《未公开的Windows核心技术》

目 录1

译者序1

序言1

第1章始料未及1

1.1后台编程3

1.2动态连接帮助窥探4

1.3 NDW的内部5

1.4开放的工具：不再是未公开的Windows9

1.5最后是未公开的Windows11

1.5.1 自由系统资源详述12

1.5.2保护模式问题17

1.6继续深入Norton Desktop21

1.7 Microsoft对未公开Windows的应用22

1.8未公开的调试27

1.9 Microsoft的商业化应用程序和语言产品28

1.9.1 “长城”以及FTC对Microsoft的调查32

1.9.2 Geary事件33

1.10在Windows内部36

1.11 为何不公开它们？38

1.12恐惧、厌恶与可移植性40

1.12.1 NT又怎样？43

1.13未公开函数的安全使用44

第2章考查Windows可执行程序46

2.1 使用MAPWIN50

2.2 使用EXEDUMP57

2.3 用EXEDUMP-EXPORTS生成.DAT文件63

2.4 用EXEDUMP的-MAGIC和-DESC选项进行快速剖析64

2.6 用EXEUTIL-FINDUNDOC搜索未公开的函数65

2.5 使用EXEUTIL65

2.7 用EXEUTIL-UNDOC搜索未公开的函数调用68

2.8用EXEUTIL-IMPORTS搜索对API函数的调用71

2.9 用EXEUTIL-DIFF发现DLL变异72

2.10 用EXEUTIL-DUPES探索等价函数74

第3章反汇编Windows77

3.1 反汇编TASKMAN83

3.2 TASKMAN技术99

3.3考查API函数和数据结构103

第4章剖析的工具110

4.1 Windows Spies,Walkers和Debuggers110

4.1.1 HEAPWALK110

4.1.2 SPY111

4.1.5 Windows调试版112

4.1.3 Windows版的CodeView112

4.1.4 WDEB386112

4.1.6 其他剖析工具113

4.2 Soft-ICE/Windows115

4.2.1 使用 WINICE反汇编116

4.2.2 WINICE断点117

4.2.3 WINICE程序的系统信息命令120

4.3 WINIO库122

4.3.1 一个交互式命令Shell124

4.3.2 程序常驻内存126

4.3.3安装事件处理程序127

4.3.4 WINIO菜单129

4.3.5 WINIO的行操作功能131

4.4 CALLFUNC：方便地动态连接134

4.4.1 CALLFUNC的GP错误处理138

4.5 使用SNOOP查看未公开的WM消息140

4.5.1 利用WndProc跟踪消息143

4.5.2 SNOOP的一个独特功能145

4.6 利用WISPY观察中断145

4.6.1 启动DOS窗149

4.6.2 调整WINIO149

4.7 Windows浏览程序152

第5章 KERNEL:Windows系统服务153

5.1 KERNEL版本153

5.2 KERNEL数据结构154

5.3句柄，无处不在的句柄156

5.4 KERNEL引入和引出163

5.6 未公开的KERNEL函数164

5.5 KERNEL初始化164

5.7使用未公开函数167

第6章 USER:Microsoft Windows用户接口313

6.1 USER数据结构313

6.2 USER堆314

6.3 USER对象315

6.3.1全局对象315

6.3.2用户局部堆对象316

6.4 USERWALK319

6.5 USER的引出和引入323

6.6 USER中的未公开函数324

6.7 USER组成325

6.8使用未公开的USER函数325

第7章未公开的Windows消息405

7.1固有的WndProc416

7.2未公开的控制消息416

第8章GDI418

8.1 GDI数据结构418

8.2 GDIWALK420

8.3 GDI堆425

8.4 GDI中的引出和引入425

8.5未公开的GDI函数426

8.6使用未公开的GDI函数427

第9章SYSTEM469

第10章Tool Help：未公开Windows的部分替换477

10.1oolHelp能替代哪些未公开功能？477

10.2利用ToolHelp编程时的各种考虑479

10.3在自己的软件产品中使用ToolHelp481

10.4 ToolHelp的函数482

10.5堆函数482

10.6 Windows数据结构访问函数486

10.7调试及其他函数489

10.8示例程序：WinWalk498

10.8.1全局堆，十六进制显示，以及局部堆遍历498

10.8.2任务列表499

10.8.3模块列表499

10.8.4类列表500

10.9示例程序：Coroner509

10.9.1运行Coroner509

10.9.2 Coroner代码511

10.9.3对增强模式的建议523

附录：WINIO库的说明525