Windows NT内核获取系统时间：KeQuerySystemTime函数解析

"本文主要介绍了如何在Windows NT内核中获取当前系统时间，以及与NDIS过滤驱动相关的开发笔记。" 在Windows NT内核中，获取当前系统时间不能像用户模式下那样使用time.h库，而是需要利用内核级的API函数。KeQuerySystemTime()是用于获取系统时间的关键函数，它存在于Wdm.h、Ntddk.h或Ntifs.h这些头文件中。该函数接收一个指向LARGE_INTEGER结构体的指针，将系统时间以100纳秒为单位的64位有符号整数填入其中。系统时间是从1601年1月1日开始计算的。 LARGE_INTEGER是一个联合体，包含了LowPart和HighPart两个32位字段，以及一个LONGLONG类型的QuadPart字段。如果编译环境支持LONGLONG，可以直接使用QuadPart来存储和处理时间值。使用KeQuerySystemTime()函数时，需要注意的是，返回的时间是一个相对于特定日期的绝对时间值，而不是相对时间。 另一方面，资源标签提到了"NDIS, Filter, 过滤驱动"，这表明内容还涉及网络驱动程序开发，特别是NDIS（Network Driver Interface Specification）过滤驱动。NDIS过滤驱动是一种中间层驱动，位于NDIS协议驱动和物理网络适配器之间，用于拦截、修改或处理网络数据包。笔记中涵盖了多个NDIS过滤驱动的开发主题，包括数据包解码、MDL（Memory Descriptor List）的使用、OID查询、驱动调试技术等。 例如，笔记中提到的Filter驱动发送OID请求可能会导致蓝屏问题，这通常是因为驱动程序错误地处理了系统资源或者违反了内核模式编程规则。此外，笔记还讨论了如何在FilterAttach过程中分配NetBufferListPool，以及如何区分不同的FilterModuleInstance，这些都是在实现过滤驱动时需要考虑的重要细节。 这些内容提供了关于Windows内核时间获取以及NDIS过滤驱动开发的实用知识，对于理解内核级编程和网络驱动开发人员来说是非常有价值的参考资料。