楔子：
申请看雪已经将要满一年了，可是发现还是临时用户，很惭愧。现在正在写毕业论文，刚好可以屡一下思路。一直都在研究Windows内核驱动程

序，对驱动程序有自己的一点看法，不知道是否能够申请到邀请码。
正文：
言归正传，所有的I/O请求都是以IRP（I/O请求包）的形式来提交的，同时内核程序的所有分发函数（Dispatch Function）的第二个参数都是

PIRP（也即是指向IRP的指针）。为了说明问题，防止跳跃性太大，先解释几个名词（都按自己理解的），可以帮助会的人复习，不会的人学习

1：DRIVER_OBJECT：
驱动对象，由即插即用管理创建和传递到DriverEntry，作为DriverEntry的第一个参数,函数原型如下：
NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject,
                     IN PUNICODE_STRING pRegistryPath);
代表了一个内核驱动程序，一个驱动程序有且只有一个DRIVER_OBJECT，在wdm.h里有定义，也可以使用WinDbg查看其结构（保留最重要的

，并作了注释）：

  

////////////////DRIVER_OBJECT//////////////////////////////////////////////////////
[COLOR="RoyalBlue"]typedef struct _DRIVER_OBJECT {
   。。。。
    PDEVICE_OBJECT DeviceObject;//指向驱动程序中创建的第一个设备对象
。。。    
    PDRIVER_EXTENSION DriverExtension;//驱动扩展，里面有一个AddDevice，对于WDM程序很重要
。。。
   PDRIVER_STARTIO DriverStartIo;//很重要，IRP串行化
    PDRIVER_DISPATCH MajorFunction[IRP_MJ_MAXIMUM_FUNCTION + 1];//0x1E个分发函数，是内核驱动程序的核心，可以理解为回调函数（

只需要告诉驱动程序的分发函数名，并且编写函数实体，由系统I/O管理器完成调用）。若有机会，我会专门写一篇关于回调函数的文章

} DRIVER_OBJECT;
typedef struct _DRIVER_OBJECT *PDRIVER_OBJECT; [/COLOR]

  
///////////////////DEVICE_OBJECT//////////////////////////////////
[COLOR="royalblue"]typedef struct _DEVICE_OBJECT {
........  
    struct _DRIVER_OBJECT *DriverObject;//指出设备对象归属于哪个驱动程序（驱动对象）
    struct _DEVICE_OBJECT *NextDevice;//下一个设备对象（一个驱动程序可以创建多个设备对象），这个设备对象是同一层的（为了对比

设备栈）
    struct _DEVICE_OBJECT *AttachedDevice;//指向下一层驱动程序的设备对象（可以理解被挂载的设备对象）
    struct _IRP *CurrentIrp;//使用IRP串行化时很重要，用来决策当前IRP完成还是挂起等

    CCHAR StackSize;//设备栈的个数

     PVOID DeviceExtension;// 设备扩展，是一个自定义的大小的结构，很重要。因为驱动程序中的每个分发例程都有可能工作在不同的线

程和进程中，所以全局变量很危险，为了防止这一点，把全局变量都定义到设备扩展里，而设备对象又作为每个分发例程都带有设备对象，所

以都可以通过设备对象得到设备扩展里面的信息（在这一点上，个人认为有点像C++的封装性      
} DEVICE_OBJECT;
typedef struct _DEVICE_OBJECT *PDEVICE_OBJECT; [/COLOR]

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)