百科问答小站 logo
百科问答小站 font logo



影子系统的工作原理是什么? 第1页

  

user avatar   bei-ji-85 网友的相关建议: 
      

题主有兴趣的话可以研究一下trueCrypt,虽然这东西已经关闭下载了,但是源码什么的还能找到,尤其是Windows的部分,写的很经典。

对于Windows的应用来说,具体分成两种情况:

一种是用NTLDR引导的,包括2K、XP这类,WIN7也支持。

另一种是用新一代引用方式(这玩意该叫啥我不知道,反正boot的东西是一个分区,或者UEFI之类的更庞大的东西),Vista以后就有了。

对于NTLDR来说,它里面不包含磁盘驱动,NTLDR每次需要读磁盘时,都从保护模式切回实模式,调用INT 13H,再切回来,通过这样把NTOSKRNL.EXE以及附带的驱动都加载上。(所以,这也是为什么XP不支持AHCI,因为INT 13H不支持)

加载完以后,转移控制权给NTOSKRNL就可以了。

TrueCrypt的原理是:

在启动之前把钩子加到INT 13H中断里,NTLDR的任何行为都会被钩子拦截并处理。

同时,再注册一个驱动,跟随内核一起启动,这个是标准的磁盘设备过滤驱动。当系统起来的时候,已经不用INT 13H了,注册的这个驱动开始发挥作用,并继续完成拦截所有磁盘操作的动作。

所以影子系统分两部分,一部分是在实模式下的INT 13H,另一部分是保护模式下的过滤驱动。

不使用NTLDR方式引导的就有点麻烦,需要把钩子做到引导分区里,具体的技术不是太了解,微软公开的东西不多。

我了解的情况就是这样的。




  

相关话题

  屏幕驱动芯片是什么技术,谁能解释下? 
  不想随大流,怎么选择有个性的操作系统? 
  Win 10 不装 360 的话,该怎么清理日常软件垃圾呢? 
  有哪些新手程序员不知道的小技巧? 
  软件上线后出现了重大bug,要软件测试工程师负主要责任还是要开发人员负主要责任?那么项目经理呢? 
  socket编程到底是什么? 
  学编程什么的需要专业版Windows吗? 
  C#中字符串可以使用可变大小的内存,为什么数字不能? 
  不适合编程的人是怎样的? 
  23岁曾放弃编码,现想重新编码,我该如何做? 

前一个讨论
为什么《三体》刘慈欣没有给太阳系一个好的结局?
下一个讨论
USB3.1与Type-c接口是同一回事吗?





© 2025-05-25 - tinynew.org. All Rights Reserved.
© 2025-05-25 - tinynew.org. 保留所有权利