设备驱动程序如何像进程监视器一样

Question

提供了流程监视器和资源管理器。但是他们包括一个驾驶员。 -它在哪里。

在Windows内部，

Process Monitor通过从其可执行文件映像（Procmon.exe）中提取文件系统过滤器设备驱动程序时的工作起作用，您在启动后首次运行它，将驱动程序安装在内存中，然后从磁盘中删除驱动程序映像。

我想知道细节机制。
有一些代码吗？我在哪里可以找到它们。
还是你能解释一下。
谢谢。

Answer 1

上次我看，它只是嵌入了可执行的资源中。您可以使用Resource Hacker之类的东西来查看它。我猜该过程启动时，它将从资源部分提取驱动程序并安装驱动程序。

Answer 2

Windows中的可执行文件可能包含“资源”部分。它可能包含任何二进制数据，可执行文件可以在运行时访问。

诀窍是在链接时间期间将EXE放入EXE中。然后在运行时，EXE将其提取到SYS文件中。

然后，该驱动程序可以在即时加载（使用SC-Manager）