我有一个使用WDK8.1示例的扫描仪文件系统微型过滤器驱动程序。我想知道我是否可以将整个文件发送到用户端应用程序，这样我就可以进行更复杂的计算，例如MD5哈希或其他任何东西，这样我就不必在mini中编写更复杂的操作过滤器驱动程序，而不是在用户应用程序中，我不介意引入windows.h并且我可以在堆上分配内存而不是使用ExAllocatePoolWithTag和类似的东西。我可以在一次通知中将整个文件传递到用户空间模式吗？如果不是，我将如何进行分块和同步。这是8.1扫描仪文件系统微型过滤器驱动程序示例的接口(interface)，它指示微型过滤器驱动程序与用户端应用程序之间的通信:/*+
我正在开发一个名为Npcap的Windows数据包捕获软件。并且它需要发送基于Windows内核的环回原始IP套接字。但是WskSocket->Dispatch->WskSendTo总是导致DRIVER_IRQL_NOT_LESS_OR_EQUALWin7SP1上的蓝屏。奇怪的是，我的代码不会在Win8、Win10等其他系统上触发此BSoD。它只发生在Win7。所以我什至怀疑这是Windows本身的错误还是只是我的错误？谢谢!重现步骤为:安装Npcap0.07r17使用默认选项安装Nmap7.20Beta5(不要安装随附的Npcap)在CMD中，运行nmap-v-O-6localhos
为什么Windows驱动程序的条目名称应该是“DriverEntry”？Windows不能使用PEheader找到驱动程序的入口点，或者说只能调用main()函数来初始化驱动程序吗？还有在WinMain的情况下也是如此。我认为main()或MainCRTSetup()应该是main()或MainCRTSetup()除非我们更改编译器设置，让编译器知道这是我们程序的入口。但是那是针对编译器的，不是吗？为什么Windows要求驱动的入口函数名是DriverEntry？ 最佳答案 Microsoft的人员决定.sys文件的入口点将是Dri
我会尽量简短但完整地描述:这是特定于Windows的。使用Windows驱动程序开发工具包(DDK)。我是第一次编写内核模式驱动程序(KMD)，之前没有任何内核模式经验。我目前正在使用DDK附带的“扫描仪”微型过滤器示例，并在其上进行扩展以进行练习。“扫描器”微型过滤器是通用“反病毒”类型扫描驱动程序的基本轮廓，它Hook文件创建/关闭并对关联文件进行操作以在批准/拒绝请求的操作之前扫描“坏词”。最终目标是在打开文件时用用户模式应用程序扫描文件，决定微型过滤器是否应该允许操作完成，而不会对正在尝试的进程或用户造成明显的减慢打开文件。当尝试保存时，我还想再次扫描整个文件，以决定是允许保存
关闭。这个问题不符合StackOverflowguidelines.它目前不接受答案。我们不允许提问寻求书籍、工具、软件库等的推荐。您可以编辑问题，以便用事实和引用来回答。关闭6个月前。Improvethisquestion我是驱动程序开发的新手，开始寻找有趣的驱动程序相关任务。
关闭。这个问题不符合StackOverflowguidelines.它目前不接受答案。我们不允许提问寻求书籍、工具、软件库等的推荐。您可以编辑问题，以便用事实和引用来回答。关闭6年前。Improvethisquestionlinux驱动开发可以引用windows驱动开发呢？更新有这方面的好书吗？
我目前正在分析一位客户因蓝屏死机而产生的故障转储。出于保密原因，我无法提供故障转储，但我已经走到了死胡同。崩溃发生在DDK中的RtlSetBit函数中。这是上下文记录:rax=0000000000000000rbx=fffff8800282da00rcx=fffffa8007c10340rdx=0000000000000000rsi=0000000000000001rdi=fffffa8007c102e0rip=fffff8000168d0b4rsp=fffff880057478e8rbp=0000000000000000r8=0000000000000000r9=0000000000
关闭。这个问题不符合StackOverflowguidelines.它目前不接受答案。我们不允许提问寻求书籍、工具、软件库等的推荐。您可以编辑问题，以便用事实和引用来回答。关闭4年前。Improvethisquestion我想查看PDF打印机的源代码，了解它们如何执行打印机驱动程序部分，但到目前为止，我只找到了用VB编写的PDFCreator。有很多免费软件PDF打印机，但它们不是开源的，我需要查看源代码。
我需要在沙盒进程上运行不安全的native代码，我需要减少进程切换的瓶颈。两个进程(Controller和沙箱)共享两个自动重置events以及用于通信的映射文件(共享内存)的连贯View。为了使这篇文章更小，我从示例代码中删除了初始化，但事件是由Controller创建的，使用DuplicateHandle复制，然后在工作之前发送到沙箱进程。Controller来源:voidinSandbox(HANDLEhNewRequest,HANDLEhAnswer,volatileint*shared){intbefore=*shared;for(inti=0;i沙盒来源:voidsandb
之前从未开发过任何驱动程序。无论如何，我现在正在编写2个简单的Windows内核模式驱动程序，这2个驱动程序将安装到2个不同的设备上，这些设备连接到2个不同的总线(ISA总线/PCI总线)，并且这2个驱动程序需要以某种方式与还期望彼此和数据交换，有什么有效的方法可以实现吗？内核事件可能可以启用同步，但数据交换如何？在用户模式下，管道/套接字可能是一个选项，但在内核模式下，是否有命名管道或其他东西的对应物？谷歌表示没有用于内核模式管道使用的记录API...我对Windows驱动程序框架不是很熟悉，希望我说得有道理..谢谢! 最佳答案
