百科问答小站 logo
百科问答小站 font logo



影子系统的工作原理是什么? 第1页

  

user avatar   bei-ji-85 网友的相关建议: 
      

题主有兴趣的话可以研究一下trueCrypt,虽然这东西已经关闭下载了,但是源码什么的还能找到,尤其是Windows的部分,写的很经典。

对于Windows的应用来说,具体分成两种情况:

一种是用NTLDR引导的,包括2K、XP这类,WIN7也支持。

另一种是用新一代引用方式(这玩意该叫啥我不知道,反正boot的东西是一个分区,或者UEFI之类的更庞大的东西),Vista以后就有了。

对于NTLDR来说,它里面不包含磁盘驱动,NTLDR每次需要读磁盘时,都从保护模式切回实模式,调用INT 13H,再切回来,通过这样把NTOSKRNL.EXE以及附带的驱动都加载上。(所以,这也是为什么XP不支持AHCI,因为INT 13H不支持)

加载完以后,转移控制权给NTOSKRNL就可以了。

TrueCrypt的原理是:

在启动之前把钩子加到INT 13H中断里,NTLDR的任何行为都会被钩子拦截并处理。

同时,再注册一个驱动,跟随内核一起启动,这个是标准的磁盘设备过滤驱动。当系统起来的时候,已经不用INT 13H了,注册的这个驱动开始发挥作用,并继续完成拦截所有磁盘操作的动作。

所以影子系统分两部分,一部分是在实模式下的INT 13H,另一部分是保护模式下的过滤驱动。

不使用NTLDR方式引导的就有点麻烦,需要把钩子做到引导分区里,具体的技术不是太了解,微软公开的东西不多。

我了解的情况就是这样的。




  

相关话题

  函数式编程(Functional Programming)相比面向对象编程(Object-oriented Programming)有哪些优缺点? 
  我该怎么选择电脑? 
  大公司笔试面试有哪些经典算法题目? 
  编程语言会影响程序员的性格吗? 
  在大学如何避免自我感动?如何学会更多的知识和技能? 
  孩子喜欢理论物理,可妻子希望他做程序员怎么办? 
  我怎样成为@vczh一样的大神? 
  Win 11 什么时候可以普遍使用? 
  有哪些让人相见恨晚的 MATLAB 命令? 
  你在 GitHub 上看到过哪些有意思的 Issue? 

前一个讨论
为什么《三体》刘慈欣没有给太阳系一个好的结局?
下一个讨论
USB3.1与Type-c接口是同一回事吗?





© 2025-05-04 - tinynew.org. All Rights Reserved.
© 2025-05-04 - tinynew.org. 保留所有权利