《Windows内核编程》全书总复习

直觉起点

、、、、共同构成本页坐标。用控制设备、系统通知、进程保护、文件备份小过滤器和设备监视器串联全书11章与185个核心目录层级。

内核编程必须同时画三张图：调用图说明用户请求、系统回调或I/O如何进入驱动；对象图说明DriverObject、DeviceObject、IRP、回调Cookie、上下文和池块由谁拥有；时间图说明注册、并发回调、注销、排空和卸载的先后。少一张图，表面可用的驱动也可能在压力或卸载时蓝屏。

常见误区与故障注入

四类样本与验收

样本	注入方式	必查证据	通过条件
基线	固定快照、sys/PDB和输入	状态码、IRQL、对象与日志	与预测一致
边界	空缓冲、短输出、断开客户端	长度、Information、引用	不越界不泄漏
失败	错IRQL、竞态、Verifier规则	首错栈和责任层	故障可定位
恢复	清理或快照后同输入重放	模块、服务、池、回调状态	回到基线

练习

小结

• 隔离虚拟机：连接“恢复干净快照”的内核契约与证据。
• IRP证据：连接“构建签名驱动”的内核契约与证据。
• 通知回调：连接“运行控制设备”的内核契约与证据。
• Minifilter：连接“验证系统通知”的内核契约与证据。
• Verifier闭环：连接“运行过滤项目”的内核契约与证据。
• 本页6个目录坐标全部进入实验链，不以泛化驱动主题替代原书内容。

术语表