\??\和\\?\打头的路径排除到底是什么意思啊？

peacekeeper

刚刚下了8.5的通鉴看（感谢版主的转贴），但是有一个地方不怎么明白。

原文是：
1.6排除路径中有一种以“\??\”或“\\?\”打头的路径，编写规则时若将“\??\”或“\\?\”去掉的话便无法排除该进程，这是因为该进程已注入内存，所以在排除时已不是原路径，而是内存中的路径，所以需要以“\??\”或“\\?\”打头。“\??\”表示内存中的单个进程，多为系统进程，如??\C:\WINDOWS\system32\csrss.exe；“\\?\”表示在内存中除自身进程外，还注入在内存其他进程中，多为应用程序进程。


这个是原文中的实例：

1.1禁止未知程序的任何操作

要包含的进程：*

要排除的进程：C:\WINDOWS\System32\alg.exe,C:\WINDOWS\system32\ctfmon.exe,\??\C:\WINDOWS\system32\winlogon.exe,\??\C:\WINDOWS\system32\csrss.exe……

要阻止的文件或文件夹名：**\*

要禁止的文件操作：读取、写入、执行、创建、删除

alg和ctfmon难道不是系统进程吗？为什么又不带问号？
我实在想不明白带问号的路径和不带问号的有什么区别？任何一个进程，难道可以不加载到内存中就能对文件进行操作吗？ 又或者是因为有些进程总是先于mcshield.exe启动？请各位高人赐教！

thelord

带问号的都是内核级进程

lizeqing1985

明白了