观察进程线程的相关数据结构.pdfVIP

实验内容：观察进程线程的相关数据结构 华南师范大学计算机学院尹传勇整理 2012年8月23日 19:13 目录： 一、 查看执行体进程块(EPROCESS) 二、查看内核进程块(KPROCESS)三、查看系统中的正在运行的进程 四、查看进程的相关信息 五、查看线程的相关信息 六、查看某个未知的对象 一、 查看执行体进程块(EPROCESS) Windows 进程线程的相关数据结构如下图所示： 每个 Windows 进程都有一个执行体进程块(EPROCESS)，它位于系统空间中，记录着与进程相关的很多信息。 实验步骤： 1) 启动 WinDbg 到内核调试模式。 2) 在调试器命令窗口(Debugger Command window)底行命令输入行(以“kd”为前缀,下面简称“底行命令行”)键入命令“dt _eprocess”或“dt _EPROCESS”（命令dt _eprocess 功能是显示_eprocess 结构的详细信息，详细用法参见WinDbg 帮助文 档），输出如下(由于EPROCESS 结构中包含的内容过多，在此仅列出一小部分)： 我们可以观察到在显示的信息中，最左边一列是十六进制数，表示 EPROCESS 结构中的变量（结构体，指针等）相对与起始地 址的偏移量，中间一列为EPROCESS 结构中的变量名，最右边为变量的类型。例如：第一行中的+0x000 表示Pcb，即EPROCESS 结构的起始地址，_KPROCESS 为Pcb 的类型。+0x094 处的UniqueProcessId 就是平时我们说的PID，它为一个32 位系统指针。 关于EPROCESS 结构的详细定义可在源文件“..\base \ntos\inc\ps.h”中找到。 二、 查看内核进程块(KPROCESS) 在查看执行体进程块(EPROCESS)时我们看到其中的第一个变量是Pcb，其类型为_KPROCESS。我们可以通过dt 命令查看KPROCESS 分区 观察进程线程的相关数据结构 的第 1 页 在查看执行体进程块(EPROCESS)时我们看到其中的第一个变量是Pcb，其类型为_KPROCESS。我们可以通过dt 命令查看KPROCESS 中的内容。 实验步骤： 在底行命令行键入命令“ dt _kprocess ”或“dt _KPROCESS”，输出如下（未列出全部内容）： 关于 KPROCESS 结构的详细定义可在源文件“..\base \ntos\inc\ke.h”中找到。通过查看源文件我们可以看出，KPROCESS 的 结构跟上图中我们利用WinDbg 查看到的结果是一致的。 三、 查看系统中的正在运行的进程 实验步骤： 1）在底行命令行键入命令“!process 0 0”，可以显示出当前系统中所有进程的基本信息。如下图： Cid 在内核中是Client id 的意思，其实就是进程的Pid 号，这里Cid 号是以十六进制来表示的。以上图最后一个进程 (Image:explorer.exe)为例，我们可以用命令“ .formats ”将它转换为十进制，在底行命令行键入命令“ .formats 0x0464 ”,显示结果如下： 2）在底行命令行键入命令“g”，或者点击菜单“Debug-Go”，使虚拟机恢复运行，打开虚拟机中windows 系统任务管理器查 看进程的信息，如下图： 分区 观察进程线程的相关数据结构 的第 2 页 从任务管理器中可以看到，进程(Image Name: explorer.exe)的PID 值为1124（十进制），正好对应了从WinDbg 中看到的 Cid：0464（十六进制）。 3）点击WinDbg 菜单“Debug-Break”使虚拟机暂停执行。 四、 查看进程的相关信息 我们仍以进程(Image: explorer.exe)为例来观察。 实验步骤： 1）在底行命令行键入命令“!process 813b6770 1”(813b6770 是被观察进程的地址，不同的机器中这一地址会不同，也可以将 进程地址换为进程的PID，即“!process 0464 1”，命令中最后的1 表示显示信息的详细程度，可以取值0—7)，显示信息如下 图(未列出全部信息)： 上图中标记的是当前进程的内存使用量，可以看出和任务管理器中看到的结果一致。 3）用命令“dt _eprocess 813b6770”查看EPROCESS 结构中的详细信息，如下： 4）用命令“dt _kprocess 813b6770“进一步查看Pcb 中的内容（图略）。可以看出