<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/hustwing</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; hustwing]]></copyright><item><title><![CDATA[BSOD Dump Analysis FAQ（OR WinDbg Usage Memo）]]></title><link>https://blog.youkuaiyun.com/hustwing/article/details/6414787</link><guid>https://blog.youkuaiyun.com/hustwing/article/details/6414787</guid><author>hustwing</author><pubDate>Thu, 12 May 2011 14:59:00 +0800</pubDate><description><![CDATA[自从搞驱动开发以来，特别是参加工作以后，算算自己分析过的dump文件也不少了，平时的分析成果没有积累下来，以至于后来再分析时，不是这个命令记不住，就是那个方法忘记了。好记性不如烂笔头，从今天开始，把自己的分析心得，多半是WinDbg的一些用法，记录下来，供以后查阅。  1. 当一个蓝屏是由用户态的操作引发时，怎么从内存转储中查看用户态堆栈？  首先，要查看到用户态的堆栈，必须所生成的dump类型是“完全内存转储”，不然生成的dump文件中是没有用户态内存信息的。  其次，通过“!thread”命令或者其他方]]></description><category></category></item><item><title><![CDATA[关于内核数据和代码分页问题的小小研究]]></title><link>https://blog.youkuaiyun.com/hustwing/article/details/5694359</link><guid>https://blog.youkuaiyun.com/hustwing/article/details/5694359</guid><author>hustwing</author><pubDate>Thu, 24 Jun 2010 14:24:00 +0800</pubDate><description><![CDATA[关于内核的代码和数据分页问题，感觉自己一直是半知半解，前段时间请教了下同事和某个群里的网友，然后再顺手查了一些资料，总算对这个问题有了一些较为清晰的认识，记录如下：  关于分页和非分页内存，我们感受最深的应该还是，在高的IRQL级别上（>= DISPATCH_LEVEL）不能访问非分页内存，因为在这个级别上页错误无法被处理。  早期内存资源非常宝贵，我想这也可能是为什么Windows允许ntoskrnl的某些数据和代码驻留在分页内存中的原因。理论上，只要代码和数据不会在DISPATCH_LEVEL的级别上执]]></description><category></category></item><item><title><![CDATA[根据PE文件头判断是否合法的PE文件]]></title><link>https://blog.youkuaiyun.com/hustwing/article/details/5362707</link><guid>https://blog.youkuaiyun.com/hustwing/article/details/5362707</guid><author>hustwing</author><pubDate>Tue, 09 Mar 2010 14:17:00 +0800</pubDate><description><![CDATA[今天修改同事的PE文件扫描程序，结果发现扫描出来的有些文件只是一些PE文件的尸体，缺胳膊断腿的，不忍再拿来解剖了，到网上搜了一个根据PE文件头判断是否是合法PE文件的代码片段，该代码片段还有判断一个程序的子系统类型功能（Console还是GUI）。大致代码如下：  BOOL IsValidPEFile(LPTSTR tszFullFileName){    HANDLE hFile = I]]></description><category></category></item><item><title><![CDATA[在一般Windows内核驱动中获取网卡物理地址]]></title><link>https://blog.youkuaiyun.com/hustwing/article/details/5357769</link><guid>https://blog.youkuaiyun.com/hustwing/article/details/5357769</guid><author>hustwing</author><pubDate>Mon, 08 Mar 2010 12:46:00 +0800</pubDate><description><![CDATA[自己想在一般的Windows内核驱动中，获取网卡的物理地址，在网上查了一些资料，都说得不是很详细，有些还说的是错的，自己琢磨了一下，然后调试通过，具体见下文：  #define FILE_DEVICE_PHYSICAL_NETCARD 0x00000017#define _NDIS_CONTROL_CODE(request,method) /    CTL_CODE(FILE_DEVICE]]></description><category></category></item></channel></rss>