史D芬周

本层权限更低层2层任何库函数的机器代码DLL动态链接库函数的引用地址函数调用装入内存导入库Ntdll.dllSSDTWin32k.sys首先CreateFile API是被封装在中的API，然后会被进一步封装成Ntdll.dllAPI（Native的缩写，原生的意思。CreateFile在Ntdll.dll中对应的或者是（NtCreateFile和ZwCreateFile是一对而且完全一样的），主要这里的Zw*和Nt*是在Ntdll.dll里面的和的Zw*和Nt*不一样）然后会通过。

路径：D:\software\VisualStudio2017\path\Common7\IDE\VC\Snippets\2052\Visual C++vs2017 code片段快捷键配置。驱动代码：DriverEntry。后缀名字：.snippet。

记录一下VS2010 + WDK 的配置过程。环境准备vs2010 安装包自行下载。WDK下载。环境配置新建Win32项目添加测试代码#include <ntddk.h>// 提供一个Unload函数只是为了VOID DriverUnload(PDRIVER_OBJECT driver){ // 但是实际上我们什么都不做，只打印一句话: DbgPrint("Driver unload\r\n");}// DriverEntry，..