驅(qū)動的入口 DriverEntry() 函數(shù)

1. 驅(qū)動對象 DriverObject
DRIVER_OBJECT 對應 .sys? 文件？
DRIVER_OBJECT?對象是操作系統(tǒng)在加載驅(qū)動時所分配的.
RegisteryPath 也是操作系統(tǒng)用于記錄驅(qū)動相關參數(shù)的注冊表路徑.

DriverObject 重要之處，在于它有一組函數(shù)指針，稱之為 dispatch functions
開發(fā)驅(qū)動的主要任務就是自己實現(xiàn)這些 dispatch functions, 當系統(tǒng)用到你的驅(qū)動時，就會向你的驅(qū)動發(fā)送 IRP, 可以在 dispatch functions 中處理這些 IRP, 可以讓IRP 失敗，也可以讓它返回成功，甚至可以修改或自己發(fā)出IRP。(如何把驅(qū)動關聯(lián)到系統(tǒng)中，讓它可以通知到呢？)

2. 設備對象 DeviceObject 簡稱?DO?
IRP 是由 DeviceObject 發(fā)出的，只有針對該驅(qū)動所生成的 DeviceObject? 的 IRP，操作系統(tǒng)才會發(fā)給該驅(qū)動來處理。具體的 dispatch function 決定于 DeviceObject? 下的 DriverObject 成員

3. 文件系統(tǒng) File System 簡稱 FS

4. 控制設備 Control Device Object?簡稱 CDO
??? CDO主要任務是修改整個驅(qū)動的內(nèi)部配置，因此一個驅(qū)動只對應一個 CDO

5. Symbolic Link 符號鏈接
??? 可以通過 Symbolic links viewer 工具查看操作系統(tǒng)的所有符號鏈接
??? 可以看到 C:?? 對應 \Device\HarddiskVolume1
??? 這里可以看出，文件系統(tǒng)驅(qū)動是針對每個 Volume 來生成一個 DeviceObject ，則不是針對文件。實際上對某個 Volume? 的文件讀寫，都發(fā)到這個 Volume 設備對象上面去了.

6. 可以使用 IoCreateDevice() 函數(shù)來創(chuàng)建 控制設備對象（控制設備對象的作用？）

7. 指定 DriverObject 的處理函數(shù)
??? for(i = 0; i<= IRP_MJ_MAXIMUM_FUNCTION; i++)
??? {
??????? DriverObject->MajorFunction[i] = SfPassThrough;
??? }
??? 處理函數(shù)里面最簡單的處理就是什么都不做，傳給操作系統(tǒng)的其它驅(qū)動處理，使用下面的代碼
??? IoSkipCurrentIrpStackLocation(Irp);
??? return IoCallDriver( ((PSFILTER_DEVICE_EXTENSION)DeviceObject->DeviceExtension)->AttachedToDeviceObject, Irp);

8. 文件系統(tǒng)的驅(qū)動，除了要處理正常的IRP之外，還要處理 FastIo
??? (a. FastIo 是操作系統(tǒng)的 Cache Manager 調(diào)用所觸發(fā)的沒有 IRP 的請求
???? b. FastIo 是獨立于普通IRP分發(fā)函數(shù)之外的另一組接口，作用跟普通的IRP是一樣的
???? c. 如果是一個文件過濾驅(qū)動，那么普通的IRP分發(fā)函數(shù) 和 FastIo 都有可能被調(diào)用，所以最好是同時過濾這兩套接口
???? d. fastio 的分發(fā)函數(shù)直接返回 FALSE 不做任何事，這樣這些請求都會通過IRP重新發(fā)送，有一定的效率損失，但不是很大。? )
???
FastIo 的函數(shù)可以通過 Driver->FastIoDispatch 來指定

9. 驅(qū)動中的內(nèi)存分配
??? 并不是簡單的 new, 而是調(diào)用函數(shù) ExAllocatePoolWithTag() 函數(shù)來分配
??? 內(nèi)存清零則使用 RtlZeroMemory() 函數(shù)

10. 操作系統(tǒng) 保存了 目前所有的驅(qū)動設備對象，并且用類似于“鏈表”的方式，這個“鏈表”稱為設備棧

任何來自應用層(Ring3)的請求，都會被 Windows?系統(tǒng)的 IO管理器翻譯成 IRP，然后發(fā)給設備棧中最頂端的那個設備

原始 IRP????????????????????????? IRP????????????????????????????? IRP
-------------->???????????? ----------->????????????????? --------->
??????????????????? 最頂端的設備?????????? 排第二的設備??????????????? ....
<--------------???????????? <-----------????????????????? <---------
原始IRP返回????????????????? IRP返回???????????????????? IRP返回

箭頭表示IRP請求的發(fā)送過程
a.?只要我們在這個設備棧的頂端再綁定一個設備，那么發(fā)給這個設備的請求，自然就會先發(fā)給我們的設備來處理（可以通過 IoAttachDeviceToDeviceStack）

11. 某些 dispatch function 里開頭有 PAGED_CODE();?的作用是？
?????
12. 先用 IoCreateDevice() 創(chuàng)建一個 Device Object?, 然后調(diào)用 IoAttachDeviceToDeviceStack() 綁定到? \Device\HarddiskVolume1? 這個設備，那么所有發(fā)給 C:\ 的IRP，都必然先發(fā)送給我們的驅(qū)動，這樣一來就可以捕獲所有對文件的操作了。

13. 當一個新的存儲媒介被系統(tǒng)發(fā)現(xiàn)（如U盤）并生成一個Volume的過程稱為? Mounting, 此時，文件系統(tǒng)的CDO會得到一個IRP, 這個IRP是 IRP_MJ_FILE_SYSTEM_CONTROL, MinorFunctionCode == IRP_MN_MOUNT

14. IoRegisterFsRegistrationChange() 注冊一個回調(diào)函數(shù)，當操作系統(tǒng)中有任何文件系統(tǒng)被激活或者是被注銷時，注冊過的回調(diào)函數(shù)會被調(diào)用。
(注意，這里說的文件系統(tǒng)是指 NTFS, FAT32, CDFS 這些文件系統(tǒng)
win2k以前的系統(tǒng)，對已經(jīng)激活的文件系統(tǒng)不會調(diào)用回調(diào)，但2K以后的系統(tǒng)會對已經(jīng)存在的文件系統(tǒng)重新枚舉一次, 所以在2K下需要自己枚舉已經(jīng)加載的文件系統(tǒng))
(注冊這個回調(diào)有什么作用？直接綁定 RawDisk 和處理 IRP_MN_MOUNT
?不就得了？)

15. 當收到文件系統(tǒng)的 notify 時，綁定設備前，需要一個宏的判斷是否是文件系統(tǒng)類型的設備
#define IS_DESIRED_DEVICE_TYPE(_type) \
??? (((_type) == FILE_DEVICE_DISK_FILE_SYSTEM) || \
???? ((_type) == FILE_DEVICE_CD_ROM_FILE_SYSTEM) || \
???? ((_type) == FILE_DEVICE_NETWORK_FILE_SYSTEM))

(難道阿貓阿狗的設備增加時，都會觸發(fā) fs system notify?)

15. 初始化完后，需要設置一個標志位
????? DeviceObject->Flags &= ~DO_DEVICE_INITIALIZING;
????? 作用？原因？