程的容器。线程在它的进程地址空间中执行代码，并且在进程的地址空间中对数据进行操作。线程共享进程的地址控件线程只有一个内核对象和一个堆栈，保留的记录很少，开销比进程少很多

我参考了Linux内核、eCos以及Windows内核对于抢占式调度的处理，感觉虽然细节上有点差别，但都挺有意思。这里，我想谈谈关于抢占式调度的一些看法。

这篇文章也不是用来比较Linux和Windows内核效率，文件

一、环境介绍主机环境：win10虚拟机环境：win7或者xpsp3（都是ghost，安装得时候注意将下图中CD/DVD高级设置中虚拟设备节点选为IDE，见图1）。图1CD/DVD高级设置中虚拟设备节点选择装虚拟机得过程就不赘述了，网上有很多资料。二、win10（主机）+xpsp3（虚拟机）+windbg环境配置1、配置串口通信如图所示，点击图中得添加，在弹出得界面中选择串行端口并点击下一步，在接下

《Windows内核原理与实现》潘爱民著：将Windows系统的较为底层的知识。

本文主要基于对《Windows内核原理与实现》一书相关章节的整理并结合自己的理解介绍同步机制的大概实现原理，有任何不妥

IRP的全名是I/ORequestPackage，即输入输出请求包，它是Windows内核中的一种非常重要的数据结构。上层应用程序与底层驱动程序通信时，应用程序

python的内存管理方式是：使用引用计数为主，清除标记，分代回收为辅引用计数Python采用了类似Windows内核对象一样的方式来对内存进行管理。

前言windows身份认证过程如图所示上一届提到的pwdump是从SAMdatabase里读取如果能从内存里读取面临的防卫会低很多1、WCE（windowscredentialeditor）windows

《Windows内核安全与驱动开发》阅读笔记--索引目录键盘过滤1.如何绑定需要过滤的设备键盘在底层存在一个驱动，即\Driver\kbdclass,我们通过ObReferenceObjectByName

内核层次架构windows程序运行分为内核模式和用户模式，内核模式可以访问所有的内存地址空间，并且可以访问所有的CPU指令。一般程序运行在用户模式，通过系统调用切换到内核模式执行系统功能，Windows系统通过这种方式来确保系统的安全和稳定。下面是内核的层次划分:硬件抽象层(HardwareAbstractionLayer)(HAL)(hal.dll)最底层隔离硬件的，底层的第三方驱动程序就运行在

对于每层一些概念的解释，这里不详述了，具体可以参考理解Windows内核模式与用户模式.以Kernel32里的CreateProcess为例，内部会调用ntdll.dll里导出的NtCreateProcess

本文整理于：http://blog.csdn.net/piggyxp/article/details/6922277一．完成端口的优点完成端口会充分利用Windows内核来进行I/O的调度，是用于C/S

1.返回状态绝大部分的内核api返回值都是一个返回状态，也就是一个错误代码。这个类型为NTSTATUS.我们自己写的函数也大部分这样做。NTSTATUSMyFunction(){NTSTATUSstatus;….returnstatus;}如果碰到一个函数返回了奇特的NTSTATUS值，正确的方法是在WDK的头文件比如(NTSTATUS.h)中去寻找答案。2.字符串驱动里的字符串一般用这个结构来容

这篇文章也不是用来比较Linux和Windows内核效率，文件系统，网络服务的。我现在是作为

最近要调试bluetooth，涉及到具体硬件因此不能用虚拟机和命名管道调试内核了，另外现在的PC追求轻便化，因此连串口都没了，不得不考虑使用网线调试。网上转了一圈发现了这篇：基于网络的内核调试驱动调试需要用到两台机器，目前主要是通过串口、usb或者1394接口来连接。对于软设备驱动来说就多了一种选择，通过vmware等虚拟化软件来虚拟测试机。但有些情况下必须在真实的双机环境进行，如真实设备驱动的调

汇编代码在CPU中的执行过程如下：一、拆分段选择子RPL：请求特权级别TI：TI=0查GDT表TI=1查LDT表（Windows没有使用）INDEX：处理器将索引值乘以8再加上GDT表的基址，就是要加载的段描述符二、查表得到段描述符根据段选择子的TI值为0，查询GDT表根据段选择子的INDEX的值，找到对应的段描述符三、权限检查如果是非一致代码段，要求：CPL==DPL并且RPL=DPL（系统内核

②配置VMware的管道虚拟串口③配置WinDbg④设置Windows内核符号表配置WinXp系统启动项打开虚拟机中Windows的系统盘C盘，在文件夹选项中设置为显示所有文件，然后找到boot.ini

对于从事Windows驱动开发的朋友，或者是对Windows内核感兴趣的朋友，以下几个BLOG值得经常看看！

完成端口的优点1.我想只要是写过或者想要写C/S模式网络服务器端的朋友，都应该或多或少的听过完成端口的大名吧，完成端口会充分利用Windows内核来进行I/O的调度，是用于C/S通信模式中性能最好的网络通信模型

前言这个学期在做一个安全软件项目，涉及到windows的驱动开发，也因此项目为我敲开了windows内核的大门。这里面的东西奥妙无穷，亟待探索。

我使用的书是《寒江独钓Windows内核安全编程》，这个系列将围绕三本书进行，一本就是刚刚所提到的，还有两本分别为《天数夜读从汇编语言到Windows内核编程》和《Windows内核安全与驱动开发》。

Windows处理器调度机制一．调度优先级1.Windows处理器调度力度为线程，Windows为每一个线程分配调度优先级2.调度器根据优先级采用抢占式调度策略，让具有最高优先级的线程首先执行3.Windows

//docs.microsoft.com/zh-cn/windows-hardware/drivers/gettingstarted/writing-a-very-small-kmdf–driver《Windows

HANDLEhEvent=CreateEvent(PSECURITE_ATTRIBUTESpsa,BOOLbManualReset,BOOLbInitialState,PCSTRpszName);上面是创建一个事件对象，psa是该内核对象的安全属性，bManualReset是用来告诉系统创建一个手动重置事件(TRUE),还是创建一个自动重置事件(FALSE)，bInitialState表示事件的初

设备驱动设备栈：从上层到下层的顺序依次是:过滤设备、类设备、过滤设备、小端口设备【过、类、过滤、小端口】驱动栈：因设备堆栈原因而建立起来的一种堆栈老式驱动：指不提供AddDevice的驱动，又叫NT式驱动Wdm驱动：指提供了AddDevice的驱动驱动初始化：指IO管理器加载驱动后，调用驱动的DriverEntry、AddDevice函数设备栈中上层设备与下层设备的绑定关系不是一对一，而是一对多。

在SoftICE不再更新以后，WinDbg几乎成了windows内核专有调试器，另有国人开发的一款Syser单机内核调试器，不过不争气的是总是喜欢蓝屏，真不知道是自己写的程序先崩溃还是Syser先崩溃，

《Windows内核安全与驱动开发》阅读笔记--索引目录https://github.com/minglinchen/WinKernelDev/tree/master/comcap串口过滤1.串口过滤思路每一个串口在

我参考了Linux内核、eCos以及Windows内核对于抢占式调度的处理，感觉虽然细节上有点差别，但都挺有意思。这里，我想谈谈关于抢占式调度的一些看法。

linux内核2.6版本中提供的各种用户空间和内核空间的通讯机制中,只有netlink机制能够提供类似于Windows内核中事件通知机制类似的通信能力:既可以从内核空间主动发消息给用户空间(Windows

内核反汇编技术===============================WindowsNT主要是由C写成的，所以总的来说进程本身的反汇编不是很复杂。通常对局部变量和参数的使用是通过地址和用EBP形成的stackframe来进行的。例如：PAGE:801932D4moveax,largefs:0PAGE:801932DApushebpPAGE:801932DBmovebp,esp;堆栈中的fra

转：https://blog.csdn.net/broadview2006/article/details/4171397Windows内核如上所述，现代操作系统的一个明显特征就是用户空间和系统空间的划分

当I/O管理器加载一个设备驱动程序时，它会创建一个驱动程序对象，该对象在对象管理器目录中的路径为：\Driver\或\FileSystem\。如果是文件系统类型的驱动程序，则该对象被放置在"\FileSystem"目录下，否则放在"\Driver"目录下。因此，驱动程序可粗略地分为文件系统驱动程序和非文件系统驱动程序。与驱动程序相关的另一种对象是设备对象。每个设备对象代表了系统中的一个设备，包括逻

从操作系统角度而言，I/O软件的模型应该是设备无关的，因而，系统可以支持各种设备，甚至是未来出现的设备。针对I/O设备的软件模型必须有足够的通用性，至少能够将上节介绍的各种I/O硬件特性涵盖到模型之中。另外，操作系统必须提供有效的管理手段，从而让设备的软件组件融入到系统的I/O处理框架中，这样，这些软件可以专注于针对特定设备的功能需求，而不必过多地考虑与系统打交道或者与系统中其他模块的协作。例如，

老的处理方式只是简单的采用多线程阻塞读写数据，这几天突然想到了完成端口，于是换成完成端口后，只用一个线程，投递上百个Overlapped读写操作，效率比原来高了许多，因此就想从windows内核层里去理解完成端口等异步