深入解析Windows操作系统 (豆瓣)

作者: （美）罗斯（Russinovich,M.E.） / （美）所罗门（Solomon,D.A.）
出版社: 电子工业出版社
译者: 潘爱民
出版年: 2007-4
页数: 941
定价: 99.00元
装帧: 平装
ISBN: 9787121039690

豆瓣评分

9.1

252人评价

5星

54.8%
4星

32.9%
3星

10.7%
2星

1.2%
1星

0.4%

评价:

内容简介 · · · · · ·

本书是著名的操作系统内核专家Mark Russinovich和David Solomon撰写的Windows操作系统原理的最新版著作，全面和深入地阐述了Windows操作系统的整体结构以及内部工作细节。本书针对Windows Server 2003、Windows XP和Windows 2000做了全面更新，通过许多练习实验让你直接感受到Windows的内部行为。另外，本书还介绍了一些高级诊断技术，以便使你的系统运行得更加平稳和高效。无论你是开发人员还是系统管理员，你都可以在本书中找到一些关键的、有关体系结构方面的知识，通过这些知识你可以更好地做系统设计、调试，以及性能优化……

豆瓣成员常用的标签(共106个) · · · · · ·

Windows 操作系统计算机深入解析Windows操作系统编程技术内幕 kernel Win32

喜欢读"深入解析Windows操作系统"的人也喜欢的电子书 · · · · · ·

支持 Web、iPhone、iPad、Android 阅读器

: 项目百态

18.00元

: 布道之道

12.00元

: CoffeeScript小书

1.99元

: 门后的秘密

6.00元

: Python源码剖析

38.39元

喜欢读"深入解析Windows操作系统"的人也喜欢 · · · · · ·

: 软件调试

: Windows内核原理与实现

: Windows核心编程(第5版)

: Windows驱动开发技术详解

: COM本质论

: Windows高级调试

: ROOTKITS

: Windows用户态程序高效排错

: 天书夜读

: 寒江独钓

我来说两句

短评 · · · · · · ( 全部 31 条 )

深入解析Windows操作系统的话题 · · · · · · ( 全部条 )

什么是话题

无论是一部作品、一个人，还是一件事，都往往可以衍生出许多不同的话题。将这些话题细分出来，分别进行讨论，会有更多收获。

我要写书评

深入解析Windows操作系统的书评 · · · · · · ( 全部 14 条 )

圣经

没什么说的，绝对的win内核圣经！看过图书馆里潘爱民翻译的第四版，前两天又买了本第五版的，相对第四版，第五版内容总体更新不大，主要是增加了些关于vista中内核的一些改动的论述。适合结合vista及以上版本的windows来学习，如果平时主要用的是xp、2k话，还是第四版更合适一... (展开)

1 0回应

类库大魔王 2009-11-21 09:49:54

书是好书

书是好书，但作为一个普通应用软件开发人员，可参考内容不多，价值不大。作为一个系统开发人员，应该有极大的参考价值和研究价值。 (展开)

2 2回应

Ray.Sun 2010-09-08 11:48:56

如果你看了4，应该看5；如果没有看4，那就直接看5

Windows Internals 4从07年入手之后，一直是枕边书。读这本书最好的方式是配合Windows代码一起理解。或者使用Livekd工具对系统结构进行分析。 Windows系统内部逻辑十分复杂，并不是一本书或者两本书能描述清楚的。这本书提供了理解系统机制的一些基本知识，对分析Windows代码... (展开)

2回应

stanleyyan 2009-02-20 15:13:50 Microsoft Press2009版

windows的圣经

这本书不错,类似的还有mac os internals和solaris internals,都是相当有深度的书,对于技术书籍,说它不错有两个原因,第一是严谨精准,这是态度问题;第二是全面深入,这是水准问题,这系列的书都具备这些特点.作为这些平台上安身立命的技术人员或者爱好者,要读就读好书,有用的书,不... (展开)

0回应

木头爱宝宝 2007-09-16 23:59:42

读完此书,说实话,第一遍读完,头是晕的.对于此书中的一些翻译感觉有些疑惑,所以找了鸟语原版来准备看第二次.此书非常深奥,至少对于windows只是处于操作阶段的朋友,是天书.只推荐给专业的程序员,一般用户,很少会有人有毅力全部看完的. (展开)

3 14回应

怀沙 2011-04-19 19:08:56

当着字典来用了

1、质量不用说了相当的不错、翻译的也不错。 2、想我这样从MCSA出身的人来说还是很大一部分看不明白。 3、经常是需要了解那一部分知识的时候去当字典来用也相当的不错当初在淘宝上面50元买的二手到手一看绝对的99成新。哈哈赚到了 (展开)

0回应

renbok 2015-08-23 12:44:21 人民邮电出版社2009版

有点深奥

如果对Windows的ring3运用很熟练，或者做了较长时间的Windows驱动开发，这本书对于修炼内功非常有好处。如果之前没有接触过Windows驱动或者内核开发，一上来就看这个，难免会很吃力，而且提高有限。这就好比练功，如果没有很深厚的内功或者武学根基，是没办法修炼上乘武功的 (展开)

0回应

liujc 2011-08-26 17:08:02

是一本好书，就是。。。

基本上是一本好书，但是翻译的质量就不好说了。可能潘老师在翻译的时候也不是。。。一些译文很长很拗口，不是很好理解。没有讲怎么写代码，没有讲怎么用API，没有讲怎么做项目，讲了为什么windows这样设计，估计看上几遍能初窥windows内幕。 (展开)

0回应

bettermanlu 2009-10-11 11:33:38 Microsoft Press2004版

晦涩但很经典

书中的英文真的是很晦涩难懂,再加上讲述的内容又是技术性很强的知识.自然读起来很费劲了. 但要说静下心来挑选感兴趣的章节慢慢的读2~3遍，自然会有很大的收获的。同时结合System Internals教学视频来读，效果更佳！可惜之处，System Internals视频只涵盖的书中的部分内容。 ps... (展开)

0回应

大愚若智 2009-08-24 21:06:35 Microsoft Press2009版

经典中的经典

知道这本书是经典，可总是没时间读完，从第四版开始，每隔几个月就会新出现个念头，要把这本书读完，结果没几天就忘记了。从第四版到第五版，不知道啥时候才能真正完整读一遍。不过只读一遍够吗？ (展开)

0回应

> 更多书评14篇

读书笔记 · · · · · · (共144篇)

我来写笔记

按有用程度
按页码先后
最新笔记

展开收起
第858页

MathxH

windows为什么会崩溃 windows崩溃（停止执行并显示蓝屏）有以下原因： 1.运行在内核模式下的设备驱动程序或者操作系统函数引发了一个未处理的异常。（内存访问违例） 2.调用一个内核支持的例程，导致一次重新调度（当中断请求级别IRQL为DPC/Dispatch级别或更高级别时等待一个处于无信号状态的分发器对象） 3.在DPC/Dispacth级别或者更高IRQL级别时，在“由页面文件或内存映射文件中的数据来支撑内存”上发生了一个页...
2013-09-13 14:15

windows为什么会崩溃
windows崩溃（停止执行并显示蓝屏）有以下原因： 1.运行在内核模式下的设备驱动程序或者操作系统函数引发了一个未处理的异常。（内存访问违例） 2.调用一个内核支持的例程，导致一次重新调度（当中断请求级别IRQL为DPC/Dispatch级别或更高级别时等待一个处于无信号状态的分发器对象） 3.在DPC/Dispacth级别或者更高IRQL级别时，在“由页面文件或内存映射文件中的数据来支撑内存”上发生了一个页面错误（原理同2） 4.一个设备驱动程序或操作系统函数显式地使系统崩溃（通过调用系统函数KeBugCheckEx）。因为它检测到一个内部条件表明了数据遭受破坏，或者表明了其他的情形：在不冒险破坏数据的情况下系统无法继续执行 5.发生硬件错误。（机器检查或者不可屏蔽中断NMI）
当一个内核模式设备驱动程序或者子系统引发了一个非法的异常时，windows面临着困难的抉择。此时，它检测到了在操作系统中，有能力访问任何硬件设备和任何有效内存的系统代码部分做了一些不应该做的事情。但是，为什么意味着windows必须要崩溃呢？难道就不能忽略该异常，继续执行吗？ --------该错误能被隔离出来的可能性是存在的，并且该组件将来能够通过某种方式被恢复过来的可能性也是存在的。但是，更有可能是，被检测到的异常来源于更深层的问题，系统继续下去可能导致更多异常，而且，存储在磁盘或其他外设中的数据可能也会遭受破坏，这样招致的风险太高了。
蓝屏
不管系统崩溃的原因是什么，真正执行崩溃的函数是KeBugCheckEx。该函数接受一个停止代码（也称错误检查码），以及四个根据停止代码来解释的参数。KeBug屏蔽了该系统的所有处理器上的所有中断以后，将显示器切换到低分辨率的VGA图形模式，绘制一个蓝色背景，然后显示此停止的代码，后面紧跟着一些文本建议用户应该来怎么做。最后，KebugCheckEx调用任何已注册的设备驱动程序错误检查回调函数（通过调用KeRegisterBugCheckCallback函数来注册的回调函数），从而让驱动程序有机会停止它们的设备。
崩溃转储文件
当系统崩溃时，系统总是试图记录下有关当前系统的状态的信息。对于一次系统崩溃，以下三种层次的信息可以被记录下来： 1.完全内存转储-------完全转储包含了在崩溃时刻所有的物理内存，要求页面至少是物理内存的大小再加上1MB（用于记录头信息） 2.内核内存转储--------值包含了在崩溃时刻位于物理内存中的内核模式的读/写页面。不包含用户进程的页面。 3.小内存转储--------默认的，大小64KB或者128KB，包含了停止代码和参数，已加载的设备驱动程序的列表，描述当前进程和线程的数据结构，以及引起这次崩溃的线程的内核栈
widows错误报告
（这节，google细节）
基本的崩溃转储分析
（用Notmyfault工具分析）
缓冲区溢出和特殊内存池
到目前为止，在windows上，最常见的崩溃源头是内存池被破坏
代码改写和系统代码写保护
（用Notmyfault工具分析）
栈破坏
（用Notmyfault工具分析）

推荐

回应 2013-09-13 14:15
展开收起
第844页

MathxH

NDIS驱动程序当一个协议驱动程序想要按照其协议的格式从网络上读写消息时，该驱动程序必须通过一个网络适配器才能做到这一点。但是适配器产生多，有差别，为了统一才有了NDIS接口规范。 NDIS库实现了TDI传输器和NDIS驱动程序之间存在的NDIS边界。NDIS库只是一个辅助库，NDIS驱动成的客户利用它，对将要发送给NDIS驱动程序的命令进行格式化。NDIS驱动程序与该库互相协作，以便接收请求和送回应答。 NDIS驱动程..
2013-09-13 09:36

NDIS驱动程序
当一个协议驱动程序想要按照其协议的格式从网络上读写消息时，该驱动程序必须通过一个网络适配器才能做到这一点。但是适配器产生多，有差别，为了统一才有了NDIS接口规范。
NDIS库实现了TDI传输器和NDIS驱动程序之间存在的NDIS边界。NDIS库只是一个辅助库，NDIS驱动成的客户利用它，对将要发送给NDIS驱动程序的命令进行格式化。NDIS驱动程序与该库互相协作，以便接收请求和送回应答。
NDIS驱动程序不是真正的windows驱动程序，因为如果没有NDIS库给予它们的封装，它们是不能正常工作的。这一隔离层将NDIS驱动程序完全包装起来，因而NDIS驱动程序并不接受和处理IRP。
（.load ndiskd 然后 !miniports 列出已加载的NDIS小端口）
NDIS小端口的变化形式
NDIS模型也支持混合的TDI传输器-NDIS驱动程序，此驱动程序称为NDIS中间驱动程序。这样的驱动程序位于TDI传输器和NDIS驱动程序之间。它为网络适配器提供容错和负载平衡特性的软件。
面向连接的NDIS
面向连接的NDIS驱动程序使用了标准NDIS驱动程序也使用的许多同样的API；然而，面向连接的NDIS驱动程序通过建立的网络连接来发送数据包，而不是将数据包放在网络介质上。
外接NDIS
外接NDIS是一个针对“位于动态即插即用总线（USB,IEEE 1394）上的网络设备”的规范。该规范彻底消除了硬件厂商编写NDIS小端口驱动程序的必要性，它的做法是，定义一些与总线无关的消息，以及定义一套机制，让镇邪消息可以再总线上传输。
绑定
windows网络体系结构中，各个层次上的组件互相之间是以什么方式找到对方的？将这些层次连接起来的过程称为“绑定”。当安装一个网络组件时，必须提供一个针对该组件的inf文件。
分层的网络服务
远程访问，活动目录，网络负载平衡，文件复制服务，分布式文件系统。详细细节google

推荐

回应 2013-09-13 09:36
展开收起
第828页

MathxH

NetBIOS NetBIOS同时支持可靠的面向连接的通信和不可靠的无连接的通信。windows支持NetBIOS是为了遗留下来的应用程序，在windows上，NetBIOS是由TCP/IP和IPX/SPX协议支持的。 NetBIOS名称关键词：命名规范，LANA， NetBIOS操作关键词：LANA，服务器应用程序 NetBIOS API实现关键词：Netapi32.dll ，NetBIOS仿真器，Netbios.sys，转译TDI命令其他网络API 关键词：实时通信，DCOM 实时通信（R...
2013-09-12 13:05

NetBIOS
NetBIOS同时支持可靠的面向连接的通信和不可靠的无连接的通信。windows支持NetBIOS是为了遗留下来的应用程序，在windows上，NetBIOS是由TCP/IP和IPX/SPX协议支持的。
NetBIOS名称
关键词：命名规范，LANA，
NetBIOS操作
关键词：LANA，服务器应用程序
NetBIOS API实现
关键词：Netapi32.dll ，NetBIOS仿真器，Netbios.sys，转译TDI命令
其他网络API
关键词：实时通信，DCOM
实时通信（RTC）
关键词：在场信息
DCOM
关键词：扩展 COM
多重定向器支持
关键词：UNC标准，WNET API， MPR，MUP。
多提供者转发器
关键词：MPR组件，MPR.dll，远程FSD。
多UNC提供者
关键词：MUP，类似MPR，DFS分布式文件系统
名称解析
名称解析是指这样一个过程：基于字符的名称，比如MyComputer或www.qq.com，被转译成一个可被协议栈识别的数值地址。windows提供两个与TCP/IP有关的名称解析协议：域名系统（DNS）和WINS（windows internet名称服务）
域名系统
域名系统（DNS）是一个标准。通过此标准，Internet名称可以被转译成对应的IP地址。如果网络应用程序想要将一个DNS名称解析成一个IP地址，则它利用TCP/IP协议向一个DNS服务器发送一个DNS查询请求。
windows Internet名称服务
关键词：维护， NetBIOS名称-IP地址，映射关系
协议驱动程序
API驱动程序历来与内核模式的传输协议驱动程序来完成实际的转译工作。将API与底层协议分离，这样做可使得网络体系结构更加灵活，允许每个API使用许多不同的协议。
windows中的TDI传输器通常实现了与它们主协议相关联的所有协议。例如，IPv4 TCP/IP驱动程序（Tcpip.sys）实现了TCP,UDP,IP,ARP,ICMP和IGMP。TDI传输器通常会创建代表其他特定协议的设备对象，所以，客户可以获得一个代表某个协议的文件对象，并利用IRP来向该协议发出网络I/O
（!drvobj tcpip 查看TCP/IP的设备对象）
TDI也为像UDP这样的无连接的协议，提供了无连接通信的支持，而且，TDI也提供了一种方法，让TDI客户可以向TDI传输器注册“事件回调”。
TCP/IP的扩展
其他的windows的网络服务通过一些附加的驱动程序扩展了TCP/IP协议驱动程序的基本网络特性。这些附加的驱动程序利用私有的接口来与TCP/IP协议驱动程序集成在一起。这些扩展网络服务包括网络地址转译（NAT），IP过滤，IP钩子和Internet协议安全性（IPSec）
网络地址转译
网络地址转译是一种路由服务，它允许多个私有IP地址被映射到单个公共IP地址上。如果没有NAT，那么LAN中的每台计算机必须分配一个公共的IP地址才能通过Internet进行通信。
windows上的NAT组件是由一个NAT设备驱动程序（Ipnat.sys）和一些编辑器构成的，其中，设备驱动程序将NAT与TCP/IP栈连接起来，而这些编辑器可以执行除了地址和端口转译以外其他更多的包处理任务。
IP过滤
（关键词： windows XP IP过滤）
IP过滤器和过滤器钩子

推荐

回应 2013-09-12 13:05
展开收起
第811页

MathxH

远程过程调用远程过程调用（RPC）是一个网络编程标准。微软的RPC实现是与OSF/DCE标准相兼容的。RPC建立在其他网络API基础之上，比如命名管道或者WinSock，其目的是提供另一种“能在某种程度上向应用程序开发人员隐藏细节”的编程模型 RPC的操作 RPC设施是指这样的设施，它允许程序员创建一个包含许多过程的应用程序，其中有些过程在本地执行，其他的过程通过网络在远程计算机上执行。传统的网络软件是以I/O处理模..
2013-09-12 09:39

远程过程调用
远程过程调用（RPC）是一个网络编程标准。微软的RPC实现是与OSF/DCE标准相兼容的。RPC建立在其他网络API基础之上，比如命名管道或者WinSock，其目的是提供另一种“能在某种程度上向应用程序开发人员隐藏细节”的编程模型
RPC的操作
RPC设施是指这样的设施，它允许程序员创建一个包含许多过程的应用程序，其中有些过程在本地执行，其他的过程通过网络在远程计算机上执行。传统的网络软件是以I/O处理模型为结构来组织的，RPC采用了一种完全不同的方法。RPC应用程序就好像其他的结构化应用程序一样，它有一个主程序，主程序调用过程或过程库完成特定的任务。然而，RPC应用程序和普通应用程序的区别在于，RPC应用程序中的有些过程库是在远程计算机上执行的，而其他过程库是在本地执行的。
编写RPC应用程序，不需要程序员主动编写代码来跨网络传输计算类型的请求或者与I/O相关的请求，而是由RPC软件自动地完全诸如“处理网络协议，处理网络错误，等待结果”之类的任务
RPC的实现
一个基于RPC的应用跟RPC运行时DLL（rpcrt4.dll）链接在一起。RPC运行时DLL提供了参数打包和解包函数，供应用程序的RPC函数的存根使用；DLL也提供了相应的函数用于发送和接收打包后的数据。DLL也包含了一些例程，以处理基于网络的RPC和一种称为本地RPC的形式。
RPC子系统被实现为一个windows服务。
Web访问API
方便开发Internet程序，不需掌握FTP,HTTP协议的复杂细节知识，提供对应的服务。
http
服务器应用程序利用http API可以进行注册，以接收来自某些特定URL的Http请求，接收http 请求，以及发送http应答。http API包含了安全套接字层（SSL）的支持，所以，应用程序可以再安全的Http连接上交换数据。该API包含了服务器的缓存能力，同步和异步I/O模型，以及Ipv4和IPv6两种编址方式。
应用程序通过Httpapi.dll库可以访问http API，而http API依赖于内核模式的Http.sys驱动程序。第一次有应用程序调用HttpInitialize时，Http.sys便按需启动。应用程序使用HttpCreateHanle来创建一个私有的请求队列，并且使用HttpAddUrl来指定它想要处理的URL。
应用程序可以使用Http.sys来将数据缓存在非换页的物理内存中，其做法是，调用HttpAddToFragmentCache并且在被缓存的数据上关联一个段名称。该驱动调用内存管理器函数MmAllocatePagesForMdl来申请未映射的物理页面。当该驱动要求为缓存中某一项所描述的物理内存执行一个虚拟地址映射时，它使用MmMapLockedPagesSpecifyCache，然后再完成了访问以后使用MmUnmapLockedPages。该驱动一直维护这这些被缓存的数据，直到一个应用程序让它变成无效，或者一个应用程序选择的，与该数据相关联的可选超时值到期为止。该驱动也会在一个辅助线程中修剪被缓存的数据，当低内存通知时间变成有信号状态时，该线程被唤醒。当一个应用程序在HttpSendHttpResponse调用中指定了一个或多个段名称时，该驱动传递一个指针（指向物理内存中被缓存的数据）给TCP/IP驱动程序，从而避免一次拷贝工作。
**************************************************************************************************
命名管道和邮件槽
关键词：UNC OS/2 LAN MANAGER
命名管道操作
关键词：CreateNamedPipe，消息模式，字节模式，ConnectNamedPipe，CallNamedPipe，
邮件槽的操作
关键词：CreateMailslot
命名管道和邮件槽的实现
关键词：Npfs.sys Msfs.sys

推荐

回应 2013-09-12 09:39

展开收起
第1页

Love Scarlett (拍片如山倒看片如抽丝)

http://en.wikipedia.org/wiki/Cairo_%28operating_system%29 http://en.wikipedia.org/wiki/Cairo_%28operating_system%29 为什么不能添加序的页码？x页。
2011-04-05 20:48

http://en.wikipedia.org/wiki/Cairo_%28operating_system%29
http://en.wikipedia.org/wiki/Cairo_%28operating_system%29
为什么不能添加序的页码？x页。

推荐

回应 2011-04-05 20:48
展开收起
第2页

Love Scarlett (拍片如山倒看片如抽丝)

discretionary access control 自主访问控制不理解应用程序仍然只能运行在单线程下.
2011-09-08 15:06

discretionary access control 自主访问控制
不理解
应用程序仍然只能运行在单线程下.

推荐

回应 2011-09-08 15:06
展开收起
第4页

Love Scarlett (拍片如山倒看片如抽丝)

WinFX到底是什么?　到底是什么的缩写？windows Framework Extended/Extream? 感觉就是一个用户界面，类似XUL? CSS?　 http://www.microsoft.com/download/en/details.aspx?displaylang=en&id;=19482 MSDN TV: What is WinFX -The New Programming Interface Introduced in Windows “Longhorn” http://blogs.msdn.com/b/ianm/archive/2006/04/19/578851.aspx WinFX is the .NET Framework 2.0 with the addition of fou...
2011-09-08 15:29

WinFX到底是什么?　到底是什么的缩写？windows Framework Extended/Extream?
感觉就是一个用户界面，类似XUL? CSS?　
http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=19482 MSDN TV: What is WinFX -The New Programming Interface Introduced in Windows “Longhorn”
http://blogs.msdn.com/b/ianm/archive/2006/04/19/578851.aspx
WinFX is the .NET Framework 2.0 with the addition of four specific new technologies: Windows Presentation Foundation, Windows Communication Foundation, Windows Workflow Foundation, and Infocard (codename).
上传一张已经过时的WinFX图, 也许可以叫架构图吧.

推荐

回应 2011-09-08 15:29
展开收起
第6页

Love Scarlett (拍片如山倒看片如抽丝)

我没有开这个服务. Task Scheduler Enables a user to configure and schedule automated tasks on this computer. If this service is stopped, these tasks will not be run at their scheduled times. If this service is disabled, any services that explicitly depend on it will fail to start. C:\WINDOWS\System32\svchost.exe -k netsvcs
2011-09-08 15:50

我没有开这个服务.
Task Scheduler Enables a user to configure and schedule automated tasks on this computer. If this service is stopped, these tasks will not be run at their scheduled times. If this service is disabled, any services that explicitly depend on it will fail to start. C:\WINDOWS\System32\svchost.exe -k netsvcs

推荐

回应 2011-09-08 15:50

展开收起
第858页

MathxH

windows为什么会崩溃 windows崩溃（停止执行并显示蓝屏）有以下原因： 1.运行在内核模式下的设备驱动程序或者操作系统函数引发了一个未处理的异常。（内存访问违例） 2.调用一个内核支持的例程，导致一次重新调度（当中断请求级别IRQL为DPC/Dispatch级别或更高级别时等待一个处于无信号状态的分发器对象） 3.在DPC/Dispacth级别或者更高IRQL级别时，在“由页面文件或内存映射文件中的数据来支撑内存”上发生了一个页...
2013-09-13 14:15

windows为什么会崩溃
windows崩溃（停止执行并显示蓝屏）有以下原因： 1.运行在内核模式下的设备驱动程序或者操作系统函数引发了一个未处理的异常。（内存访问违例） 2.调用一个内核支持的例程，导致一次重新调度（当中断请求级别IRQL为DPC/Dispatch级别或更高级别时等待一个处于无信号状态的分发器对象） 3.在DPC/Dispacth级别或者更高IRQL级别时，在“由页面文件或内存映射文件中的数据来支撑内存”上发生了一个页面错误（原理同2） 4.一个设备驱动程序或操作系统函数显式地使系统崩溃（通过调用系统函数KeBugCheckEx）。因为它检测到一个内部条件表明了数据遭受破坏，或者表明了其他的情形：在不冒险破坏数据的情况下系统无法继续执行 5.发生硬件错误。（机器检查或者不可屏蔽中断NMI）
当一个内核模式设备驱动程序或者子系统引发了一个非法的异常时，windows面临着困难的抉择。此时，它检测到了在操作系统中，有能力访问任何硬件设备和任何有效内存的系统代码部分做了一些不应该做的事情。但是，为什么意味着windows必须要崩溃呢？难道就不能忽略该异常，继续执行吗？ --------该错误能被隔离出来的可能性是存在的，并且该组件将来能够通过某种方式被恢复过来的可能性也是存在的。但是，更有可能是，被检测到的异常来源于更深层的问题，系统继续下去可能导致更多异常，而且，存储在磁盘或其他外设中的数据可能也会遭受破坏，这样招致的风险太高了。
蓝屏
不管系统崩溃的原因是什么，真正执行崩溃的函数是KeBugCheckEx。该函数接受一个停止代码（也称错误检查码），以及四个根据停止代码来解释的参数。KeBug屏蔽了该系统的所有处理器上的所有中断以后，将显示器切换到低分辨率的VGA图形模式，绘制一个蓝色背景，然后显示此停止的代码，后面紧跟着一些文本建议用户应该来怎么做。最后，KebugCheckEx调用任何已注册的设备驱动程序错误检查回调函数（通过调用KeRegisterBugCheckCallback函数来注册的回调函数），从而让驱动程序有机会停止它们的设备。
崩溃转储文件
当系统崩溃时，系统总是试图记录下有关当前系统的状态的信息。对于一次系统崩溃，以下三种层次的信息可以被记录下来： 1.完全内存转储-------完全转储包含了在崩溃时刻所有的物理内存，要求页面至少是物理内存的大小再加上1MB（用于记录头信息） 2.内核内存转储--------值包含了在崩溃时刻位于物理内存中的内核模式的读/写页面。不包含用户进程的页面。 3.小内存转储--------默认的，大小64KB或者128KB，包含了停止代码和参数，已加载的设备驱动程序的列表，描述当前进程和线程的数据结构，以及引起这次崩溃的线程的内核栈
widows错误报告
（这节，google细节）
基本的崩溃转储分析
（用Notmyfault工具分析）
缓冲区溢出和特殊内存池
到目前为止，在windows上，最常见的崩溃源头是内存池被破坏
代码改写和系统代码写保护
（用Notmyfault工具分析）
栈破坏
（用Notmyfault工具分析）

推荐

回应 2013-09-13 14:15
展开收起
第844页

MathxH

NDIS驱动程序当一个协议驱动程序想要按照其协议的格式从网络上读写消息时，该驱动程序必须通过一个网络适配器才能做到这一点。但是适配器产生多，有差别，为了统一才有了NDIS接口规范。 NDIS库实现了TDI传输器和NDIS驱动程序之间存在的NDIS边界。NDIS库只是一个辅助库，NDIS驱动成的客户利用它，对将要发送给NDIS驱动程序的命令进行格式化。NDIS驱动程序与该库互相协作，以便接收请求和送回应答。 NDIS驱动程..
2013-09-13 09:36

NDIS驱动程序
当一个协议驱动程序想要按照其协议的格式从网络上读写消息时，该驱动程序必须通过一个网络适配器才能做到这一点。但是适配器产生多，有差别，为了统一才有了NDIS接口规范。
NDIS库实现了TDI传输器和NDIS驱动程序之间存在的NDIS边界。NDIS库只是一个辅助库，NDIS驱动成的客户利用它，对将要发送给NDIS驱动程序的命令进行格式化。NDIS驱动程序与该库互相协作，以便接收请求和送回应答。
NDIS驱动程序不是真正的windows驱动程序，因为如果没有NDIS库给予它们的封装，它们是不能正常工作的。这一隔离层将NDIS驱动程序完全包装起来，因而NDIS驱动程序并不接受和处理IRP。
（.load ndiskd 然后 !miniports 列出已加载的NDIS小端口）
NDIS小端口的变化形式
NDIS模型也支持混合的TDI传输器-NDIS驱动程序，此驱动程序称为NDIS中间驱动程序。这样的驱动程序位于TDI传输器和NDIS驱动程序之间。它为网络适配器提供容错和负载平衡特性的软件。
面向连接的NDIS
面向连接的NDIS驱动程序使用了标准NDIS驱动程序也使用的许多同样的API；然而，面向连接的NDIS驱动程序通过建立的网络连接来发送数据包，而不是将数据包放在网络介质上。
外接NDIS
外接NDIS是一个针对“位于动态即插即用总线（USB,IEEE 1394）上的网络设备”的规范。该规范彻底消除了硬件厂商编写NDIS小端口驱动程序的必要性，它的做法是，定义一些与总线无关的消息，以及定义一套机制，让镇邪消息可以再总线上传输。
绑定
windows网络体系结构中，各个层次上的组件互相之间是以什么方式找到对方的？将这些层次连接起来的过程称为“绑定”。当安装一个网络组件时，必须提供一个针对该组件的inf文件。
分层的网络服务
远程访问，活动目录，网络负载平衡，文件复制服务，分布式文件系统。详细细节google

推荐

回应 2013-09-13 09:36
展开收起
第828页

MathxH

NetBIOS NetBIOS同时支持可靠的面向连接的通信和不可靠的无连接的通信。windows支持NetBIOS是为了遗留下来的应用程序，在windows上，NetBIOS是由TCP/IP和IPX/SPX协议支持的。 NetBIOS名称关键词：命名规范，LANA， NetBIOS操作关键词：LANA，服务器应用程序 NetBIOS API实现关键词：Netapi32.dll ，NetBIOS仿真器，Netbios.sys，转译TDI命令其他网络API 关键词：实时通信，DCOM 实时通信（R...
2013-09-12 13:05

NetBIOS
NetBIOS同时支持可靠的面向连接的通信和不可靠的无连接的通信。windows支持NetBIOS是为了遗留下来的应用程序，在windows上，NetBIOS是由TCP/IP和IPX/SPX协议支持的。
NetBIOS名称
关键词：命名规范，LANA，
NetBIOS操作
关键词：LANA，服务器应用程序
NetBIOS API实现
关键词：Netapi32.dll ，NetBIOS仿真器，Netbios.sys，转译TDI命令
其他网络API
关键词：实时通信，DCOM
实时通信（RTC）
关键词：在场信息
DCOM
关键词：扩展 COM
多重定向器支持
关键词：UNC标准，WNET API， MPR，MUP。
多提供者转发器
关键词：MPR组件，MPR.dll，远程FSD。
多UNC提供者
关键词：MUP，类似MPR，DFS分布式文件系统
名称解析
名称解析是指这样一个过程：基于字符的名称，比如MyComputer或www.qq.com，被转译成一个可被协议栈识别的数值地址。windows提供两个与TCP/IP有关的名称解析协议：域名系统（DNS）和WINS（windows internet名称服务）
域名系统
域名系统（DNS）是一个标准。通过此标准，Internet名称可以被转译成对应的IP地址。如果网络应用程序想要将一个DNS名称解析成一个IP地址，则它利用TCP/IP协议向一个DNS服务器发送一个DNS查询请求。
windows Internet名称服务
关键词：维护， NetBIOS名称-IP地址，映射关系
协议驱动程序
API驱动程序历来与内核模式的传输协议驱动程序来完成实际的转译工作。将API与底层协议分离，这样做可使得网络体系结构更加灵活，允许每个API使用许多不同的协议。
windows中的TDI传输器通常实现了与它们主协议相关联的所有协议。例如，IPv4 TCP/IP驱动程序（Tcpip.sys）实现了TCP,UDP,IP,ARP,ICMP和IGMP。TDI传输器通常会创建代表其他特定协议的设备对象，所以，客户可以获得一个代表某个协议的文件对象，并利用IRP来向该协议发出网络I/O
（!drvobj tcpip 查看TCP/IP的设备对象）
TDI也为像UDP这样的无连接的协议，提供了无连接通信的支持，而且，TDI也提供了一种方法，让TDI客户可以向TDI传输器注册“事件回调”。
TCP/IP的扩展
其他的windows的网络服务通过一些附加的驱动程序扩展了TCP/IP协议驱动程序的基本网络特性。这些附加的驱动程序利用私有的接口来与TCP/IP协议驱动程序集成在一起。这些扩展网络服务包括网络地址转译（NAT），IP过滤，IP钩子和Internet协议安全性（IPSec）
网络地址转译
网络地址转译是一种路由服务，它允许多个私有IP地址被映射到单个公共IP地址上。如果没有NAT，那么LAN中的每台计算机必须分配一个公共的IP地址才能通过Internet进行通信。
windows上的NAT组件是由一个NAT设备驱动程序（Ipnat.sys）和一些编辑器构成的，其中，设备驱动程序将NAT与TCP/IP栈连接起来，而这些编辑器可以执行除了地址和端口转译以外其他更多的包处理任务。
IP过滤
（关键词： windows XP IP过滤）
IP过滤器和过滤器钩子

推荐

回应 2013-09-12 13:05
展开收起
第811页

MathxH

远程过程调用远程过程调用（RPC）是一个网络编程标准。微软的RPC实现是与OSF/DCE标准相兼容的。RPC建立在其他网络API基础之上，比如命名管道或者WinSock，其目的是提供另一种“能在某种程度上向应用程序开发人员隐藏细节”的编程模型 RPC的操作 RPC设施是指这样的设施，它允许程序员创建一个包含许多过程的应用程序，其中有些过程在本地执行，其他的过程通过网络在远程计算机上执行。传统的网络软件是以I/O处理模..
2013-09-12 09:39

远程过程调用
远程过程调用（RPC）是一个网络编程标准。微软的RPC实现是与OSF/DCE标准相兼容的。RPC建立在其他网络API基础之上，比如命名管道或者WinSock，其目的是提供另一种“能在某种程度上向应用程序开发人员隐藏细节”的编程模型
RPC的操作
RPC设施是指这样的设施，它允许程序员创建一个包含许多过程的应用程序，其中有些过程在本地执行，其他的过程通过网络在远程计算机上执行。传统的网络软件是以I/O处理模型为结构来组织的，RPC采用了一种完全不同的方法。RPC应用程序就好像其他的结构化应用程序一样，它有一个主程序，主程序调用过程或过程库完成特定的任务。然而，RPC应用程序和普通应用程序的区别在于，RPC应用程序中的有些过程库是在远程计算机上执行的，而其他过程库是在本地执行的。
编写RPC应用程序，不需要程序员主动编写代码来跨网络传输计算类型的请求或者与I/O相关的请求，而是由RPC软件自动地完全诸如“处理网络协议，处理网络错误，等待结果”之类的任务
RPC的实现
一个基于RPC的应用跟RPC运行时DLL（rpcrt4.dll）链接在一起。RPC运行时DLL提供了参数打包和解包函数，供应用程序的RPC函数的存根使用；DLL也提供了相应的函数用于发送和接收打包后的数据。DLL也包含了一些例程，以处理基于网络的RPC和一种称为本地RPC的形式。
RPC子系统被实现为一个windows服务。
Web访问API
方便开发Internet程序，不需掌握FTP,HTTP协议的复杂细节知识，提供对应的服务。
http
服务器应用程序利用http API可以进行注册，以接收来自某些特定URL的Http请求，接收http 请求，以及发送http应答。http API包含了安全套接字层（SSL）的支持，所以，应用程序可以再安全的Http连接上交换数据。该API包含了服务器的缓存能力，同步和异步I/O模型，以及Ipv4和IPv6两种编址方式。
应用程序通过Httpapi.dll库可以访问http API，而http API依赖于内核模式的Http.sys驱动程序。第一次有应用程序调用HttpInitialize时，Http.sys便按需启动。应用程序使用HttpCreateHanle来创建一个私有的请求队列，并且使用HttpAddUrl来指定它想要处理的URL。
应用程序可以使用Http.sys来将数据缓存在非换页的物理内存中，其做法是，调用HttpAddToFragmentCache并且在被缓存的数据上关联一个段名称。该驱动调用内存管理器函数MmAllocatePagesForMdl来申请未映射的物理页面。当该驱动要求为缓存中某一项所描述的物理内存执行一个虚拟地址映射时，它使用MmMapLockedPagesSpecifyCache，然后再完成了访问以后使用MmUnmapLockedPages。该驱动一直维护这这些被缓存的数据，直到一个应用程序让它变成无效，或者一个应用程序选择的，与该数据相关联的可选超时值到期为止。该驱动也会在一个辅助线程中修剪被缓存的数据，当低内存通知时间变成有信号状态时，该线程被唤醒。当一个应用程序在HttpSendHttpResponse调用中指定了一个或多个段名称时，该驱动传递一个指针（指向物理内存中被缓存的数据）给TCP/IP驱动程序，从而避免一次拷贝工作。
**************************************************************************************************
命名管道和邮件槽
关键词：UNC OS/2 LAN MANAGER
命名管道操作
关键词：CreateNamedPipe，消息模式，字节模式，ConnectNamedPipe，CallNamedPipe，
邮件槽的操作
关键词：CreateMailslot
命名管道和邮件槽的实现
关键词：Npfs.sys Msfs.sys

推荐

回应 2013-09-12 09:39

> 更多读书笔记（共144篇）

论坛 · · · · · ·


一年多啦，第5版还没翻译出来，\(^o^)/~	来自shaoyihe		2010-10-26
如果你是使用Windows平台进行开发，则了解Windows...	来自yolanda		2010-04-02
还有谁有下载过调试工具	来自一天哥哥	1 回应	2009-10-13
9.0?	来自[已注销]		2009-08-02
很好很强大	来自于博		2009-08-01