2022年windows系统调用 .pdf

《2022年windows系统调用 .pdf》由会员分享，可在线阅读，更多相关《2022年windows系统调用 .pdf（4页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、Windows系统调用浅析默认分类2009-11-05 17:39:15 阅读 390 评论 0 字号：大中小订阅网上关于 Linux 系统调用的资料很多了，介绍都很详细。而最近需要了解下Windows 系统调用，发现Windows 的系统调用机制比 Linux 的复杂很多，可能是初次接触比较陌生的缘故。我在此只是进行简单的分析，基本上都是查看别人的资料，再加上自己的理解。（说明：毛得操老师写的关于 Windows 内核源码情景分析 是本很好的参考资料，建议大家有兴趣的看看）X86 体系结构提供了4 个特权级（ring 0,1,2,3），Windows 只使用了其中的2 个特权级，分别是rin

2、g 0（内核空间），ring 3（用户空间）。在默认情况下，Windows 将低 2GB 的地址空间。与进程相关的结构主要包括进程块（EPROCESS）、进程环境块（PEB）、线程块（ETHREAD）、线程环境块（TEB），它们之间的关系如下图：（1）进程块（EPROCESS）：每个 Windows 进程通过进程块来描述，其中包含于进程相关的属性，同时还指向其他的数据结构。（2）进程环境块（PEB）：存放进程信息，每个进程都有自己的PEB 信息。位于用户地址空间。在Win 2000 下，进程环境块的地址对于每个进程来说是固定的，在0 x7FFDF000处，这是用户地址空间，所以程序能够直接访问

3、。准确的PEB名师资料总结-精品资料欢迎下载-名师精心整理-第 1 页，共 4 页 -地址应从系统的EPROCESS结构的 0 x1b0 偏移处获得，但由于EPROCESS在系统地址空间，访问这个结构需要有ring0 的权限。还可以通过TEB 结构的偏移0 x30 处获得 PEB 的位置，FS 段寄存器指向当前的TEB 结构：mov eax,fs:0 x30 mov PEB,eax 在用户态下 WinDbg 中可用命令$proc 取得 PEB 地址。（3）线程块（ETHREAD）：Windows 线程通过线程执行体来描述，除了TEB 之外的结构都位于内核地址空间。（4）线程环境块（TEB）：系

4、统在此 TEB 中保存频繁使用的线程相关的数据。位于用户地址空间，在比PEB 所在地址低的地方。进程中的每个线程都有自己的一个TEB。一个进程的所有TEB 都以堆栈的方式，存放在从0 x7FFDE000开始的线性内存中，每4KB 为一个完整的TEB，不过该内存区域是向下扩展的。在用户模式下，当前线程的TEB 位于独立的 4KB段，可通过CPU 的 FS 寄存器来访问该段，一般存储在FS:0。在用户态下WinDbg 中可用命令$thread 取得 TEB 地址。FS 寄存器保存了TEB 结构的指针，TEB 结构如下：位置长度描述FS:00 4 当前结构化异常处理帧FS:20h 4 进程 ID F

5、S:24h 4 线程 ID FS:30h 4 PEB 的线性地址在 Intel x86 架构上的 Windows 系列，Windows 2000通过执行 int 0 x2e 来激活系统调用；而Windows 2003/XP通过执行 sysenter(Intel)/syscall(AMD)指令来进行系统调用。Windows 操作系统以动态链接库的方式导出大量API 供应用程序调用，主要分为2 类：（1）运行在用户态，可供应用程序直接调用。（2）运行在内核态，需要陷入（trap）才能调用，称为Native API，在 ntoskrnl.exe中实现，通过 ntdll.dll 进行调用。名师资料总结

6、-精品资料欢迎下载-名师精心整理-第 2 页，共 4 页 -在进行系统调用之前，EAX 中保存系统调用服务ID，而 EDX 中保存了调用参数的堆栈指针，然后引发INT 2Eh 中断。（1）Windows 2000中的系统调用执行过程：ServiceId：请求的中断服务ID ParameterTable：中断服务对应的参数ParamTableBytes：参数个数信息添加 Hook 的过程：先在系统中找到IDT，然后确定 2Eh 在 IDT 中的地址，最后将用户定义的函数地址去取代它。当用户态进程一旦调用系统服务就会触发Hook 函数。名师资料总结-精品资料欢迎下载-名师精心整理-第 3 页，共 4 页 -（2）Windows XP中系统调用执行流程：其中 rdmsr 是获取 IA_SYSEN TER_EIP 寄存器中的地址，即中断处理程序地址，不用进行上述查找过程。名师资料总结-精品资料欢迎下载-名师精心整理-第 4 页，共 4 页 -