window内核笔记.docx

【Windows内核基础】 Windows内核是操作系统的核心部分，它管理系统的硬件资源，提供系统服务，执行调度，以及处理硬件中断。以下是一些关键知识点： 1. **汇编指令**： - `mov` 指令用于在寄存器和内存之间移动数据。 - `push` 用于将数据压入堆栈，`pop` 用于从堆栈弹出数据，`pushad` 一次性保存8个寄存器，`popad`则恢复它们。 - `adc` 是带进位加法，`sbb` 是带借位减法，`xchg` 用于交换两个寄存器或寄存器与内存单元的数据。 2. **标志寄存器**： - `c` 位表示最高位进位，`p` 位用于奇偶校验，`af` 位是辅助进位标志，用于判断是否有溢出。 3. **内存访问**： - 操作数可以是立即数、寄存器、段寄存器或内存单元，但宽度需一致，且源和目标不能同时为内存。 4. **32位操作系统内存管理**： - 在32位系统中，理论上最大可寻址4GB内存，但实际可能因操作系统限制而小于4GB。 5. **Windbg调试工具**： - `!vad` 命令遍历虚拟地址描述符。 - `!vtop` 查看内存映射。 - `dd` 用于读取内存值，如查看CPU数量、KPCR等。 6. **系统服务描述符表(SSDT)**： - SSDT是系统服务的入口点，`KeServiceDescriptorTable` 和 `KeServiceDescriptorTableShadow` 分别表示SSDT和其备份。 7. **消息机制**： - GUI线程拥有消息队列，包括`SentMessagesListHead`、`PostedMessageListHead`和`HardwareMessagesListHead`。 - `GetMessage` 和 `PostMessage` 分别用于同步和异步处理消息，前者会阻塞直到有新消息，后者立即返回。 8. **线程与消息队列**： - GUI线程拥有消息队列，位于0环，由`KTHREAD->win32Thread->_THREADINFO->MessageQueue`指向。 - `PsConvertToGuiThread`函数转换线程为GUI线程，创建消息队列并调整内核栈大小。 9. **窗口与线程关系**： - 窗口在0环创建，由`w32k.sys`绘制。 - 窗口和线程一一对应，每个窗口都有 `_WINDOW_OBJECT` 结构体。 - 窗口句柄表全局，允许跨进程创建窗口。 - 一个线程可有多个窗口，但每个窗口仅属于一个线程，所有窗口共享一个消息队列。 10. **消息处理**： - `GetMessage` 会从消息队列中取出并删除消息，而`PostMessage`只是将消息放入队列，不等待处理。 理解这些概念有助于深入理解Windows内核的工作原理，对于系统级编程和调试有着重要作用。在实际开发中，这些知识可以用于优化性能，排查问题，甚至进行内核级别的调试和安全分析。