执行体对象位于系统空间，用户空间通过句柄来引用。句柄是进程范围内的对象引用。句柄实际是一个索引，指向进程句柄表中的一个表项。EPROCESS->ObjectTable第一个是4，第二个是8......句柄表示一个多层次结构。ObjectTable类型为HANDLE_TABLE，句柄结构为HANDLE_TABLE_ENTRY。对于一个句柄，其生命周期从被插入句柄表开始，到被关闭，此过程中，对象

基础知识打开方式：eventview或命令行工具wevtutil事件查看器是一个 Microsoft 管理控制台 (MMC) 管理单元，可用于浏览和管理事件日志。使用事件查看器可以执行以下任务：查看来自多个事件日志的事件将有用的事件筛选器另存为可以重新使用的自定义视图计划要运行以响应事件的任务创建和管理事件订阅，通过指定事件订阅，可以从远程计算机收集事件并将其保存在本地。事件日志事件日志分两个类型

问题：发现某目录下有一个xxx.sys文件，本人能确定这个驱动无用，要删除它。直接删除，无法删除。怀疑应该是这个驱动已经被系统加载了所以无法删除。重启系统后，也无法删除，怀疑这个驱动在系统启动时就被加载了。这里记录一下如何确定它被加载了，并如何删除它。解决：1、先使用PsExec确定驱动是否被加载了以管理员权限启动PsExec，点击view->LowerPaneView->Dll：在P

当我们要分析一个lib库里的代码时，首先需要判断这是一个静态库还是一个导入库。库类型判断lib文件其实是一个压缩文件。我们可以直接使用7z打开lib文件，以查看里面的内容。如果里面的内容是obj文件，表明是静态库。如果里面的内容是dll文件，表明是导入库。导入库里面是不包含代码的，代码包含在对应的dll文件中。从lib中提取obj静态库是一个或者多个obj文件的打包，这里有两个方法从中提取obj：

下载deveco-studio打开鸿蒙开发者网站：HarmonyOS应用开发官网 - 华为HarmonyOS打造全场景新服务点击右上角注册华为账号，有账号的直接登录。转到IDA下载页面，下载deveco-studio：https://developer.harmonyos.com/cn/develop/deveco-studio#download_betadeveco-studio分 window

下载deveco-studio打开鸿蒙开发者网站：HarmonyOS应用开发官网 - 华为HarmonyOS打造全场景新服务点击右上角注册华为账号，有账号的直接登录。下载deveco-studio：https://developer.harmonyos.com/cn/develop/deveco-studio#download_beta我下载的是当前的最新版：DevEco Studio 3.0 B

本人使用VMware 16.1安装了Windows 10 64位虚拟机：最近发现安装的Windows 10虚拟机提示一个错误：虚拟机配置使用的虚拟处理器插槽数量多于客户机所支持的数量。对这个问题很疑惑。按照我之前的理解，这里的处理器数量是CPU的核数，每个处理器的内核是每个核的线程数。我这样配置为4核8线程应该没问题啊。经过资料搜索，发现我的理解有问题。这里的处理器数量指的是芯片数量，也就是你主板

在上一篇中，搭建了DevEco Studio 3.0开发环境：鸿蒙3.0应用开发环境搭建_大雄_RE的博客-CSDN博客这篇文章，在此开发环境基础上介绍如何开发HelloWorld应用，并在模拟器上运行。整个过程中有一些和DevEco Studio 2.1版本不同的地方。HelloWorld开发在如下DevEco Studio3.0的环境界面，点击“Create HarmonyOS Project

本人使用VMware 16.1安装了Windows 10 64位虚拟机：最近发现安装的Windows 10虚拟机提示一个错误：虚拟机配置使用的虚拟处理器插槽数量多于客户机所支持的数量。对这个问题很疑惑。按照我之前的理解，这里的处理器数量是CPU的核数，每个处理器的内核是每个核的线程数。我这样配置为4核8线程应该没问题啊。经过资料搜索，发现我的理解有问题。这里的处理器数量指的是芯片数量，也就是你主板