摘要：
也许读者会注意到，端口寄存器的变量使用了volatile 修饰符，这是因为C语言在编译的时候会进行某种优化来提高效率，比如下面这段代码int i = 1;int a = i;int b = i;对于编译器来说，处理a=i 的时候，是先把i的内容放入寄存器中，然后把寄存器的内容付值给a, 当处理b = i的时候，编译器发现在这中间并没有其它代码，也就是认为i的内容不会发生变化，因此不需要再一次从i中读取内容，而是直接把刚才放入寄存器里的内容再付值给b, 这对一般的程序是没有任何问题的，而且提高了效率。但是存在一些编译器不知道的原因，让i 的值产生了变化，那么就在b=i的时候,b得到值并不是i真正 阅读全文
posted @ 2014-03-05 13:54
foo__hack
阅读(206)
评论(0)
推荐(0)
摘要：
操作系统：windows XP调试器通过CreateProcess传入带有DEBUG_PROCESS和DEBUG_ONLY_THIS_PROCESS的dwCreationFlags创建被调试进程。这种情况下，进程创建的早期（执行NtCreateProcess或NtCreateProcessEx之前），调用DbgUiConnectToDbg（）使调用线程和调试子系统建立连接。DbgUiConnectToDbg（）内部调用ZwCreateDebugObject创建一个DEBUG_OBJECT内核对象，并将其句柄保存在当前线程环境块（TEB)的的DbgSsReserved[1]中。调试进程与被调试进 阅读全文
posted @ 2014-03-05 13:51
foo__hack
阅读(1008)
评论(0)
推荐(0)
摘要：
就是缺页中断的处理。在虚拟内存二级映射表PTE中相应位置为0，说明对应虚拟内存需要文件（非swap文件）支持。windows在对应地址所属的管理虚拟内存的数据结构中取出相应文件句柄和偏移，并将该页面读入物理内存。同时修改二级映射表。文件相对应也有一个二级映射表与物理内存产生联系。对于没有指定文件句柄情况，windows只是简单的使用swap文件。 阅读全文
posted @ 2014-03-05 13:51
foo__hack
阅读(214)
评论(0)
推荐(0)
摘要：
注意返回时得使用iretd。通过sidt取得idtr，找到里面的基址和limit。遍历所有的表项，找到一个p位没有置位的，添加一个调用门。和使用call gate没什么大差别。看了下，我机器里的第一个空白项是0x20，就懒得写和ring3通信的东西了。ring3：#include int main(){__asm int 0x20return 1;}ring0：#include #pragma pack(1)typedef struct _IDTR{USHORT limit;ULONG base;}IDTR, *PIDTR;typedef struct _IDT_ENTRY{USH... 阅读全文
posted @ 2014-03-05 13:50
foo__hack
阅读(358)
评论(0)
推荐(0)
摘要：
要注意gdt的第一项是0，不能使用。然后看gdt中那一项的p位没有置位，再添加一个调用门描述符。描述符的offset指向需要被ring3程序调用的ring0函数地址。DPL为3。当然selector权限也需要是3。描述符中的selector应是0x8，说明是ring0下code段。驱动通过DeviceIoControl传递给ring3程序调用门的selector，当然也可以通过文件注册表之类的。不过这里我有点不解，使用了调用门之后，system("pause");就不起作用了。。有知道的请说一声。由于调用门是段间转移，所以用ret返回是错误的，会蓝屏。得用retf。至于怎么 阅读全文
posted @ 2014-03-05 13:48
foo__hack
阅读(575)
评论(0)
推荐(0)
摘要：
先用随便哪个PE文件信息查看工具查看驱动加载的基址，一般来说是0x10000，当然你也可以用IDA看。然后用IDA打开驱动，看DriverEntry的偏移，然后用这个偏移减去基址，得到a。用windbg的时候，下断点bu xxxx（模块名）+a。比方说，TesSafe.sys中基址为0x01001000，DriverEntry偏移为0x01001005，偏移就是5，可以下断点 bu TesSafe+5。就可以动态调试了。 阅读全文
posted @ 2014-03-05 13:47
foo__hack
阅读(371)
评论(0)
推荐(0)
摘要：
通常我们所知IoCallDriver是把irp传递给下一层设备，传递到底是什么意思呢？IoCallDriver中实际调用了IopfCallDriver，其代码如下：NTSTATUSFORCEINLINEIopfCallDriver(IN PDEVICE_OBJECT DeviceObject,IN OUT PIRP Irp)/*++Routine Description:This routine is invoked to pass an I/O Request Packet (IRP) to anotherdriver at its dispatch routine.Arguments:De 阅读全文
posted @ 2014-03-05 13:45
foo__hack
阅读(883)
评论(0)
推荐(0)
摘要：
欢玩玩二进制技巧挺好的，也确实有助于对实现干的那些事的理解。但须注意，莫走入歧途与其只关注某几种特定的二进制布局，等在认识达到一定程度后，回归到标准学习、ABI等规范的学习上去，这才能从更高层面认识一些问题（研究100种情况下的编译器实现，也不代表第101种情况一定被涵盖在这其中）有些东西，只是“规定”，了解到就行了，没有什么神奇的原理性内容（换言之，规定成其他方式一样可行），兴趣盎然本身就体现出对这一问题认识不足别拘泥于VC的x86实现（即便是x86架构，intel64/amd64上的实现也将有显著不同，更别说其他架构（ARM）了），应适度探究。 阅读全文
posted @ 2014-03-05 13:42
foo__hack
阅读(392)
评论(0)
推荐(0)
摘要：
IoAttachDeviceToDeviceStack将Source Device附加到Target Device上。打开windbgkd> u IoAttachDeviceToDeviceStack l 10nt!IoAttachDeviceToDeviceStack:804f1aac 8bff mov edi,edi804f1aae 55 push ebp804f1aaf 8bec mov ebp,esp804f1ab1 6a00 push 0804f1ab3 ff750... 阅读全文
posted @ 2014-03-05 13:41
foo__hack
阅读(919)
评论(0)
推荐(0)
摘要：
前言经常有人说iostream的速度慢，IO流比stdio的慢多了。但是有人测试过的，iostream的速度是超过stdio的。测试结果/* C */#include int main(){FILE* stream;size_t num;size_t sum = 0;size_t i = 0;stream = fopen("random.data", "r");while(fscanf(stream, "%u", &num) != EOF){sum += num;}fclose(stream);printf("%u\ 阅读全文
posted @ 2014-03-05 13:38
foo__hack
阅读(894)
评论(0)
推荐(0)
摘要：
windows驱动开发中，感觉很多小问题都会导致一些比较麻烦的错误，很多不良习惯都可能会导致系统崩溃。原因是对内核原理的理解太欠缺了，因为驱动运行在RING0优先级，开发的时候必须相当注意细节，不然调试的时候会很麻烦（有些时候Dump文件分析出来是错误的）。原来我一直奇怪写驱动程序问什么要把有些例程放到非分页内存中，今天算是豁然开朗。只怪原来看内核原理的时候没太仔细。具体原因是这样的：因为windows的缺页中断处理程序是运行在DISPATCH_LEVEL的级别的。而我的驱动某些例程一般是等于DISPATCH_LEVEL这个中断级别。也就是说。。如果我把我的代码放到分页内存中。。那操作系统很可 阅读全文
posted @ 2014-03-05 13:37
foo__hack
阅读(2488)
评论(0)
推荐(0)
摘要：
是任意形式的递归，是化解的一般式。主题所谓的“递归调用化解为栈处理”，意思是，将递归函数调用化解为“一个由stack_push stack_pop stack_top等函数调用组成的循环式子”。这里的 stack_push, stack_pop, stack_top是指，程序员自己实现的一个ADT(Abstract Data Type)中的函数操作接口，这个ADT叫做栈。要知道，在C语言中，函数调用链本身就是栈处理的，处理C语言中函数调用链的是进程栈/线程栈，进程栈/线程栈是一个C语言程序运行环境的必备部件。将递归调用化解为栈处理的意义在于，大多数计算机系统，对进程栈/线程栈的大小都是有限制的 阅读全文
posted @ 2014-03-05 13:35
foo__hack
阅读(1560)
评论(0)
推荐(0)
摘要：
[ISO C11 Clause 3]对象(object)：执行环境中数据存储的一块区域，它的内容可以用来表示值。-注释：对象可以具有特定的类型。--值(value)：确定类型的对象的内容的确切含义。--访问(access)：读取或修改一个对象的值。-注释1：如果只适用其中一种含义，则直接用“读取”或“修改”。-注释2：“修改”包含新值和先前存储的旧的值相同的情况。-注释3：未被求值的表达式不访问对象。--行为(behavior)：外部的表现或动作。--未定义行为(undefined behavior)：通过使用不可移植、错误的程序构造或错误的数据导致的ISO C没有任何要求的行为。--未确定行 阅读全文
posted @ 2014-03-05 13:35
foo__hack
阅读(280)
评论(0)
推荐(0)
摘要：
作者：@幻の上帝1 前置条件语文其实挺重要，这个没问题，但容易被忽视。当然，如果不是经常要折腾文档，要求不高；但起码要能说清楚话。数学重要，主要是广度，作为快速学习相关领域知识的基础。深度上面可深可浅，若只是学习语言，初中水平的基础足够。（不过要用标准库的complex什么的当然不止了。）而大部分人... 阅读全文
posted @ 2014-03-05 13:33
foo__hack
阅读(648)
评论(0)
推荐(0)
摘要：
对于初学者而言，一般意义上，程序错误可以分为两类，逻辑错误和非逻辑错误。前者是指，程序可以通过编译或链接但运行时不符合预期结果，后者是程序不能通过编译或链接。乍一看这样的分类非常清楚。不过，当引入语言标准对程序行为的规范时，事情变得复杂了。例如， ISO C/C++ 中，引起 undefined behavior （未定义行为）的如果是错误，属于以上分类中的哪一种错误——即，引起 undefined behavior 的程序是否需要保证编译或链接的成功？事实上，这一点在 ISO C 和 ISO C++ 中有微妙不同。首先，摘录和undefined behavior相关的关键术语定义如下：ISO 阅读全文
posted @ 2014-03-05 13:31
foo__hack
阅读(537)
评论(0)
推荐(0)
摘要：
栈比堆快的原因有一个很重要的原因就是栈页不会被从内存中换出，就这么简单。 阅读全文
posted @ 2014-03-05 13:29
foo__hack
阅读(673)
评论(2)
推荐(0)
摘要：
首先明确几个概念：字符串：形式语言理论研究的基本对象之一，是字符的有限序列。以下引用中文喂鸡“字符串”：设∑是叫做字母表的非空有限集合。∑的元素叫做“符号”或“字符”。在∑上的字符串（或字）是来自∑的任何有限序列。例如，如果∑ = {0, 1}，则0101是在∑之上的字符串。字符串的长度是在字符串中字符的数目（序列的长度），它可以是任何非负整数。“空串”是在∑上的唯一的长度为0的字符串，并被指示为ε或λ。注意，这里的长度的概念是足够清晰的。以下引用中文喂鸡“字符串->字符串数据类型”：字符串长度尽管形式字符串可以有任意（但有限）的长度，实际语言的字符串的长度经常被限制到一个人工极大值。一 阅读全文
posted @ 2014-03-05 13:26
foo__hack
阅读(2052)
评论(0)
推荐(0)
摘要：
摘要 本文综述面向对象，尤其是面向对象编程的基本概念和一些其它编程范型的比较，并指出了现有初学者的一些常见误区。I.面向对象(Object-Oriented, OO)综述 公认的面向对象是一种“思想”，更精确地说是一种方法学(methodology)。面 向对象编程(OOP)、面向对象分析(OOA)、面向对象设计(OOD)等范畴是对此的衍生。容易理解，OOP指使用OO的方法进行编程；OOA和OOD 分别指使用OO的方法进行系统分析与设计（可以合称OOAD），是OO方法学在软件工程上的应用。对于使用OO方法学的软件开发，OOP是基础也是具有更 强的普遍性（即便使用OO方法，也并非所有的软件都.. 阅读全文
posted @ 2014-03-05 13:25
foo__hack
阅读(477)
评论(0)
推荐(0)
摘要：
原文：blog.llvm.org/2011/05/what-every-c-programmer-should-know.html人们偶尔会问为什么LLVM的汇编代码有时会在优化器打开时产生SIGTRAP信号。经过深入研究，他们发现Clang生成了“ud2”指令（假设x86代码）——和__built... 阅读全文
posted @ 2014-03-05 13:23
foo__hack
阅读(893)
评论(0)
推荐(0)
摘要：
前言：__cdecl:C/C++函数默认调用约定，参数依次从右向左传递，并压入堆栈，最后由调用函数清空堆栈，这种方式适用于传递参数个数可变的被调用函数，只有被调用函数才知道它传递了多少个参数给被调用函数，比如printf();__stdcall：参数由右向左传递，并压入堆栈，由被调用函数清空堆栈，当函数有可变参数个数时，函数调用约定自动转换成__cdecl调用约定;__thiscall：C++非静态成员函数默认调用约定，不能使用个数可变参数，调用非静态成员函数时，this指针直接保存在ecx寄存器中，不入栈，其他方面同__stdcall；__fastcall：凡是接口函数都必须指明其调用规范， 阅读全文
posted @ 2014-03-05 13:20
foo__hack
阅读(889)
评论(0)
推荐(0)
摘要：
极爽啊http://msdn.moonsols.com/ 阅读全文
posted @ 2014-03-05 13:19
foo__hack
阅读(480)
评论(0)
推荐(0)
摘要：
引言：xchg做了什么？首先，xchg eax, ecx并不会比mov edx, eax + mov eax, ecx + mov ecx, edx这三条指令加一起快，原因是xchg有副作用。Microsoft Platform SDK：MemoryBarrierThe MemoryBarrier macro ensures that all memory load or store operations before it are completed before any load or store operations following it.void MemoryBarrier(voi 阅读全文
posted @ 2014-03-05 13:15
foo__hack
阅读(349)
评论(0)
推荐(0)
摘要：
ASM基本必要，至于高级语言就很难说了。去osdev wiki上一翻一堆各种语言实现的玩意。一个模拟OS其实不太容易完整搭出来，反倒是直接构造内核的后顾之忧少（如果还有真的想在SIGALRM里耍什么异常控制流的还是算了吧，挺悲催的）。不过如果是子系统模拟还是可以的：1. 进程的模拟一般强调调度算法多于基本抽象，所以可以考虑用原生的线程搭配k个互斥量模拟忽略超线程的SMP调度。实时调度的发生频率用一个timer就可以解决。2. 地址空间和MM是比较不容易模拟的东西，但国内老湿们往往喜欢啃buddy heap或者一般向header/footer-based heap而不是基础MM本身所以其实反倒好 阅读全文
posted @ 2014-03-05 13:14
foo__hack
阅读(235)
评论(0)
推荐(0)
摘要：
首先解释一个原理：就无损压缩来说，如果一个算法能压缩一个文件，就必然存在另一个文件是压缩之后比原文件还要大的，这个原理还想不通的话可以参考抽屉原理。于是，设计一个压缩算法，首先就要考虑什么文件是能压缩的，什么文件是不能压缩的。对通用压缩算法来说，我们通常只会做一个基本的假设：在文件中如果出现了一个串Sx，那么其它地方出现Sx的概率相对会比别的串概率要高。就目前来说，ZIP/RAR这一类算法都是基于这个原理，所以它们也无一例外不能压缩完全随机生成的文件。于是给出两个命题：1.如果你设计的一个压缩算法不是出于对重复串的建模，那么它基本不可能成为通用的压缩算法。2.如果你设计的算法〔能压缩任何文件〕 阅读全文
posted @ 2014-03-05 13:11
foo__hack
阅读(237)
评论(0)
推荐(0)
摘要：
如果是多核也是一样的，在关键资源竞争上还是要用单线程，多线程继续执行可重入代码，单线程队列来处理关键资源竞争，处理完一个完成回调按我看来需要上锁不是简单交换，赋值的操作就是关键资源，特别会影响性能，还是排队单线程执行比较好，上锁了相当于是把其他需要竞争的线程时间给剥夺了，不划算其实同步的粒度小的话开销也不小，光是同步的内核句柄就占了一大把为了同步一次切入内核执行系统调用开销也是很大 阅读全文
posted @ 2014-03-05 13:10
foo__hack
阅读(346)
评论(0)
推荐(0)
摘要：
#include#pragma comment(linker,"/entry:Test")#include char * str="012345aAbBcCdDeEfFgGhHiIjJkKlLmMnNoOpPqQrRsStTuUvVwWxXyYzZ567890";char * szPath = "z:\\Test.txt";char * szFormat = "总共用时:%d\r\n";__declspec(naked) void Test(){__asm{push ebpmov ebp,espsub esp,0x 阅读全文
posted @ 2014-03-05 13:08
foo__hack
阅读(350)
评论(0)
推荐(0)
摘要：
首先，搞清楚需求。第二，底层和低级是两回事。前者是指受到的依赖程度大，后者是指抽象程度低。但不论是哪个角度，封装本身并不会阻碍你使用任意层次的接口。可能的问题在于接口设计者没有充分考虑需求，不恰当地认为封装的结果足以能替代被封装的东西。搞清楚必要的接口，依赖接口而非实现。对于大多数用户，“不知道它底层是GDI”是一种必要的自由，而非义务；知道“底层”对于一知半解的用户来说是累赘，经常导致代码的质量更烂；并且因为缺乏控制依赖的手段，可对实际的工作（例如移植）造成本不必要的阻碍。第三，“封装之后却变成三四个类，多了大堆方法和属性”多出来的复杂度显然不是必要的。这样的示例只能说明封装质量烂，不表示这 阅读全文
posted @ 2014-03-05 13:05
foo__hack
阅读(356)
评论(0)
推荐(0)
摘要：
原因：WDK在编译驱动时，是不允许源文件所在的路径（全路径）中包含空格的，如果你包含了空格，就会出现上述错误。 解决方法：把源文件放在一个没有空格的路径下。reference:http://blog.csdn.net/crazyingbird/article/details/7305776 阅读全文
posted @ 2014-03-05 11:45
foo__hack
阅读(284)
评论(0)
推荐(0)
浙公网安备 33010602011771号