本文共 1003 字,大约阅读时间需要 3 分钟。
数据结构
每个Windows进程都表现为一个executive进程(EPROCESS)结构,除了包括很多进程相关的属性外,还包括一些指针。比如,每个进程都有一个或多个线程,每个线程都是executive线程(ETHREAD)结构。
EPROCESS 和大多数与其相关的数据结构存在于系统的地址空间中,有一个例外是进程的环境块PEB(process environment block ),存在于进程的地址空间中(用于被用户模式的代码访问)。另外,进程的有些数据结构用于内存管理,比如working set列表,只有在当前进程上下文才有效,因为它们存储在进程特有的系统空间内。
每个执行Win32程序的进程,Win32子系统进程(Csrss.exe)维护一个叫做CSR_PROCESS的并行的结构。最后,内核模式部分的Win32子系统(Win32k.sys)维护每个进程的数据结构,W32PROCESS。W32PROCESS结构在线程第一次调用Windows USER函数或GDI函数时创建。
下图是进程和线程数据结构的简化图表:
下图是EPROCESS 的结构.
类似于内核API和组件划分成独立两部分并且分层成模块的方式,进程的数据结构也差不多的设计。
下图是PEB的数据结构:
下图是CSR_PROCESS的数据结构:
进程的创建流程 因为Windows是多环境子系统架构,创建一个executive进程对象与创建子系统进程是分开的。下面总结了CreateProcess()函数的几个主要步骤,每个步骤的可能是由CreateProcess()函数自己操作的,也可能是NtCreateProcess()函数或者它在内核模式下的辅助函数。当应用程序调用CreateProcess,CreateProcessAsUser,CreateProcessWithTokenW,CreateProcessWithLogonW等系统函数时,Windows子系统进程就被创建了。下面是具体步骤:
- 验证参数,将Windows子系统标记和选项转换成native对应的部分。
- 打开 进程中要被执行的image文件(.exe)。
- 创建Windows executive进程对象。
- 创建初始化线程(栈,上下文,Windows executive线程对象)。
- 初始化进程。
- 开始执行初始化线程。
- 完成地址空间的初始化,开始执行程序。