《Windows内核编程》权威学习地图

直觉起点

、、、、共同构成本页坐标。按Pavel Yosifovich作者官方目录和中文版完整目录，建立从Windows内部、驱动开发、调试、IRP到通知、小过滤器的11章路线。

内核编程必须同时画三张图：调用图说明用户请求、系统回调或I/O如何进入驱动；对象图说明DriverObject、DeviceObject、IRP、回调Cookie、上下文和池块由谁拥有；时间图说明注册、并发回调、注销、排空和卸载的先后。少一张图，表面可用的驱动也可能在压力或卸载时蓝屏。

常见误区与故障注入

四类样本与验收

样本	注入方式	必查证据	通过条件
基线	固定快照、sys/PDB和输入	状态码、IRQL、对象与日志	与预测一致
边界	空缓冲、短输出、断开客户端	长度、Information、引用	不越界不泄漏
失败	错IRQL、竞态、Verifier规则	首错栈和责任层	故障可定位
恢复	清理或快照后同输入重放	模块、服务、池、回调状态	回到基线

练习

小结

• 软件内核驱动：连接“核对版本目录”的内核契约与证据。
• 11章：连接“建立隔离环境”的内核契约与证据。
• WDK环境：连接“完成基础驱动”的内核契约与证据。
• 通知回调：连接“追踪IRP机制”的内核契约与证据。
• 小过滤器：连接“实现系统通知”的内核契约与证据。
• 本页6个目录坐标全部进入实验链，不以泛化驱动主题替代原书内容。

术语表