windows程序员进阶系列：《软件调试》之五windows操作系统概要.docxVIP

windows 程序员进阶系列：《软件调试》之五 windows 操作系 统概要 windows 程序员进阶系列：《软件调试》之五：Windows 操作系统概要 操作系统是计算机系统中的基本软件。它负责管理系统中的软硬件资 源。通常都包括文件管理、内存管理、进程管理、打印管理、网络管 理等基本功能。除此之外，支持调试也是操作系统设计的一项根本任务。 从被调试对象的角度来看，可以把操作系统的调试支持分为以下三个 方面： 一：对应用程序的调试。即如何简单高效的调试运行在系统中的应用 程序。 二：对设备驱动程序的调试。 三：对操作系统自身调试的支持。 本文我们会介绍Windows 操作系统的架构及核心组件，加深大家对 Windows 系统的理解。 Windows 是个典型的多任务操作系统，它允许有多个进程在系统中同时运行。 进程是资源分配和保护的基本单位。每个进程都有自己的虚拟地址空 间。这保证了每个进程相互隔离互不干扰。 除了地址空间之外每个进程还包括： 一：一个全局唯一的进程ID 。 二：一个可执行映像（可执行文件）。三：一个或多个线程。 四：一个位于内核空间中的名为_EPROCESS 数据结构。用以记录该 进程的关键信息，包括进程创建时间、映像文件名称等。 五：一个位于内核空间的句柄表。用以记录和索引该进程所创建的或 打开的内核对象。句柄只是句柄表的索引，操作系统根据句柄表来得 到指向内核对象的指针。 六：一个用于描述内存页目录表起始位置的基地址。简称页目录 基地址。当cpu 切换任务时会将该地址加载到CR3 寄存器中。七：一个位于用户空间中的环境块（Process Environment block)PEB。 八：一个访问权限令牌。用以表示该进程的用户、安全组以及优 先级别。 为了更好的理解以上列出的每个项目。我们可以结合Windbg 使用 dt 命令来观察_EPROCESS 的每个字段。 在 windbg 中可以输入命令：dt _EPROCESS。该命令会显示 _EPROCESS 结构的各个字段。如果你通过其他方法，如!process 0 0 可得到了某个进程的_ERPCESS 结构的地址，你可以为上面的命令加上_EPROCESS 结构地址。如输入dt ＿EPROCESS EPROCESS结构地址。该命令会在显示_EPROCESS 结构的同时，显示该地址处各个字段的取值。 以下为_EPROCESS 结构： [cpp] view plaincopyprint? [cpp] view plaincopyprint? typedef struct _EPROCESS { KPROCESS Pcb; NTSTATUS ExitStatus; KEVENT LockEvent; ULONG LockCount; LARGE_INTEGER CreateTime; LARGE_INTEGER ExitTime; PKTHREAD LockOwner; HANDLE UniqueProcessId; LIST_ENTRY ActiveProcessLinks; SIZE_T QuotaPeakPoolUsage[2]; SIZE_T QuotaPoolUsage[2]; SIZE_T PagefileUsage; SIZE_T CommitCharge; SIZE_T PeakPagefileUsage; SIZE_T PeakVirtualSize; SIZE_T VirtualSize; MMSUPPORT Vm; LIST_ENTRY SessionProcessLinks; PVOID DebugPort; PVOID ExceptionPort; PHANDLE_TABLE ObjectTable; PACCESS_TOKEN Token; 24. FAST_MUTEX WorkingSetLock; PFN_NUMBER WorkingSetPage; BOOLEAN ProcessOutswapEnabled; BOOLEAN ProcessOutswapped; UCHAR AddressSpaceInitialized; BOOLEAN AddressSpaceDeleted; FAST_MUTEX AddressCreationLock; KSPIN_LOCK HyperSpaceLock; struct _ETHREAD *ForkInProgress; USHORT VmOperation; UCHAR ForkWasSuccessful; UCHAR MmAgressiveWsTrimMask; PKEVENT VmOperationEvent; PVOID PaeTop; ULONG LastFaultC