Windows的内核函数在命名上有个很好的特色，就是函数名都按其所在的层次或模块加上了特定的前缀。了解了这些前缀，看到一个函数名就可以大致 知道这个函数所属的层次和模块，主要的前缀有：
Ex：管理层，Ex 是 Executive 的开头两个字母。
Ke：核心层，Ke 是 Kernel的开头两个字母。
Hal：硬件抽象层，Hal 是 Hardware Abstraction Layer 的缩写。
Ob：对象管理，Ob 是 Object 的开头两个字母。
Mm：内存管理，Mm 是 Memory Manager 的缩写。
Ps：进程（线程）管理，Ps 表示 Process。
Se：安全管理，Se 是 Security 的开头两个字母。
Io：I/O 管理。
Fs：文件系统，Fs 是 File System 的缩写。
Cc：文件缓存管理，Cc 表示 Cache。
Cm：系统配置管理，Cm 是 Configuration Manager 的缩写。
Pp："即插即用"管理，Pp 表示 PnP。
Rtl：运行时程序库，Rtl 是 Runtime Library 的缩写。
不过并非所有的函数名都带有这样的前缀，对前缀的使用也并非十分严格。例如，核心层函数名的前缀本应是Ke，但是实际上有不少核心层函数名的前缀是 Ki，这些函数大都是与中断有关的比较底层的函数。
有时候还在函数名的前缀后面加上小写字母f，表示这个函数是快速调用函数。例如：
NTKERNELAPI LONG_PTR FASTCALL ObfDereferenceObject(IN PVOID Object);
这里的类型说明 FASTCALL 向编译工具表明这是个快速调用函数，函数名前缀后面加上f则使人一看见函数名就知道这是个快速调用函数。一般的函数 调用是通过堆栈传递参数的，而快速调用函数则通过ECX等寄存器传递参数，因为避免了几个堆栈操作而使效率有所提高。当然，这里的说明 FASTCALL 是 必需的，否则编译工具不知道应该通过寄存器传递参数，而在函数名中加上f则只是为了增加程序的可读性。
上面所说的是C语言程序中的函数名，如果是在汇编语言中，则需要在函数名前面再加上前缀"_"，并加上表示参数个数的后缀。例如，函数名 RtlZeroMemory()出现在汇编程序中就是_RtlZeroMemory@8 。 为什么是 @8 呢？这是因为这个函数有两个参数，一共是 8 个字节。之所以如此，是因为GCC在编译C语言程序而生成汇编代码时就会作这样的转换。
如果是快速调用函数，则又与普通的函数名有所不同。例如 KfLowerIrql() 是个快速调用函数，这个函数名出现在汇编程序中时则变成 @KfLowerIrql@4。这里的前缀@表示这是快速调用函数，后缀的@4则表示这个函数带有4个字节的参数，即一个参数。当然，这是通过寄存器（因 为只有一个参数，所以是ECX）传递的参数，而不是通过堆栈传递的参数。
按理说，KfLowerIrql() 是核心层的函数，又是快速调用，因而其函数名的前缀应该是Kef，但是实际用的却是Kf，所以这些前缀的使用并 不严格。读者也许怀疑，是否ReactOS的人不守规矩？其实不然，因为在别的资料中也看到过这个函数名。
转载请注明：exchen's blog » Windows 内核函数的命名