TSR

Читаю книжку про нутря Виндовса НТ. Обнаружилось, что в нем совершенно официально есть механизмы перехвата чуть ли не любых вызовов внутри ядра. То есть, драйвер может просто сказать "хочу перехватить такие вызовы", и радостно их получить. Очень модульно, можно устраивать многоуровневые обработчики, прям как во времена МС-ДОСа и его резидентных программ, только совсем официальный механизм. А драйвера тоже легко загружаются на ходу. На верхнем уровне вообще нет разницы между демоном и драйвером - они оба с точки зрения системы Сервисы, устанавливаются в систему одним и тем же вызовом. Ну, начиная с Висты понавводили всяких требований о подписях драйверов, так что стало не прямо приходи кто хочешь бери что хочешь. Но совершенно неудивительно, что до того всякие вирусы и руткиты плодились со страшной силой.

Нет, ну в классическом Юниксе, конечно, тоже драйвер может залезть куда угодно в ядре, но это ему надо хотя бы маленько постараться. А скажем в Юниксваре и прочем SVR4 для собственно драйверов вообще не использовалась для связывания полная таблица символов ядра, а использовалось только специальное отдельно именованное подмножество, реализующее документированный интерфейс, так что стараться требовалось бы еще маленько больше.