小聂的俭朴斋

Win8中的MmVerifyCallbackFunction

2013-12-20 Nie.Meining Coding

看了下Win8中的MmVerifyCallbackFunction，依然守护 ObRegisterCallbacks 和 PspSetCreateProcessNotifyRoutine：

不过检测方案和win7中是一样的：

[开发笔记]关于匈牙利命名法

2013-12-19 Nie.Meining Life

由于项目需要，这段时间都在研究linux内核。感觉linux内核代码跟wrk的代码相比，风格上的最大区别是命名法。linuxer似乎都觉得匈牙利命名法是没有必要，甚至在内核编码规范中也明确抵制匈牙利命名法。但作为一名长期使用匈牙利命名法的码农，我个人觉得这种命名法在开发过程中还是能带来很大帮助的，尤其是可能帮助你避免很多潜在的bug，提高代码的严谨性。举几个例子：

1. 假设你要给某个变量赋值：

unsigned short usLocal = g_usGlobal;

是的，不用疯狂向上滚屏去寻找 g_usGlobal 的声明了，我们知道它的类型是unsigned short。更给力的是，你能立刻知道 g_usGlobal 是一个全局变量，于是你被迫去思考这个地方是否会出现多线程竞争的问题……

阅读全文>>

评论(1) 浏览(45017)

上一篇写到Windows将图形支持作为windows子系统的一部分放到了内核支持中。其实windows子系统既有内核部分也有用户态部分，其内核部分由win32.sys实现，负责窗口管理(会话、窗口站、桌面)和GDI。win32.sys对应用层不处理任何IO请求，只作为内核功能扩展导出Shadow SSDT表向用户层提供大量系统服务。因此基于这个定位，win32.sys不是一个完整的内核驱动，而是一个内核动态链接库，其加载方式是 MmLoadSystemImage + call oep。

任何一个线程，只要调用了Shadow SSDT中的函数则会转变成一个GUI线程（PsConvertToGuiThread），纳入csrss.exe的管理范畴。转换过程包括分配子系统相关的对象、切换一个更大的内核栈（KeSwitchKernelStack）、切换为 KeServiceDescriptorTableShadow 等。具体可以参考wrk。另外，win32.sys 并不常驻内存，因此在有些进程中可能看不到Shadow SSDT表（例如 system）：