第11章其他主题

第11章其他主题覆盖20个正式目录坐标，用版本/IRQL合同、可执行对象探针与安全门交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期

学习目标

把签名、Verifier、Native API、过滤驱动、设备监视、挂钩与内核库落实为Windows build、驱动模型、内核对象、执行上下文、调用链与恢复条件
只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”，定位第11章其他主题相对签名参考驱动的首个分岔
交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期，明确区分中文版一版、作者二版迁移轨与目标Microsoft平台轨

为什么从这个问题开始

第11章其他主题围绕“签名、Verifier、Native API、过滤器、设备监视与内核库怎样迁移到受支持且最小权限的当前实践？”建立贯穿任务。先冻结出版轨、目标build、驱动包和对象身份，再以小输入观察状态与调用链，最后用唯一故障和同输入恢复验收；只有守住“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”并交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期，目录术语、DDI名字或一次成功加载才可能升级为机制证据。

来源合同、版本差异与安全边界

第11章其他主题以作者一版Leanpub完整公开目录核对Pavel Yosifovich《Windows Kernel Programming》2020-12-10版本、455页和11章结构；中文版采用李亮译《Windows内核编程》，机械工业出版社2021年版，ISBN 9787111684756。中文版治理清单是11章185个正式坐标，章根已计入；作者一版公开目录按同口径是204个坐标，两者相差19项。

官方18页样章开放一版身份、第一章目录以及进程、虚拟内存、线程和系统调用的局部正文，因此本站来源访问级别是authorized-sample。样章不授权其余正文、代码、图表或练习；第11章其他主题是中文独立教学重构，不复制未开放内容。

第11章其他主题登记的19项差异是：第1章：Thread Stacks；第2章：Exercises；第5章：Tutorial: User mode debugging basics；第6章：Using DPC with a Timer；第6章：Critical Regions and Guarded Regions；第6章：The Spin Lock；第7章：IRP Flow；第7章：Viewing IRP Information；第7章：Completing a Request；第8章：The User Mode Client；第8章：Exercises；第9章：Desktop Objects；第9章：Exercises；第10章：Pipes and Mailslots；第10章：Direct Access Volume (DAX or DAS)；第10章：Context Types；第10章：Managing Contexts；第10章：Exercises；第11章：Example Driver Verifier Sessions。它们可能来自译本底稿、修订时点或目录裁剪；没有出版社正文证据就保持“来源差异”，不补成中文版坐标，也不把作者页面的后续更新倒写给译者。

第11章其他主题把三条轨道分开：中文版/作者一版解释成书范围；作者二版及MIT示例仓库只做迁移参考；当前平台轨以Microsoft Learn和目标系统公开DDI核对。第11章其他主题的实验必须记录完整Windows build、架构、SDK、WDK、Visual Studio、驱动模型、签名、VBS/HVCI、驱动包摘要和符号，不能只写Windows 11或latest。

第11章其他主题涉及内核代码、驱动部署、回调、用户缓冲区、Minifilter、Verifier和故障调试。第11章其他主题页面只给实验协议；执行仅允许在可丢弃VM或专用测试机，并预备快照、备份、宿主内核调试、崩溃转储、超时、恢复启动和Verifier reset。生产设备、日常主机和无法承受蓝屏或数据损坏的对象不在实验范围内。

本页独立事实来源

作者一版Leanpub页面与完整公开目录：第11章其他主题用它核对Pavel Yosifovich、2020-12-10版本、455页、11章公开目录与软件内核驱动范围。
作者一版Leanpub官方18页授权样章：第11章其他主题用它局部核对一版身份、第一章目录及进程、虚拟内存、线程和系统调用开放正文；不扩大整书授权。
作者二版Leanpub页面与完整公开目录：第11章其他主题用它建立二版迁移轨，识别新增章节和接口；不把二版倒写成2021年中文版。
作者二版MIT示例仓库：第11章其他主题用它核对当前作者示例的章节归属、提交与许可；仓库只对应二版。
Microsoft驱动安全清单：第11章其他主题用它核对内核必要性、最小权限、WDF、HVCI、测试、签名和发布门。
Microsoft Driver Verifier指南：第11章其他主题用它核对只在测试机启用、目标驱动选择、bug check、查询和reset恢复。
Microsoft驱动签名指南：第11章其他主题用它核对测试签名、发布签名和驱动包交付边界。
Microsoft KMDF架构：第11章其他主题用它核对WDF对象、回调、队列和框架生命周期。
Microsoft文件系统过滤器验证：第11章其他主题用它核对callback data、context、名称信息与引用泄漏验证。

正式目录坐标逐项解释

第11章其他主题

坐标 1/20：第11章其他主题。稳定证据键 WKP2-C11-A。 第11章其他主题把第11章其他主题映射到“签名、Verifier、Native API、过滤驱动、设备监视、挂钩与内核库”中的对象身份、所有者、引用、IRQL和调用线程。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.1 驱动程序签名

坐标 2/20：11·1 驱动程序签名。稳定证据键 WKP2-C11-B。 第11章其他主题为11·1 驱动程序签名分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.2 驱动程序验证器

坐标 3/20：11·2 驱动程序验证器。稳定证据键 WKP2-C11-C。 第11章其他主题对11·2 驱动程序验证器预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.3 使用原生API

坐标 4/20：11·3 使用原生API。稳定证据键 WKP2-C11-D。 第11章其他主题用11·3 使用原生API构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.4 过滤驱动程序

坐标 5/20：11·4 过滤驱动程序。稳定证据键 WKP2-C11-E。 第11章其他主题把11·4 过滤驱动程序映射到“签名、Verifier、Native API、过滤驱动、设备监视、挂钩与内核库”中的对象身份、所有者、引用、IRQL和调用线程。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.4.1 过滤驱动程序的实现

坐标 6/20：11·4·1 过滤驱动程序的实现。稳定证据键 WKP2-C11-F。 第11章其他主题为11·4·1 过滤驱动程序的实现分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.4.2 附加过滤器

坐标 7/20：11·4·2 附加过滤器。稳定证据键 WKP2-C11-G。 第11章其他主题对11·4·2 附加过滤器预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.4.3 在任意时刻附加过滤器

坐标 8/20：11·4·3 在任意时刻附加过滤器。稳定证据键 WKP2-C11-H。 第11章其他主题用11·4·3 在任意时刻附加过滤器构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.4.4 过滤器的清理

坐标 9/20：11·4·4 过滤器的清理。稳定证据键 WKP2-C11-I。 第11章其他主题把11·4·4 过滤器的清理映射到“签名、Verifier、Native API、过滤驱动、设备监视、挂钩与内核库”中的对象身份、所有者、引用、IRQL和调用线程。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.4.5 基于硬件的过滤驱动程序的更多内容

坐标 10/20：11·4·5 基于硬件的过滤驱动程序的更多内容。稳定证据键 WKP2-C11-J。 第11章其他主题为11·4·5 基于硬件的过滤驱动程序的更多内容分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.5 设备监视器

坐标 11/20：11·5 设备监视器。稳定证据键 WKP2-C11-K。 第11章其他主题对11·5 设备监视器预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.5.1 增加过滤设备

坐标 12/20：11·5·1 增加过滤设备。稳定证据键 WKP2-C11-L。 第11章其他主题用11·5·1 增加过滤设备构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.5.2 移除过滤设备

坐标 13/20：11·5·2 移除过滤设备。稳定证据键 WKP2-C11-M。 第11章其他主题把11·5·2 移除过滤设备映射到“签名、Verifier、Native API、过滤驱动、设备监视、挂钩与内核库”中的对象身份、所有者、引用、IRQL和调用线程。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.5.3 初始化和卸载

坐标 14/20：11·5·3 初始化和卸载。稳定证据键 WKP2-C11-N。 第11章其他主题为11·5·3 初始化和卸载分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.5.4 处理请求

坐标 15/20：11·5·4 处理请求。稳定证据键 WKP2-C11-O。 第11章其他主题对11·5·4 处理请求预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.5.5 测试驱动程序

坐标 16/20：11·5·5 测试驱动程序。稳定证据键 WKP2-C11-P。 第11章其他主题用11·5·5 测试驱动程序构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.5.6 请求的结果

坐标 17/20：11·5·6 请求的结果。稳定证据键 WKP2-C11-Q。 第11章其他主题把11·5·6 请求的结果映射到“签名、Verifier、Native API、过滤驱动、设备监视、挂钩与内核库”中的对象身份、所有者、引用、IRQL和调用线程。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.6 驱动程序挂钩

坐标 18/20：11·6 驱动程序挂钩。稳定证据键 WKP2-C11-R。 第11章其他主题为11·6 驱动程序挂钩分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.7 内核库

坐标 19/20：11·7 内核库。稳定证据键 WKP2-C11-S。 第11章其他主题对11·7 内核库预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

11.8 总结

坐标 20/20：11·8 总结。稳定证据键 WKP2-C11-T。 第11章其他主题用11·8 总结构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。第11章其他主题必须交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。

三个可操作证据视图

第11章其他主题先选择正式坐标、版本轨和执行上下文，再调整小输入复算对象数量、队列或缓冲边界，最后逐阶段切换参考、单故障与恢复。每个视图都保留重置，不生成驱动成熟度、风险或性能综合分。

分步1 / 3

版本合同：选择坐标、出版轨与IRQL

版本—驱动模型—执行上下文合同

第11章其他主题

先选正式坐标，再分开一版、二版与目标平台，并冻结真实IRQL边界。

正式目录坐标

坐标 1/20

第11章其他主题

版本身份: 中文版以2021年机械工业出版社版为范围；作者一版页面与18页授权样章只支持目录、版本及开放页核对。
来源与迁移边界: 中文版185坐标与作者一版公开目录204坐标存在19项差异；差异项只能标注，不得冒充中文版缺失正文。
PASSIVE_LEVEL: 记录调用线程、进程上下文、可分页性、等待、用户缓冲区捕获、锁和卸载状态；不能仅凭例程名推断上下文。

第11章其他主题的探针真正计算对象/句柄、构建矩阵、池载荷、IOCTL请求、转储二分提示、DPC预算、IRP栈位置、通知队列、回调关联、Minifilter消息或Verifier请求。公式公开且只用于小模型；真实延迟、内存、安全和并发结论必须来自目标build、驱动包、测试机与捕获。

最小可重现实验协议

第11章其他主题先冻结Windows产品与完整build、架构、SDK、WDK、Visual Studio、驱动模型、SYS/INF/CAT摘要、签名、VBS/HVCI、符号、VM快照、输入和预期结果。
第11章其他主题只在可丢弃VM或专用测试机运行签名参考驱动，保存必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期；基线不稳、符号不匹配、对象身份不明或调试宿主不可用时停止。
第11章其他主题保持其余条件不变，只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”，记录首个对象状态、NTSTATUS、IRQL、线程、CPU、时间、调用链、竞争性解释和停止条件。
第11章其他主题停止新请求与回调，反向排空IRP、队列、端口、实例、引用和设备，必要时执行Verifier reset或恢复快照；以同输入重放，无法恢复“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”则标记失败或未知。

小结与上架门

第11章其他主题把签名、Verifier、Native API、过滤驱动、设备监视、挂钩与内核库连接成可复核链：中文版目录给185正式坐标，作者一版页面暴露19项目录差异，18页样章限定局部授权，二版与MIT仓库只支持迁移，当前Microsoft文档和目标DDI限定实际合同。版本/IRQL合同、透明对象探针、唯一故障首错、反向卸载和同输入恢复共同决定能否上架。最终交付必要性决策、驱动包/签名/HVCI验证、Verifier设置与reset、过滤设备生命周期并同时报告未测build、未开放正文和安全边界。

练习与答案

练习

问题 1：11.1 驱动程序签名

为第11章其他主题的 WKP2-C11-B 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·1 驱动程序签名的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-B 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 2：11.2 驱动程序验证器

为第11章其他主题的 WKP2-C11-C 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·2 驱动程序验证器的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-C 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 3：11.3 使用原生API

为第11章其他主题的 WKP2-C11-D 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·3 使用原生API的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-D 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 4：11.4 过滤驱动程序

为第11章其他主题的 WKP2-C11-E 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·4 过滤驱动程序的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-E 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 5：11.4.1 过滤驱动程序的实现

为第11章其他主题的 WKP2-C11-F 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·4·1 过滤驱动程序的实现的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-F 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 6：11.4.2 附加过滤器

为第11章其他主题的 WKP2-C11-G 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·4·2 附加过滤器的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-G 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 7：11.4.3 在任意时刻附加过滤器

为第11章其他主题的 WKP2-C11-H 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·4·3 在任意时刻附加过滤器的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-H 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 8：11.4.4 过滤器的清理

为第11章其他主题的 WKP2-C11-I 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·4·4 过滤器的清理的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-I 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 9：11.4.5 基于硬件的过滤驱动程序的更多内容

为第11章其他主题的 WKP2-C11-J 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·4·5 基于硬件的过滤驱动程序的更多内容的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-J 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 10：11.5 设备监视器

为第11章其他主题的 WKP2-C11-K 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·5 设备监视器的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-K 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 11：11.5.1 增加过滤设备

为第11章其他主题的 WKP2-C11-L 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·5·1 增加过滤设备的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-L 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 12：11.5.2 移除过滤设备

为第11章其他主题的 WKP2-C11-M 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·5·2 移除过滤设备的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-M 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 13：11.5.3 初始化和卸载

为第11章其他主题的 WKP2-C11-N 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·5·3 初始化和卸载的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-N 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 14：11.5.4 处理请求

为第11章其他主题的 WKP2-C11-O 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·5·4 处理请求的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-O 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 15：11.5.5 测试驱动程序

为第11章其他主题的 WKP2-C11-P 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·5·5 测试驱动程序的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-P 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 16：11.5.6 请求的结果

为第11章其他主题的 WKP2-C11-Q 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·5·6 请求的结果的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-Q 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 17：11.6 驱动程序挂钩

为第11章其他主题的 WKP2-C11-R 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·6 驱动程序挂钩的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-R 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 18：11.7 内核库

为第11章其他主题的 WKP2-C11-S 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·7 内核库的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-S 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 19：11.8 总结

为第11章其他主题的 WKP2-C11-T 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明11·8 总结的IRQL或用户边界。

第11章其他主题先冻结完整build、架构、工具链、驱动包、签名、VBS/HVCI、符号、VM和输入，把 WKP2-C11-T 映射到对象身份、所有者、IRQL、控制前值与预期信号；只注入“生产机全局Verifier、测试代码生产签名、驱动挂钩或向用户态暴露任意内核访问”。第11章其他主题保存首个分岔与竞争性解释，停止新请求并反向清理后以同输入重新满足“只有必要内核功能、受支持模型、最小权限、隔离验证、恢复与发布签名全部成立”。样章外原文、未测build和未捕获竞态保留为未知。

问题 20：为什么中文版185坐标不能静默扩成作者目录204坐标

第11章其他主题应怎样处理19项来源差异、18页样章和作者二版？

问题 21：什么时候必须停止内核实验

第11章其他主题缺少哪些条件时不能继续？

六个裁决术语

第11章其他主题使用、、、、、构成最小证据语言；这些术语指向真实build、对象、IRQL、调用链与恢复，不生成成熟度、风险或性能综合分。

名词解释

本章出现的专业名词，用大白话再讲一遍。

目标身份: 第11章其他主题的Windows完整build、架构、SDK、WDK、工具链、驱动包、签名与安全状态。
执行上下文: 第11章其他主题对象所处的线程/进程、IRQL、可分页性、等待、锁与用户缓冲区边界。
驱动对象链: 第11章其他主题中Driver、Device、File、IRP、callback、filter、instance或context的所有权关系。
首个分岔: 第11章其他主题单故障轨迹相对签名参考驱动最早出现状态、NTSTATUS或调用链差异的位置。
出版轨差异: 第11章其他主题把中文版185坐标、作者一版204坐标、二版与目标平台分开的显式记录。
同输入恢复: 第11章其他主题反向清理或恢复快照后用原驱动包与输入恢复对象、引用、队列和信号的断言。

第11章 其他主题

学习目标

为什么从这个问题开始

来源合同、版本差异与安全边界

本页独立事实来源

正式目录坐标逐项解释

第11章 其他主题

11.1 驱动程序签名

11.2 驱动程序验证器

11.3 使用原生API

11.4 过滤驱动程序

11.4.1 过滤驱动程序的实现

11.4.2 附加过滤器

11.4.3 在任意时刻附加过滤器

11.4.4 过滤器的清理

11.4.5 基于硬件的过滤驱动程序的更多内容

11.5 设备监视器

11.5.1 增加过滤设备

11.5.2 移除过滤设备

11.5.3 初始化和卸载

11.5.4 处理请求

11.5.5 测试驱动程序

11.5.6 请求的结果

11.6 驱动程序挂钩

11.7 内核库

11.8 总结

三个可操作证据视图

版本合同：选择坐标、出版轨与IRQL

第11章 其他主题

第11章 其他主题

最小可重现实验协议

小结与上架门

练习与答案

练习

六个裁决术语

名词解释

讨论

第11章其他主题

第11章其他主题

第11章其他主题

第11章其他主题