19、Windows系统机制：WNF与调试模块解析

Windows系统机制：WNF与调试模块解析

1. WNF用户模式订阅特点

在用户模式订阅方面，由于 Ntdll.dll 负责管理整个进程的WNF通知，可能会出现多个组件（如动态库/DLL）针对同一WNF状态名请求各自回调的情况，不过这些请求的原因和上下文各不相同。此时， Ntdll.dll 库需要将注册上下文与每个模块关联起来，以便将每个进程的传递负载转换为适当的回调，并且只有在请求的传递模式与订阅者的通知类型匹配时才进行传递。

2. 使用WnfDump工具转储WNF状态名

我们可以通过以下步骤使用 WnfDump 工具进行操作：
- 在命令行中执行 wnfdump ，并使用以下标志： -i WNF_SHEL_DESKTOP_APPLICATION_STARTED -v 。

C:\>wnfdump.exe -i WNF_SHEL_DESKTOP_APPLICATION_STARTED -v 
WNF State Name                                    | S | L | P | AC | N | CurSize | MaxSize  
-------------------------------------------------------------------------------------------
WNF_SHEL_DESKTOP_APPLICATION_STARTE