版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)
文檔簡介
1、創(chuàng)建進(jìn)程的過程分成六個(gè)階段,發(fā)生于操作系統(tǒng)的三個(gè)部分中。三個(gè)部分是:1,Windows客戶端即某個(gè)應(yīng)用進(jìn)程的包括Kernel32.dll在內(nèi)的動(dòng)態(tài)連接庫2,Windows的“執(zhí)行體”、即內(nèi)核(確切地說是內(nèi)核的上層)3,以及Windows子系統(tǒng)的服務(wù)進(jìn)程Csrss中。六個(gè)階段是:1.打開目標(biāo)映像文件。2.創(chuàng)建Windows的“執(zhí)行體進(jìn)程對(duì)象”,也就是內(nèi)核中的“進(jìn)程控制塊”數(shù)據(jù)結(jié)構(gòu)。3.創(chuàng)建該進(jìn)程的初始(第一個(gè))線程,包括其堆棧、上下文、以
2、及“執(zhí)行體線程對(duì)象”,即內(nèi)核中的“線程控制塊”數(shù)據(jù)結(jié)構(gòu)。4.將新建進(jìn)程通知Windows子系統(tǒng)。5.啟動(dòng)初始線程地運(yùn)行(除非因?yàn)閰?shù)中的CREATE_SUSPENDED標(biāo)志位為1而一創(chuàng)建便被掛起)。6.在新進(jìn)程和線程的上下文中完成用戶空間的初始化,包括裝入所需的DLL,然后開始目標(biāo)程序的運(yùn)行。BOOLWINAPICreateProcess(__inLPCTSTRlpApplicationName__in_outLPTSTRlpCommL
3、ine__inLPSECURITY_ATTRIBUTESlpProcessAttributes__inLPSECURITY_ATTRIBUTESlpThreadAttributes__inBOOLbInheritHles__inDWDdwCreationFlags__inLPVOIDlpEnvironment__inLPCTSTRlpCurrentDirecty__inLPSTARTUPINFOlpStartupInfo__outLPP
4、ROCESS_INFMATIONlpProcessInfmation)在打開可執(zhí)行映像之前執(zhí)行一下步驟:看書上。第一階段:打開目標(biāo)映像文件第一階段:打開目標(biāo)映像文件在Win32位API中,創(chuàng)建進(jìn)程是由CreateProcess()完成的。這實(shí)際上是個(gè)宏定義,根據(jù)不同的情況定義成CreateProcessA()或CreateProcessW()之一,這兩個(gè)函數(shù)都在kernel32.dll中(可以用工具depends觀察)。兩個(gè)函數(shù)的區(qū)別僅
5、在于字符串的表達(dá),前者采用II字符,而后者采用“寬字符”、即Unicode。實(shí)際上Windows的內(nèi)部都采用寬字符,所以前者只是把字符串轉(zhuǎn)換成寬字符格式,然后調(diào)用后者??梢栽赪indows上運(yùn)行的可執(zhí)行軟件有好幾類,處理的方法自然就不一樣:●Windows的32位.exe映像,直接運(yùn)行。●Windows的16位.exe映像,啟動(dòng)ntvdm.exe,以原有命令行作為參數(shù)?!馜OS的.exe、.com、或.pif映像,啟動(dòng)ntvdm.exe
6、,以原有命令行作為參數(shù)?!馜OS的.bat或.cmd批命令文件(腳本),啟動(dòng)cmd.exe,以原有命令行作為參數(shù)?!馪OSIX可執(zhí)行映像,啟動(dòng)posix.exe,以原有命令行作為參數(shù)?!馩S2可執(zhí)行映像,啟動(dòng)os2.exe,以原有命令行作為參數(shù)。這里面最重要的當(dāng)然是32位的.exe映像,而最后兩類現(xiàn)在已經(jīng)很少見了。從對(duì)于除映像裝入地址等等信息。PEB在用戶空間中的位置是固定的,總是在0x7ffdf000。在Windows中,用戶空間和系
7、統(tǒng)空間的分界線是2GB、即0x80000000,所以PEB在靠近用戶空間頂端的地方。所謂創(chuàng)建內(nèi)核中的進(jìn)程對(duì)象,實(shí)際上就是創(chuàng)建以EPROCESS為核心、為基礎(chǔ)的相關(guān)數(shù)據(jù)結(jié)構(gòu),這就是系統(tǒng)調(diào)用NtCreateProcess()要做的事情,主要包括:●分配并設(shè)置EPROCESS數(shù)據(jù)結(jié)構(gòu)。●其他相關(guān)的數(shù)據(jù)結(jié)構(gòu)的設(shè)置,例如“打開對(duì)象表”?!駷槟繕?biāo)進(jìn)程創(chuàng)建初始的地址空間?!駥?duì)目標(biāo)進(jìn)程的“內(nèi)核進(jìn)程塊”KPROCESS進(jìn)行初始化?!駥⑾到y(tǒng)DLL的映像映射
8、到目標(biāo)進(jìn)程的(用戶)地址空間。●將目標(biāo)進(jìn)程的映像映射到其自身的用戶空間?!裨O(shè)置好目標(biāo)進(jìn)程的“進(jìn)程環(huán)境塊”PEB?!裼成淦渌枰成涞接脩艨臻g的數(shù)據(jù)結(jié)構(gòu),例如與“當(dāng)?shù)卣Z言支持”、即NLS有關(guān)的數(shù)據(jù)結(jié)構(gòu)?!裢瓿蒃PROCESS創(chuàng)建,將其掛入進(jìn)程隊(duì)列(注意受調(diào)度的是線程隊(duì)列而不是進(jìn)程隊(duì)列)。這里將系統(tǒng)DLL、實(shí)際上是ntdll.dll、映射到目標(biāo)進(jìn)程的用戶空間是很關(guān)鍵的。這是因?yàn)?,除別的、主流的功能和作用外,ntdll.dll同時(shí)也起著相當(dāng)于
9、Linux中ELF“解釋器”的作用,也擔(dān)負(fù)著為目標(biāo)映像建立動(dòng)態(tài)連接的任務(wù)。第三階段:創(chuàng)建初始線程第三階段:創(chuàng)建初始線程如上所述,進(jìn)程只是個(gè)空架子,實(shí)際的運(yùn)行實(shí)體是里面的線程。所以下一步就是創(chuàng)建目標(biāo)進(jìn)程的初始線程,即其第一個(gè)線程。與EPROCESS相對(duì)應(yīng),線程的數(shù)據(jù)結(jié)構(gòu)是ETHREAD,并且其第一個(gè)成分是數(shù)據(jù)結(jié)構(gòu)KTHREAD,稱為TCB。此外,就像進(jìn)程有“進(jìn)程環(huán)境塊”PEB一樣,線程也有“線程環(huán)境塊”TEB,KTHREAD結(jié)構(gòu)中有個(gè)指針
10、指向其存在于用戶空間的TEB。前面講過,PEB在用戶空間的位置是固定的,PEB下方就是TEB,進(jìn)程中有幾個(gè)線程就有幾個(gè)TEB,每個(gè)TEB占一個(gè)4KB的頁面。NtCreateThread()調(diào)用PspCreateThread(),PspCreateThread()調(diào)用KeInitThread()。這個(gè)階段的操作是通過系統(tǒng)調(diào)用NtCreateThread()完成的,主要包括:●創(chuàng)建和設(shè)置目標(biāo)線程的ETHREAD數(shù)據(jù)結(jié)構(gòu),并處理好與EPROC
11、ESS的關(guān)系(例如進(jìn)程塊中的線程計(jì)數(shù)等等)?!裨谀繕?biāo)進(jìn)程的用戶空間創(chuàng)建并設(shè)置目標(biāo)線程的TEB?!駥⒛繕?biāo)線程在用戶空間的起始地址設(shè)置成指向Kernel32.dll中的BaseProcessStart()或BaseThreadStart(),前者用于進(jìn)程中的第一個(gè)線程,后者用于隨后的線程。用戶程序在調(diào)用NtCreateThread()時(shí)也要提供一個(gè)用戶級(jí)的起始函數(shù)(地址),BaseProcessStart()和BaseThreadStart
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 眾賞文庫僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。
最新文檔
- 贏在執(zhí)行 余世維談管理與執(zhí)行 12 主動(dòng)回報(bào)執(zhí)行過程
- 理療(精簡)
- ETL執(zhí)行過程的優(yōu)化研究.pdf
- 廣告決策及執(zhí)行過程研究.pdf
- 鄉(xiāng)村學(xué)校少年宮建設(shè)項(xiàng)目執(zhí)行與活動(dòng)情況報(bào)告(精簡篇)
- 理療復(fù)習(xí)(精簡)
- kindle fire精簡
- 青少年學(xué)生體育政策執(zhí)行過程研究
- 設(shè)計(jì)書(精簡)
- ETL過程邏輯描述及其執(zhí)行.pdf
- oracle數(shù)據(jù)查詢語句執(zhí)行過程分析
- 國家助學(xué)貸款政策執(zhí)行過程研究.pdf
- 精確才能精簡
- 民事執(zhí)行過程中變更追加被執(zhí)行主體相關(guān)問題探討.pdf
- 講述親眼看過執(zhí)行死刑的過程 六
- 精簡心肌梗塞
- 隊(duì)章知識(shí)教育精簡
- 實(shí)驗(yàn)四-一條指令的執(zhí)行過程
- 青少年學(xué)生體育政策執(zhí)行過程研究.pdf
- 肩周炎精簡版
評(píng)論
0/150
提交評(píng)論