1. windows驅動分兩類，NT式驅動和WDM驅動，后者支持即插即用；

2. DriverEntry是入口函數，傳入參數：pDriverObject由IO管理器傳入；

3. WDM驅動中，AddDevice創建設備對象，由PnP管理器調用；傳入參數：(DriverObject, PhysicalDeviceObject)，第一個參數是DriverEntry的傳入參數，第二個參數由總線驅動創建的PDO；

4. IRP_MJ_PNP分很多子類，包括IRP_MN_START_DEVICE、IRP_MN_REMOVE_DEVICE、IRP_MN_STOP_DEVICE等等；

5. PE格式(Portable Execute)，二進制可執行格式；

6. 函數調用這一過程用匯編語言展現出來是這樣子的:參數入棧-->ebp入棧-->將esp作為ebp-->esp減一定空間(增長)-->處理-->將ebp作為esp-->ebp出棧-->返回。

7. 函數調用約定，重點區分_cdecl和_stdcall。函數在調用前后需要保持esp平衡，_cdecl是C語言默認調用約定，函數返回后由調用者將esp+參數占用字節數，保持平衡，例如調用int add(int, int)后，調用者執行 add,esp 8；_stdcall是標準調用約定，函數返回時執行ret x(參數占用字節數)，自助保持堆棧平衡，例如ret 8。不同調用約定會使函數在編譯階段產生差異的符號鏈接名。 例如_cdecl約定下為_add,而_stdcall約定下為_add@8. 不同的符號鏈接名可能導致link階段的無法解析外部符號錯誤。

8. windows以樹形結構組織系統內的設備，稱之為設備樹。垂直結構，從底到上的構建設備樹，總線驅動構建設備的PDO，設備驅動構建設備對象，這種垂直結構成為設備堆棧。平行結構，相同的設備擁有一致的設備堆棧。

9. 在windows系統內，每個進程有自己獨立的4GB虛擬內存空間，其中低2GB（0~0x7FFFFFFF）為用戶模式空間，高2GB是內核模式空間，用戶態程序只能訪問用戶模式空間，內核程序可以訪問整個4GB空間。進程切換發生時，內核空間不切換，之切換用戶模式空間。

10. 在驅動程序中，DriverEntry和AddDevice是由系統進程調用的，運行在系統進程上下文；而其他的派遣函數例程運行在程序上下文。

11. 分頁內存和非分頁內存。在虛擬內存管理中，分頁內存會被交換出物理內存，非分頁內存會一直駐留在物理內存中。分頁內存只能被運行在DISPATCH_LEVEL級別以下的函數使用，如果程序運行在DISPATCH_LEVEL以上，一定要用非分頁內存。因為缺頁異常的回調函數運行在DISPATCH_LEVEL上, DISPATCH_LEVEL以上的程序使用分頁內存會導致計算機藍屏。

12. 內核堆內存分配的函數使用ExAllocatePool和ExFreePool, 需要指定內存分配的類型。在內核模式下，無法使用C++提供的new或delete操作，因為在windows平臺下，new實現依賴于win32 API，而在內核模式下是無法使用win32 API。

13. windows DDK實現了一個內置的通用雙向鏈表結構，LIST_ENTRY，類似于Linux中使用的雙向鏈表結構，list_head

14. windows DDK內置了內存池Lookaside，只能的避免內存空洞。

15. 微軟編譯器提供的結構化異常處理機制，當程序在執行過程中遇到異常，就會在當前try塊外尋找except塊，如果當前try塊沒有設置except捕獲異常塊，則進入上一層try塊，直至交由操作系統處理。這一過程成為回卷。

16. 如果if或者else，只有單個函數或語句的情況下是允許的。但是如果函數本質是一個多行的宏定義，則容易出現很難察覺的問題。所以在每次if或者else時，都要加一個{}，是非常必要的。

17. 應用程序向CreateFile傳入符號鏈接名打開設備，一般是這個樣子: \\.\helloWDM，寫成C語言字符串成”\\\\.\\helloWDM”

18. 緩沖區讀寫/直接讀寫的區別：需要簡單說明一下windows IO讀寫的機制。用戶態程序調用win32 API WriteFile，對應到內核的Native API NtWriteFile，NtWriteFile負責創建IRP包分發給響應的Dispatch。用戶態程序需要向WriteFile傳入1個用戶空間的數據緩沖區buf1，假設起始地址0x400。windows是多任務環境，當進程切換時，用戶空間發生切換，所以NtWriteFile直接操作0x400就很可能進入其他進程的用戶空間。

緩沖區讀寫，指的是windows負責在內核空間開辟一段相同大小的緩沖區，并將WriteFile的緩沖區復制過去，這樣用戶進程切換共用內核空間，不會出問題。讀操作也是類似的操作。這種方式存在內核的緩沖區復制，效率較低，適合在小塊內存的情況下。

直接讀寫：指的是，windows先鎖住(不交換出物理內存)空間的緩沖區，然后將這塊物理內存映射到內核空間，這樣NtWriteFile操作的就是同一塊物理內存，不會出問題。這種方式，涉及的過程比起簡單的內存復制來說要復雜，但是效率高，適合數據量大的情況。另外，說明一下：windows內核采用MDL記錄用戶緩沖區到物理內存的映射關系。

19. PIC與APIC區別：PIC(Programable Interrupt Controller)，是傳統PC的方案，使用2片8259級聯實現最多16個中斷信號；目前大部分機器采用APIC(Advanced Programable Interrupt Controller)，兼容PIC模式，實現最多24個中斷信號。

20. 在PC機24個中斷信號的基礎上，windows設計了32級的IRQL。關心IRQL最低的PASSIVE_LEVEL，APC_LEVEL，DISPATCH_LEVEL。用戶模式程序運行在PASSIVE_LEVEL，驅動程序的派遣函數、AddDevice、DriverEntry等一般函數也運行于PASSIVE_LEVEL，DPC和StartIO運行于DISPATCH_LEVEL，OS的線程調度程序運行于DISPATCH_LEVEL。對于線程來說，高的IRQL級別可以有更多的機會獲得CPU。當線程執行ReadFile，其IRP對應的響應派遣函數運行于PASSIVE_LEVEL，與ReadFile同屬于一個線程的上下文。

常常采用提高線程的IRQL的方式，實現多線程資源同步，避免切換?？墒菍τ诙嗪颂幚砥?#xff0c;這并不好使。

21.

轉載于:https://www.cnblogs.com/yuqiao-ray-vision/p/3680728.html

總結

以上是生活随笔為你收集整理的windows驱动开发详解学习笔记的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。