dll - ドライバーの実行可能ファイルをどのように識別しますか？

Question

特定のexe、dll、またはsysファイルが実際にドライバーであるかどうかをどのように判断しますか？ドライバーと通常の実行可能ファイルの違いは何ですか？

Answer 1

ドライバーのイメージは常に IMAGE_SUBSYSTEM_NATIVE (IMAGE_OPTIONAL_HEADER.Subsystem - Microsoft Portable Executable 仕様を参照) としてマークされますが、アプリケーションのイメージは通常 IMAGE_SUBSYSTEM_WINDOWS_GUI または IMAGE_SUBSYSTEM_WINDOWS_CUI としてマークされます。

Answer 2

通常の実行可能ファイルはユーザー モードで実行され、ドライバーはカーネル モードで実行されます。通常、通常の実行可能ファイルはデスクトップと対話しますが、ドライバーはデスクトップと対話できません (ユーザー インターフェイスはありません)。通常の実行可能ファイルは Windows API と対話しますが、ドライバーは Windows API と対話できません。