windows 内核函数前缀解析

《Windows内核情景分析--采用开源代码ReactOS(上、下册)》本书通过分析ReactOS的源代码介绍了Windows内核各个方面的结构、功能、算法与具体实现。本小节为大家介绍Windows内核函数的命名。

1.5  Windows内核函数的命名

Windows的内核函数在命名上有个很好的特色，就是函数名都按其所在的层次或模块加上了特定的前缀。了解了这些前缀，看到一个函数名就可以大致知道这个函数所属的层次和模块，主要的前缀有：

Ex：管理层，Ex是Executive的开头两个字母。

Ke：核心层，Ke是Kernel的开头两个字母。

Hal：硬件抽象层，Hal是Hardware Abstraction Layer的缩写。

Ob：对象管理，Ob是Object的开头两个字母。

Mm：内存管理，Mm是Memory Manager的缩写。

Ps：进程（线程）管理，Ps表示Process。

Se：安全管理，Se是Security的开头两个字母。

Io：I/O管理。

Fs：文件系统，Fs是File System的缩写。

Cc：文件缓存管理，Cc表示Cache。

Cm：系统配置管理，Cm是Configuration Manager的缩写。

Pp："即插即用"管理，Pp表示PnP。

Rtl：运行时程序库，Rtl是Runtime Library的缩写。

不过并非所有的函数名都带有这样的前缀，对前缀的使用也并非十分严格。例如，核心层函数名的前缀本应是Ke，但是实际上有不少核心层函数名的前缀是Ki，这些函数大都是与中断有关的比较底层的函数。

有时候还在函数名的前缀后面加上小写字母f，表示这个函数是快速调用函数。例如：

NTKERNELAPI LONG_PTR FASTCALL ObfDereferenceObject(IN PVOID  Object);

这里的类型说明FASTCALL向编译工具表明这是个快速调用函数，函数名前缀后面加上f则使人一看见函数名就知道这是个快速调用函数。一般的函数调用是通过堆栈传递参数的，而快速调用函数则通过ECX等寄存器传递参数，因为避免了几个堆栈操作而使效率有所提高。当然，这里的说明FASTCALL是必需的，否则编译工具不知道应该通过寄存器传递参数，而在函数名中加上f则只是为了增加程序的可读性。

上面所说的是C语言程序中的函数名，如果是在汇编语言中，则需要在函数名前面再加上前缀"_"，并加上表示参数个数的后缀。例如，函数名RtlZeroMemory()出现在汇编程序中就是_RtlZero Memory@8。为什么是@8呢？这是因为这个函数有两个参数，一共是8个字节。之所以如此，是因为GCC在编译C语言程序而生成汇编代码时就会作这样的转换。

如果是快速调用函数，则又与普通的函数名有所不同。例如KfLowerIrql()是个快速调用函数，这个函数名出现在汇编程序中时则变成@KfLowerIrql@4。这里的前缀@表示这是快速调用函数，后缀的@4则表示这个函数带有4个字节的参数，即一个参数。当然，这是通过寄存器（因为只有一个参数，所以是ECX）传递的参数，而不是通过堆栈传递的参数。

按理说，KfLowerIrql()是核心层的函数，又是快速调用，因而其函数名的前缀应该是Kef，但是实际用的却是Kf，所以这些前缀的使用并不严格。读者也许怀疑，是否ReactOS的人不守规矩？其实不然，因为在别的资料中也看到过这个函数名。

 

-------------------------------------------------------------------------------------------------------------------------------------------------------------------

1.对于ring3 api主要由 kernel32.dll,user32.dll等dll导出函数，

2.对于内核函数，由ntoskrnl.exe导出。可以直接用IDA加载，在export栏中察看（可使用搜索栏搜索函数）

      注意：文档化：在export显示的函数，说明函数已导出,在WDK文档中，可查询到的函数（联网+本地），为文档化，可直接调用。

               未文档化：若导出了，未文档化，则要声明此内核函数。

主要的前缀有：

Zw：Zw 和同名的 Nt 函数具有相同的功能，中间是从 Zw 到 Nt 函数的简单跳转。本系列内核函数用于文件和注册表方面的操作，比如文件操作、注册表操作、访问进程、事件操作、令牌操作、进程操作和端口操作等。

Ex：管理层，Ex 是 Executive 的开头两个字母。
Ke：核心层，Ke 是 Kernel 的开头两个字母。
Hal：硬件抽象层，Hal 是 Hardware Abstranction Layer 的缩写。
Ob：对象管理，Ob 是 Object 的开头两个字母。
Mm：内存管理，Mm 是 Memory Manager 的缩写。
Ps：进程（线程）管理，Ps 表示Process。
Se：安全管理，Se 是 Security 的开头两个字母。
Io：I/O管理。
Fs：文件系统，Fs 是 File System 的缩写。
Cc：文件缓存管理，Cc 表示 Cache。
Cm：系统配置管理，Cm 是 Configuration Manager 的缩写。
Pp：“即插即用”管理，Pp 表示 PnP。
Rtl：运行时程序库，Rtl 是 Runtime Library 的缩写。本系列内核函数用于运行时库，以Rtl为前缀的函数可以完成多种操作，例如字符串、线程、资源、临界区、安全对象的初始化和使用，内存、进程异常和数据类型的处理，还用于完成定时器、堆、IPv4和IPv6方面的操作，以及压缩和解压缩等。

Ndis：与NDIS网络驱动开发相关的函数。
Wdf：开发WDF驱动相关的函数都是以 Wdf 开头。
KiEtw：本系列内核函数用于系统内核，这些函数只能从内核的内部进行调用，常用的有：KiUserCallbackDispatcher、KiRaiseUserExceptionDispatcher、KiUserApcDispatcher、KiUserExceptionDispatcher等。

Csr系列：此系列函数用于客户机和服务器运行时，如果您想拦截客户机/服务器方面的操作，那么就需要对Csr系列内核函数做进一步的了解。常见的有：CsrClientCallServer、CsrCaptureMessageBuffer、CsrConnectClientToServer和CrsNewThread等。

Ldr系列：本系列内核函数用于加载程序管理器，如果你打算拦截加载程序的话，那么请进一步考察这组以Ldr为前缀的函数，常用的有：LdrInitializeThunk、LdrLockLoaderLock、LdrUnlockLoaderLock、LdrGetDllHandle、LdrGetProcedureAddress等。

Dbg系列：本系列内核函数用于调试管理，如果打算拦截调试操作的话，那么请进一步考察这组以Dbg为前缀的函数，常用的函数包括：、DbgBreakPoint、DbgUserBreakPoint、DbgPrint和DbgUiConnectToDbg等。

Etw系列：本系列内核函数用于追踪窗口事件，如果你打算拦截追踪之类的操作的话,那么请进一步考察这组以Etw为前缀的函数。常用的函数包括：EtwTraceEvent、EtwEnableTrace、EtwGetTraceEnableLevel和EtwGetTraceEnableFlags等。

Pfx系列：本系列内核函数用于ANSI字符串操作，如果你打算拦截ASNI串表方面的操作的话，就需要进一步了解这些函数。常用的包括：PfxInitialize、PfxRemovePrefix、PfxInsertPrefix、PfxFindPrefix等。

不过并非所有函数名都带有这样的前缀，对前缀的使用也并非非常严格。
例如：核心层函数名的前缀本应该是Ke，但实际上有不少核心层函数名的前缀是 Ki，这些函数大都是与中断有关的比较底层的函数。

有时候还在函数名的前缀后面加上小写字母 f，表示这个函数是快速调用函数。
例如：NTKERNELAPI LONG_PTR FASTCALL ObfDereferenceObject(IN PVOID Object);
这里的类型说明 FASTCALL 向编译工具表明这是个快速调用函数，函数名前缀加 f 则使人一看见函数名就知道这个函数是个快速调用函数，一般的函数调用是通过堆栈传递参数的，而快速调用函数则通过 ECX 等寄存器传递参数，因为避免了几个堆栈操作而使效率有所提高。
这里的 FASTCALL 是必须的，否则编译工具不知道应该通过寄存器传递参数，而在函数名中加 f 则只是为了增加程序的可读性。