万物生于一；面对纷繁，要看透它一的底色
欢迎转载 【作者：张佩】【原文：http://www.yiiyee.cn/Blog/pnp/】
这一节讲述一般设备的PNP和电源特性。
PNP是Plug And Play的简称，代表和外部设备插拔有关事件的处理。PNP是现代操作系统必须支持的基本特性，其目的是希望操作系统能够在软硬件支援下，在基本无需用户干预的情况下，即可很好地处理外部设备的接入和移除操作；当设备配置发生动态变更时，系统也能悄没生息地处理好，并一切正常地使用它们。
有些笔记本是当成工作站来用的，这样就需要很多外部接口。但一般的笔记本，局限于物理空间，不能够提供过多的外部接口，会使用接口坞来扩展（见左图例）。大的接口坞上通常有十几、数十个扩展接口，来满足工作站的接口要求。其实，一些移动设备，如手机、平板电脑，也使用接口坞的方式实现扩展，不过接口少一些。接口坞接入主机的时候，系统如果有PNP支援，就能够直接使用上面的接口了，不用重启系统，一般也不用手动安装设备驱动。 继续阅读“Windows的PNP和电源特性概述”
6,584 total views, 3 views today
欢迎转载 【作者：张佩】【原文：http://www.yiiyee.cn/Blog/dll-1/】
周末写了一个简单的程序（后文以Test.exe代指），通过Iphlpapi.dll提供的API函数GetAdaptersInfo，读取系统中的网卡信息，通过网卡名找到我想要的虚拟网卡后，将网卡信息结构体（IP_ADAPTER_INFO）保存到一个全局变量中。
逻辑很简单，写完之后测试也没有发现问题。后来开启Application Verifier并运用到Test.exe，竟然每次运行都发生崩溃。仔细看去，问题出在保存结构体到全局变量的语句上。看到这个错误后，本想凭借猜测把问题解决掉，试了三五分钟后，竟不能够。最后还只能上调试器，错误原来是不同模块对同一个变量类型（time_t）有不同的定义（默认定义的长度为8字节；而Iphlpapi模块出于和Win2K系统兼容的缘故，使用的长度为4字节）。
本文就讲一讲这个奇怪的Bug。 继续阅读“虫趣：不同模块对指定变量类型的定义不同”
5,333 total views, 1 views today
欢迎转载【作者：张佩】【原文：http://www.yiiyee.cn/Blog/wddm2/】
第二部分专门只讲VIDPN。这是后面内容的基础。WDDM框架用VIDPN这个概念，来描述它所要处理的显示关系。
VIDPN的全称是Video Present Network，这个因为词组不太好翻译（直译可以是：视频提交网络，但颇为难听），所以一般都直接讲它的英文。
VIDPN是WDDM引入的概念，用来描述通过显卡设备（Adapter）建立的若干个显示源（Source）和若干个目标接口（Target）之间的关系。系统按照VIDPN所定义的方式，将一个或多个显示源（Source）通过显卡设备，输出到这些目标接口（Target）上。
继续阅读“Windows显示驱动（WDDM）编程初步（2）”
23,692 total views, 21 views today
欢迎转载：【作者：张佩】【原文：http://www.yiiyee.cn/Blog/0x109-1/】
下班的时候准备关掉调试机，却遇到蓝屏。本想直接拔电源，但蓝屏总是让我好奇，于是决定多待十分钟，看看这个蓝屏是怎么回事。主机的windbg调试器已经用DML标记出了自动分析命令!analyze –v。于是点进去： 继续阅读“虫趣：别动系统的奶酪——内核保护错误(CRITICAL_STRUCTURE_CORRUPTION)”
36,952 total views, 9 views today
欢迎转载：【作者：张佩】【原文：http://www.yiiyee.cn/Blog/vs-1/】
今天运行一款很流行的第三方驱动更新软件（名称省略）时，提示我的显卡驱动需要更新。打开设备管理器一看，发现当前使用的这一版显卡驱动还是2012年的。果然是够老的。果断选择下载并安装。安装结束后，我没有选择立刻重启系统，因为还有一大堆工作需要继续。
一切都很正常地进行着，直到我启动了Visual Studio 2012。Splash画面持续了5秒钟之后，弹出程序崩溃对话框，并开始收集错误，然后弹出新的对话框，问我是否向微软提交本次崩溃信息。选择拒绝后，程序直接关闭。试过几次，都是如此。 继续阅读“虫趣:拯救Visual Studio 2012(错误: 0xC01E0009)”
4,402 total views, 16 views today
欢迎转载【作者：张佩】【原文：http://www.yiiyee.cn/Blog/wddm1/】
Windows显示驱动从Vista开始，使用新的WDDM编程框架，称为Windows Display Driver Model。也有一种最初的名称是LDDM，L代表Longhorn，但后来微软在所有产品线上都不再使用Longhorn代号，故而改成现在的名称。虽然在有些地方还能看到LDDM的说法，但应理解成旧文档的遗存，不应该做概念上的区分。
WDDM框架是一种典型的小端口（miniport）驱动框架。NT系统中的所有小端口框架，都是基于WDM框架来实现的，但小端口框架对外提供了更高级的接口，以简化编程的难度，并提高稳定性。如下图所示，中间的WDDM是系统提供的编程框架，我们基于这个框架，编写里面的小端口驱动，也就是显示驱动。 继续阅读“Windows显示驱动（WDDM）编程初步（1）”
29,917 total views, 31 views today
欢迎转载：【作者：张佩】【原文：http://www.yiiyee.cn/Blog/windbg-theme/】
[download id=”4″]
Windbg把和调试相关的所有配置称为workspace，这些配置信息包括：调试窗口类型和位置，打开的文件和窗口位置，符号、源码和可执行文件的路径，以及断点设置等。Windbg中包含多种不同类型的workspace：
所有这些workspace的信息都被保存在注册表中，注册表的路径是： 继续阅读“初学Windbg，从主题布局开始”
8,541 total views, 6 views today
【作者：张佩】【原文： http://www.yiiyee.cn/Blog/0x7f-1/】
内核之所以脆弱，是因为它没有办法很好地隔离自己。它是一个大整体，属于一荣俱荣、一损俱损的大整体。它需要一切都按部就班地执行有序。否则，一个角落里的蝴蝶扇动翅膀，就能招来太平洋上的绝大风暴。现在看到的是一个内核中的除0错误。用户程序中的除零导致进程崩溃，内核中则系统崩溃。 继续阅读“虫趣：除0错误”
3,880 total views, 1 views today
【作者：张佩】 【原文：http://www.yiiyee.cn/Blog/0x19-1/】
内核在管理内存的时候，为了提高内存使用效率，对于小片内存的申请（小于一个PAGE大小），都是通过内存池来操作的。系统里面有两种不同的内存池：分页内存池和非分页内存池。这二者的区别是很明显的：分页内存池所使用的内存页面，随时有可能被分页出去；而非分页内存池所使用的虚拟页面，总是留驻在物理内存中。
对于运行在高中断级别（>=DISPATCH_LEVEL 2）上的代码，它使用的内存只应该是从非分页内存池中申请的。因为系统无法在这些中断级上处理页错误。
除了上面的区别外，系统对两个内存池的管理是极类似的。那么，系统是怎么管理这些内存池的呢？当请求者申请内存的时候，池管理器首先会检查自己当前的储备内存，以确认能否满足申请者的要求，如果可以，则从储备内存中进行分配；否则就重新申请一个新的内存页，并从新内存页中划出一块给申请者，剩下的留作储备内存继续使用。 继续阅读“虫趣：BAD POOL CALLER (par1: 0x20)”
5,490 total views, 13 views today
【作者：张佩】【原文： http://www.yiiyee.cn/Blog/bsod-0x3b-1/】
这是一个BSOD 0x3B的dump文件，BSOD 0x3B所代表错误的描述是：SYSTEM_SERVICE_EXCEPTION，表示在一个系统线程里面发生了不可解决的系统异常，导致的系统错误。
系统线程是一个笼统的概念，凡是通过内核函数IoCreateSystemThread创建的线程，都是系统线程。内核是一个混沌的整体，内核里面不存在进程的概念。但是它却需要分配一些独立执行的任务，线程是执行这些独立任务的最佳载体。但是线程必须依附在进程中。为了解决这种矛盾，系统专门创建了一个SYSTEM进程，这个进程没有用户模式的代码，专门作为内核线程的载体存在。系统为SYTEM进程分配固定的进程号4。在Windbg内核调试会话中运行命令!process 4将列印SYSTEM进程信息：
0: kd> !process 4 0 Searching for Process with Cid == 4 Cid handle table at fffff8a000004e80 with 754 entries in use PROCESS fffffa8003699040 SessionId: none Cid: 0004 Peb: 00000000 ParentCid: 0000 DirBase: 00187000 ObjectTable: fffff8a0000019b0 HandleCount: 1559. Image: System
继续阅读“虫趣：空指针引用（SYSTEM_SERVICE_EXCEPTION）”
6,858 total views, 3 views today
【作者：张佩】【原文： http://www.yiiyee.cn/Blog/bsod-0xa-1/】
得到一个BSOD 0xA的dump文件，BSOD 0xA代表的是 IRQL_NOT_LESS_OR_EQUAL错误，也就是说试图在错误的中断级上进行特定操作。在这个例子中，错误的原因是试图在中断级2上解决页错误，引发了系统蓝屏。
用windbg打开dump文件后，先用kv和r命令获取当前状态:
0: kd> kv;r
ChildEBP RetAddr Args to Child
81256650 815cd41b 0000000a c9495000 00000002 nt!KiBugCheck2
81256650 81558315 0000000a c9495000 00000002 nt!KiTrap0E+0x1b3 (FPO: [0,0] TrapFrame @ 81256670)
812566e4 ad6a47e4 c9494efc 00000000 00000120 nt!memset+0x45 (FPO: [3,0,0])
81256734 ad6a3a5b c35d6f7c 00000010 d5140dfc XXX!initializeIsoUrb+0x74 (FPO: [Non-Fpo]) (CONV: thiscall)
81256770 ad6a3c73 c35d6f7c c346a890 00000001 XXX!completeRequest+0x1cb (FPO: [Non-Fpo]) (CONV: thiscall)
81256794 8190852a 00000000 d51bade0 c35d6f7c XXX!completeFunc+0xe3 (FPO: [Non-Fpo]) (CONV: stdcall)
812567c8 814d5885 00000000 d51bade0 81256890 nt!IovpLocalCompletionRoutine+0x12f (FPO: [3,5,4])
81256864 819090f0 8163a015 8b136708 88441a38 nt!IopfCompleteRequest+0x42e (FPO: [Non-Fpo])
812568c8 8fae1ef7 8fe50028 88441a38 8fe50b88 nt!IovCompleteRequest+0x123 (FPO: [Non-Fpo])
8125697c 8fae268a d51bade0 8fe50b88 00026202 USBPORT!USBPORT_Core_iCompleteDoneTransfer+0x99a (FPO: [3,39,4])
812569a4 8fae8df6 246b5702 8fe50028 8fe50b88 USBPORT!USBPORT_Core_iIrpCsqCompleteDoneTransfer+0x1ff (FPO: [1,4,0])
812569e0 8fae9140 8fe50028 8fe50b88 246b5702 USBPORT!USBPORT_Core_UsbIocDpc_Worker+0x1b7 (FPO: [Non-Fpo])
81256a28 814e0bc3 8fe50b94 8fe50b88 00000000 USBPORT!USBPORT_Xdpc_Worker_IocDpc+0x1c9 (FPO: [Non-Fpo])
81256ae0 814e07fe 816860c0 81256b28 bedc4d40 nt!KiExecuteAllDpcs+0x1f2 (FPO: [Non-Fpo])
81256c00 815cea74 00000000 0000000e 00000000 nt!KiRetireDpcList+0xed (FPO: [0,65,4])
81256c04 00000000 0000000e 00000000 00000000 nt!KiIdleLoop+0x38 (FPO: [0,0,0])
eax=00000002 ebx=00000001 ecx=00000001 edx=00000000 esi=81558315 edi=c9495000
eip=81553c24 esp=81256654 ebp=81256670 iopl=0 nv up ei pl nz na po nc
cs=0008 ss=0010 ds=0023 es=0023 fs=0030 gs=0000 efl=00000202
nt!KiBugCheck2:
81553c24 55 push ebp
继续阅读“虫趣：内存误操作引发中断级错误（IRQL_NOT_LESS_OR_EQUAL）”
6,015 total views, 5 views today
【作者：张佩】【原文URL： http://www.yiiyee.cn/Blog/win80x7e/】
[download id=”3″]
有肉的地方总能发现蚊蝇。有软件的地方，就有臭虫相随（注1）。操作系统就是个大软件，所以臭虫是少不了的。最近碰到一个Windows 8的系统臭虫，报给微软并得到了确认，他们确保会在Windows Blue上解决此问题。到底是什么问题呢？今日有空，和大家一起来聊聊。
继续阅读“虫趣：Win8系统Bug分析一例”
7,502 total views, 1 views today
【作者：张佩】【原始URL：http://www.yiiyee.cn/Blog/KernelBuildEnviroment/】
[download id=”2″]
这一章驱动小z继续带大家遨游驱动王国。在这块地面上，小z是个地头蛇，跑动跑西惯了。贵读者有什么地方想特别了解的，都可以告诉我，很乐意陪您做半日游。
所谓登高必有卑，在把大家引入到高山圣境之前，先要在山脚下徜徉几时，为的是把一些预备的事情交代清楚。这一节讲的是驱动程序编译环境。Windows内核驱动的历史有多久，它的开发环境就要有多久，所以是很有历史的话题。话分两头讲，它起先是很不好，后来则非常好。很不好的时代是旧社会，现在则已是非常好的新时代。
继续阅读“小z说：内核驱动的编译环境”
7,691 total views, 5 views today
【作者：张佩】【原始URL：http://www.yiiyee.cn/Blog/64signer/】
注，此工具业已过时，无存在之必要。许多人想寻求稳妥的64位系统之签名绕过方法，此处做统一回复，没有可能。唯文中所涉及之技术点，犹可供参考。删除下载链接，而留此文。
微软对于自Vista开始的64位OS有新的数字签名策略，即所有内核驱动都必须是经过可信机构签发过数字证书的，否则系统拒绝加载，其目的是为了加强系统安全防护，使得一干惯于偷偷摸摸、不知所自何来的内核模块无法在系统中容身。但它却也给正经的内核开发人员带去了一个麻烦：开发过程中会不断生成新的驱动镜像文件，开发者不可能将每一个内部版本都拿去申请数字签名，那样不仅太麻烦，而且会大大延长开发周期。
微软当然也考虑到了这一点，它提供了一个可以禁止签名检验的开机启动项。要运用此启动项，用户必须在启动电脑的时候，及时在键盘上按下F8键，在出来的启动菜单中选择倒数第二个启动项：Disable Driver Signature Enforcement.
这看上去很省心，但你如果再了解得深入一点，就会发现它其实很麻烦。
继续阅读“64位驱动签名工具64Signer”
59,977 total views, 16 views today