百科问答小站 logo
百科问答小站 font logo



影子系统的工作原理是什么? 第1页

  

user avatar   bei-ji-85 网友的相关建议: 
      

题主有兴趣的话可以研究一下trueCrypt,虽然这东西已经关闭下载了,但是源码什么的还能找到,尤其是Windows的部分,写的很经典。

对于Windows的应用来说,具体分成两种情况:

一种是用NTLDR引导的,包括2K、XP这类,WIN7也支持。

另一种是用新一代引用方式(这玩意该叫啥我不知道,反正boot的东西是一个分区,或者UEFI之类的更庞大的东西),Vista以后就有了。

对于NTLDR来说,它里面不包含磁盘驱动,NTLDR每次需要读磁盘时,都从保护模式切回实模式,调用INT 13H,再切回来,通过这样把NTOSKRNL.EXE以及附带的驱动都加载上。(所以,这也是为什么XP不支持AHCI,因为INT 13H不支持)

加载完以后,转移控制权给NTOSKRNL就可以了。

TrueCrypt的原理是:

在启动之前把钩子加到INT 13H中断里,NTLDR的任何行为都会被钩子拦截并处理。

同时,再注册一个驱动,跟随内核一起启动,这个是标准的磁盘设备过滤驱动。当系统起来的时候,已经不用INT 13H了,注册的这个驱动开始发挥作用,并继续完成拦截所有磁盘操作的动作。

所以影子系统分两部分,一部分是在实模式下的INT 13H,另一部分是保护模式下的过滤驱动。

不使用NTLDR方式引导的就有点麻烦,需要把钩子做到引导分区里,具体的技术不是太了解,微软公开的东西不多。

我了解的情况就是这样的。




  

相关话题

  如果要给编程语言加上一种可用于计量运算的基本数字类型,你觉得该怎么设计这种计量类型,以及修改语言本身? 
  回调函数 callback 的实现原理是什么? 
  公民身份号码有可能是素数吗? 
  大一学生对区块链感兴趣,应该打好哪些基础? 
  成功重构了代码是种怎样的体验? 
  永恒之蓝病毒是如何穿透NAT访问到子网终端的445端口的? 
  GitHub 上有哪些值得推荐的开源电子书? 
  计算机硕士不会编程怎么找工作? 
  一名大二的计算机专业的学生,目前学了很多编程语言,但都学得很浅。是不是应该专攻一门感兴趣的语言? 
  为什么很多计算机上的阿拉伯数字零(0)中间都有一个斜杠(/)? 

前一个讨论
为什么《三体》刘慈欣没有给太阳系一个好的结局?
下一个讨论
USB3.1与Type-c接口是同一回事吗?





© 2025-05-04 - tinynew.org. All Rights Reserved.
© 2025-05-04 - tinynew.org. 保留所有权利