《Windows内核编程》基本数据结构.pdfVIP

《Windows内核编程》 基本数据结构 学习各种高级外挂制作技术，马上去百度搜索（魔鬼作坊），点击第一个站进入， 快速成为做挂达人。 驱动对象： 每个驱动程序都会有唯一的驱动对象与之对应，并且这个驱动对象是在驱动加载时被内核中 的对象管理程序所创建的。驱动对象用DRIVER_OBJECT 数据结构表示，它作为驱动的一 个实例被内核加载，并且内核对一个驱动只加载一个实例。确切地说，是由内核中的I/O 管 理器负责加载的，驱动程序需要在DriverEntry 中初始化。驱动对象的结构定义如下（wd m.h）： typedef struct _DRIVER_OBJECT { //结构的类型和大小 CSHORT Type; CSHORT Size; //每个驱动程序会有一个或多个设备对象，其中，每个设备对象都有一个指针指向下一个驱 动对象 //最后一个设备对象指向空。DeviceObject指向驱动对象的第一个设备对象。通过Devic eObject，就 //可以遍历驱动对象中的所有设备对象了。 PDEVICE_OBJECT DeviceObject; ULONG Flags; // The following section describes where the driver is loaded. The count // field is used to count the number of times the driver has had its // registered reinitialization routine invoked. PVOID DriverStart; ULONG DriverSize; PVOID DriverSection; PDRIVER_EXTENSION DriverExtension; // 记录驱动设备的名字，用UNICODE 字符串记录，该字符串一般/Driver/[驱动程序 名称] UNICODE_STRING DriverName; //设备的硬件数据库键名，也是UNICODE 字符串记录。一般为 // /REGISTRY/MACHINE/HADRWARE/DESCRIPTION/SYSTEM PUNICODE_STRING HardwareDatabase; //文件驱动中用到的派遣函数 PFAST_IO_DISPATCH FastIoDispatch; // The following section describes the entry points to this particular // driver. Note that the major function dispatch table must be the last // field in the object so that it remains extensible. PDRIVER_INITIALIZE DriverInit; //记录StartIO 例程的函数地址，用于串行化操作 PDRIVER_STARTIO DriverStartIo; //指定驱动卸载时所用的回调函数地址 PDRIVER_UNLOAD DriverUnload; //MajorFunction 域记录的是一个函数指针数组，也就是MajorFunction 是一个数组，数 组中的每个 //成员记录着一个指针，每一个指针指向的是一个函数。这个函数是处理IRP 的派遣函数 PDRIVER_DISPATCH MajorFunction[IRP_MJ_MAXIMUM_FUNCTION + 1]; } DRIVER_OBJECT; typedef struct _DRIVER_OBJECT *PDRIVER_OBJECT; 实际上如果写一个驱动程序，或者说编写一个内核模块，要在Windows中加载，就必须填 写上面的结构，来告诉Windows程序提供的功能。注意内核模块并不生成一个进程，它只 是写一组回调函数让Windows 调用，且这组回调函数必须符合Windows 内核规定的格式。 上面代码中的“快速IO分发函数”FastIoDispatch和“普通分发函数”MajorFunction 就是这 样一种回调函数。这些函数用来处理发送给这个内核模块的请求。 Windows中很多组件都拥有自己的DRIVER_OBJECT，例如：所