3.KPCR，等待链表，调度链表

最新推荐文章于 2022-09-05 17:09:57 发布
最新推荐文章于 2022-09-05 17:09:57 发布
阅读量276 收藏
点赞数
分类专栏： 逆向 系统 驱动 文章标签： 操作系统 内核 链表 指针 驱动程序
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Mikasys/article/details/109613170
版权
逆向 同时被 3 个专栏收录
30 篇文章 4 订阅
订阅专栏
驱动
30 篇文章 5 订阅
订阅专栏
系统
17 篇文章 2 订阅
订阅专栏

一、内容回顾

内容回顾

进程在内核中对应结构体：EPROCESS

线程在内核中对应结构体：ETHREAD

CPU在内核中也有一个对应的结构体：KPCR

二、KPCR结构

kd> dt _KPCR
nt!_KPCR
   +0x000 NtTib            : _NT_TIB
   +0x01c SelfPcr          : Ptr32 _KPCR
   +0x020 Prcb             : Ptr32 _KPRCB
   +0x024 Irql             : UChar
   +0x028 IRR              : Uint4B
   +0x02c IrrActive        : Uint4B
   +0x030 IDR              : Uint4B
   +0x034 KdVersionBlock   : Ptr32 Void
   +0x038 IDT              : Ptr32 _KIDTENTRY
   +0x03c GDT              : Ptr32 _KGDTENTRY
   +0x040 TSS              : Ptr32 _KTSS
   +0x044 MajorVersion     : Uint2B
   +0x046 MinorVersion     : Uint2B
   +0x048 SetMember        : Uint4B
   +0x04c StallScaleFactor : Uint4B
   +0x050 DebugActive      : UChar
   +0x051 Number           : UChar
   +0x052 Spare0           : UChar
   +0x053 SecondLevelCacheAssociativity : UChar
   +0x054 VdmAlert         : Uint4B
   +0x058 KernelReserved   : [14] Uint4B
   +0x090 SecondLevelCacheSize : Uint4B
   +0x094 HalReserved      : [16] Uint4B
   +0x0d4 InterruptMode    : Uint4B
   +0x0d8 Spare1           : UChar
   +0x0dc KernelReserved2  : [17] Uint4B
   +0x120 PrcbData         : _KPRCB

kd> dt _KPRCB
ntdll!_KPRCB
   +0x000 MinorVersion     : Uint2B
   +0x002 MajorVersion     : Uint2B
   +0x004 CurrentThread    : Ptr32 _KTHREAD
   +0x008 NextThread       : Ptr32 _KTHREAD
   +0x00c IdleThread       : Ptr32 _KTHREAD
   +0x010 Number           : Char
   +0x011 Reserved         : Char
   +0x012 BuildType        : Uint2B
   +0x014 SetMember        : Uint4B
   +0x018 CpuType          : Char
   +0x019 CpuID            : Char
   +0x01a CpuStep          : Uint2B
   +0x01c ProcessorState   : _KPROCESSOR_STATE
   +0x33c KernelReserved   : [16] Uint4B
   +0x37c HalReserved      : [16] Uint4B
   +0x3bc PrcbPad0         : [92] UChar
   +0x418 LockQueue        : [16] _KSPIN_LOCK_QUEUE
   +0x498 PrcbPad1         : [8] UChar
   +0x4a0 NpxThread        : Ptr32 _KTHREAD
   +0x4a4 InterruptCount   : Uint4B
   +0x4a8 KernelTime       : Uint4B
   +0x4ac UserTime         : Uint4B
   +0x4b0 DpcTime          : Uint4B
   +0x4b4 DebugDpcTime     : Uint4B
   +0x4b8 InterruptTime    : Uint4B
   +0x4bc AdjustDpcThreshold : Uint4B
   +0x4c0 PageColor        : Uint4B
   +0x4c4 SkipTick         : Uint4B
   +0x4c8 MultiThreadSetBusy : UChar
   +0x4c9 Spare2           : [3] UChar
   +0x4cc ParentNode       : Ptr32 _KNODE
   +0x4d0 MultiThreadProcessorSet : Uint4B
   +0x4d4 MultiThreadSetMaster : Ptr32 _KPRCB
   +0x4d8 ThreadStartCount : [2] Uint4B
   +0x4e0 CcFastReadNoWait : Uint4B
   +0x4e4 CcFastReadWait   : Uint4B
   +0x4e8 CcFastReadNotPossible : Uint4B
   +0x4ec CcCopyReadNoWait : Uint4B
   +0x4f0 CcCopyReadWait   : Uint4B
   +0x4f4 CcCopyReadNoWaitMiss : Uint4B
   +0x4f8 KeAlignmentFixupCount : Uint4B
   +0x4fc KeContextSwitches : Uint4B
   +0x500 KeDcacheFlushCount : Uint4B
   +0x504 KeExceptionDispatchCount : Uint4B
   +0x508 KeFirstLevelTbFills : Uint4B
   +0x50c KeFloatingEmulationCount : Uint4B
   +0x510 KeIcacheFlushCount : Uint4B
   +0x514 KeSecondLevelTbFills : Uint4B
   +0x518 KeSystemCalls    : Uint4B
   +0x51c SpareCounter0    : [1] Uint4B
   +0x520 PPLookasideList  : [16] _PP_LOOKASIDE_LIST
   +0x5a0 PPNPagedLookasideList : [32] _PP_LOOKASIDE_LIST
   +0x6a0 PPPagedLookasideList : [32] _PP_LOOKASIDE_LIST
   +0x7a0 PacketBarrier    : Uint4B
   +0x7a4 ReverseStall     : Uint4B
   +0x7a8 IpiFrame         : Ptr32 Void
   +0x7ac PrcbPad2         : [52] UChar
   +0x7e0 CurrentPacket    : [3] Ptr32 Void
   +0x7ec TargetSet        : Uint4B
   +0x7f0 WorkerRoutine    : Ptr32     void 
   +0x7f4 IpiFrozen        : Uint4B
   +0x7f8 PrcbPad3         : [40] UChar
   +0x820 RequestSummary   : Uint4B
   +0x824 SignalDone       : Ptr32 _KPRCB
   +0x828 PrcbPad4         : [56] UChar
   +0x860 DpcListHead      : _LIST_ENTRY
   +0x868 DpcStack         : Ptr32 Void
   +0x86c DpcCount         : Uint4B
   +0x870 DpcQueueDepth    : Uint4B
   +0x874 DpcRoutineActive : Uint4B
   +0x878 DpcInterruptRequested : Uint4B
   +0x87c DpcLastCount     : Uint4B
   +0x880 DpcRequestRate   : Uint4B
   +0x884 MaximumDpcQueueDepth : Uint4B
   +0x888 MinimumDpcRate   : Uint4B
   +0x88c QuantumEnd       : Uint4B
   +0x890 PrcbPad5         : [16] UChar
   +0x8a0 DpcLock          : Uint4B
   +0x8a4 PrcbPad6         : [28] UChar
   +0x8c0 CallDpc          : _KDPC
   +0x8e0 ChainedInterruptList : Ptr32 Void
   +0x8e4 LookasideIrpFloat : Int4B
   +0x8e8 SpareFields0     : [6] Uint4B
   +0x900 VendorString     : [13] UChar
   +0x90d InitialApicId    : UChar
   +0x90e LogicalProcessorsPerPhysicalProcessor : UChar
   +0x910 MHz              : Uint4B
   +0x914 FeatureBits      : Uint4B
   +0x918 UpdateSignature  : _LARGE_INTEGER
   +0x920 NpxSaveArea      : _FX_SAVE_AREA
   +0xb30 PowerState       : _PROCESSOR_POWER_STATE

三、重要成员介绍

1、KPCR介绍

  1. 当线程进入0环时，FS:[0]指向KPCR(3环时FS:[0] -> TEB)

  2. 每个CPU都有一个KPCR结构体(一个核一个)

  3. KPCR中存储了CPU本身要用的一些重要数据：GDT、IDT以及线程相关的一些信息。

struct	_NT_TIB
{
	+0x000 ExceptionList    : Ptr32_EXCEPTION_REGISTRATION_RECORD	//当前线程内核异常链表(SEH)，但你使用try/except语句会往这里加一个
	
	+0x004 StackBase        : Ptr32 Void
   	+0x008 StackLimit       : Ptr32 Void
	//当前线程内核栈的基址和大小

	+0x018 Self             : Ptr32 _NT_TIB	//指向自己(也就是指向KPCR结构) 这样设计的目的是为了查找方便，
}

struct	KPCR
{
	+0x01c SelfPcr          : Ptr32 _KPCR
	//指向自己，方便寻址，通过IDA分析可以知道不少系统dll都通过fs[0x1c]来指向自己	
	
	+0x020 Prcb             : Ptr32 _KPRCB
	//指向拓展结构体PRCB  
	
	+0x038 IDT              : Ptr32 _KIDTENTRY
	//IDT表基址
	+0x03c GDT              : Ptr32 _KGDTENTRY
	//GDT表基址

	+0x040 TSS              : Ptr32 _KTSS
	//指针，指向TSS，每个CPU都有一个TSS.

	+0x051 Number           : UChar
	//CPU编号：0 1 2 3 4 5。。。

	+0x120 PrcbData         : _KPRCB
	//拓展结构体

}

struct	KPRCB 
{	
	+0x004 CurrentThread    : Ptr32 _KTHREAD	// 当前线程
   	+0x008 NextThread       : Ptr32 _KTHREAD	// 即将切换的下一个线程
   	+0x00c IdleThread       : Ptr32 _KTHREAD 	// 空闲线程 这个类型应该是一个函数，指向IdleThread函数
}

四、等待/调度链表

上一节课我们讲了进程结构体EPROCESS(0x50和0x190)是2个链表，里面圈着当前进程所有的线程。

对进程断链，程序可以正常运行，原因是CPU执行与调度是基于线程的，进程断链只是影响一些遍历系统进程的API，并不会影响程序执行。

对线程断链也是一样的，断链后在Windbg或者OD中无法看到被断掉的线程，但并不影响其执行(仍然再跑)。

为什么线程断链之后程序还在运行？理由很简单，因为操作系统没有使用这个链表来调度线程，这个链表只是给我们看的，不是给系统看的！
在这里插入图片描述

1、33个链表

线程有3种状态：就绪、等待、运行

正在运行中的线程存储在KPCR中，就绪和等待的线程全在另外的33个链表中。
一个等待链表，32个就绪链表：

这些链表都使用了_KTHREAD(0x060)这个位置，也就是说，线程在某一时刻，只能属于其中一个圈。

2、等待链表

kd> dd KiWaitListHead

比如：线程调用了Sleep() 或者 WaitForSingleObject()等函数时，就挂到这个链表

3、调度链表

调度链表有32个圈，就是优先级:0 - 31 0最低 31最高 默认优先级一般是8

改变优先级就是从一个圈里面卸下来挂到另外一个圈上

这32个圈是正在调度中的线程：包括正在运行的和准备运行的

比如：只有一个CPU但有10个线程在运行，那么某一时刻，正在运行的线程在KPCR中，其他9个在这32个圈中。

4、查看调度链表

既然有32个链表，就要有32个链表头。

kd> dd KiDispatcherReadyListHead L70

5、版本差异

XP只有一个33个圈，也就是说上面这个数组只有一个，多核也只有一个.

Win7也是一样的只有一个圈，如果是64位的，那就有64个圈.

服务器版本：KiWaitListHead整个系统只有一个，但KiDispatcherReadyListHead这个数组有几个CPU就有几组

6、总结：

1、正在运行的线程在KPCR中

2、准备运行的线程在32个调度链表中(0 - 31级)，KiDispatcherReadyListHead 是个数组存储了这32个链表头.

3、等待状态的线程存储在等待链表中，KiWaitListHead存储链表头.

4、这些圈都挂一个相同的位置：_KTHREAD(0x060)

Mikasys
关注
专栏目录
4.等待链表与调度链表
My classmates
10-19 699
等待链表 kd>dd KiWaitListHead 比如:线程调用了Sleep()或者WaitForSingleObject()等函数时,就挂到这个双向链表, (查看等待线程) kd> dd KiWaitListHead kd> dt _KTHREAD 895fd230(表里成员) - 60 kd> dt _ETHREAD 895fd230(表里成员) - 60 _ETH...
滴水逆向进程与线程
若面朝大海边竹妮春暖花开的博客
11-06 1196
一、进程结构体 EPROCESS是0环进程结构体，PEB是三环进程结构体 EPROCESS的第一个成员为KPROCESS WaitForSingleObject可以等待对象、进程或线程，只要0环对象以DISPATCH_HEADER开头称为可等待对象 DirectoryTableBase为页目录表基址，是要填到Cr3中的值 windbg中dd PsActiveProcessHead查看链...
36 进程与线程之等待链表调度链表
qq_18059143的博客
11-29 362
进程结构体EPROCESS(0x50和0x190)是2个链表，里面圈着当前进程所有的线程。 对进程断链，程序可以正常运行，原因是CPU执行与调度是基于线程的，进程断链只是影响一些遍历系统进程的API，并不会影响程序执行。 对线程断链也是一样的，断链后在Windbg或者OD中无法看到被断掉的线程，但并不影响其执行(仍然再跑)。 1、33个链表 ...
进程线程002 等待链表 调度链表
鬼手的博客
01-01 659
文章目录前言等待链表33个链表调度链表版本差异总结 前言 进程结构体EPROCESS(0x50和0x190)是2个链表，里面圈着当前进程的所有线程。 对进程断链，程序可以正常运行，原因是CPU执行与调度是基于线程的，进程断链只是影响一些遍历系统进程的API，并不会影响程序执行。 对线程断链也一样，断链后在Windbg或者OD无法看到被断掉的线程，但并不影响线程执行。 等待链表 线程有三种状态：就绪...
等待链表 调度链表
qq_41490873的博客
05-29 168
等待链表 kd> dd KiWaitListHead 8055b088 861f83e0 862e7e08 00000011 00000000 8055b098 e57a42bd d6bf94d5 01000013 ffdff980 8055b0a8 ffdff980 804dd2cd 00000000 00000494 8055b0b8 00000000 ffdff9c0 8055...
Windows进程与线程学习笔记（四）—— 等待链表&调度链表
qq_41988448的博客
11-15 2200
Windows进程与线程学习笔记（四）—— 等待链表&调度链表前言要点回顾33个链表等待链表实验：分析等待链表中的线程所属的进程第一步：查看所属线程结构体：第二步：查看所属进程结构体调度链表 前言 一、学习自滴水编程达人中级班课程，官网：https://bcdaren.com 二、海东老师牛逼！ 要点回顾 进程结构体EPROCESS（0x50和0x190）是2个链表，里面圈着当前进程...
eprocess图.pdf
10-24
每个逻辑处理器都有一份_KPCR，它通常包含与当前处理器相关的状态信息，如当前线程的上下文、调度信息等。文档中提到的_KPCR位于_KPRCB之后的一个偏移位置。 ### CurrentThread (Ptr32_KTHREAD) CurrentThread是...
滴水逆向培训高级班
11-22
│ 004 等待链表_调度链表.mp41 m! T& `3 t' U& U# A- @+ _ │ 005 模拟线程切换.mp4& ?, D% H/ z- d# _& \$ X- X$ U │ 006 Windows线程切换_主动切换.mp4 │ 007 Windows线程切换_时钟中断切换.mp4/ s& N% Y5 B" @...
linux内核--进程调度（一）
鱼思故渊的专栏
09-29 9852
引言：无论是在批处理系统还是分时系统中，用户进程数一般都多于处理机数、这将导致它们互相争夺处理机。另外，系统进程也同样需要使用处理机。这就要求进程调度程序按一定的策略，动态地把处理机分配给处于就绪队列中的某一个进程，以使之执行。   进程调度的具体功能可总结为如下几点：     作为进程调度的准备，进程管理模块必须将系统中各进程的执行情况和状态特征记录在各进程的PCB表中。并且，根据各
等待链表_调用链表、KPCR
qq_18811919的博客
03-30 672
KPCR KPCR:CPU控制区（Process Control Region） 在逆向操作系统内核中存在三个关键的结构体， 分别是EPRCOESS(进程结构体)、ETHREAD(线程结构体)、KPCR(CPU控制区) 每一个CPU都有一个KPCR结构体用于存储一些数据。 KPCR类似于线程结构体的一个副本用于快速查询。 KPCR介绍 1.当线程进入0环时，FS:[0]指向KPCR（3环时指向FS:[0]->TEB） 2.每个CPU都有一个KPCR结构体(一个核心一个) 3.KPCR中存储了CPU本
利用线程调度链表来检测进程的代码
08-01
利用线程调度链表来检测进程的代码
使用Windows的分析等待链（analyze wait chain）来诊断没用响应的应用
weixin_30602505的博客
09-11 1461
博客搬到了fresky.github.io - Dawei XU，请各位看官挪步。最新的一篇是：使用Windows的分析等待链（analyze wait chain）来诊断没用响应的应用。 转载于:https://www.cnblogs.com/fresky/p/4802137.html...
多线程死锁的产生以及如何避免死锁
热门推荐
jayxu无捷之径的博客
07-13 11万+
一、死锁的定义 多线程以及多进程改善了系统资源的利用率并提高了系统 的处理能力。然而，并发执行也带来了新的问题——死锁。所谓死锁是指多个线程因竞争资源而造成的一种僵局（互相等待），若无外力作用，这些进程都将无法向前推进。 下面我们通过一些实例来说明死锁现象。 先看生活中的一个实例，在一条河上有一座桥，桥面很窄，只能容纳一辆汽车通行。如 果有两辆汽车分别从桥的左右两端驶上该桥，则会出现
KPCR
莫灰灰的专栏
05-29 2万+
由于Windows需要支持多个CPU, 因此Windows内核中为此定义了一套以处理器控制区(Processor Control Region)即KPCR为枢纽的数据结构, 使每个CPU都有个KPCR. 其中KPCR这个结构中有一个域KPRCB(Kernel Processor Control Block)结构, 这个结构扩展了KPCR. 这两个结构用来保存与线程切换相关的全局信息.  通常fs
C# 获取进程或线程的相关信息
xinsuanwencun的专栏
12-16 1070
C# 获取进程或线程的相关信息   using System; using System.Collections.Generic; using System.Linq; using System.Text; using System.Diagnostics; namespace ConsoleApp {     class ProcessDo     {
C# 通过进程名获进程的标题、程序路径、启动时间等
喜欢自学并分享经验的技术宅
09-05 2252
/模块入口地址(内存起始地址)IntPrt BaseAddress = ps[LastNum].MainModule.BaseAddress;由于.NET框架的安全性控制，所以对于操作内存数据还需要借助系统的API来实现。这个数组里面的数据还是非常多的，包括可以获取文件版本信息，占用内存等。找了一圈也没发现完整的介绍，通过东拼西凑和自己调试现将经验分享出来。
操作系统笔记—进程的死锁
qq_54684701的博客
09-14 438
死锁的概念 死锁：在并发环境下，各进程因竞争资源而造成的一种互相等待对方手里的资源，导致各进程都被阻塞，都无法向前推进（至少有两个或两个以上的进程同时发生） 饥饿：长时间得不到想要的资源，某进程无法向前推进。（可能只有一个进程发生饥饿，发生饥饿的进程可能是阻塞态（得不到I/O设备），也可能是就行态（得不到处理机）） 死循环：某种进程执行过程中一直跳不出某个循环的现象。（可以在处理机上循环，可能处于运行态） 死锁和饥饿是操作系统应该解决的问题，死循环饿是管理者的问题。 死锁产生的必要条件： 1.互斥条件：只有
EEMD与进化KPCR在复杂时间序列自适应预测中的应用
3. **C-C方法重构相空间**：C-C方法（也称为互信息法或康科维奇距离法）是一种用于重构时间序列相空间的方法，它可以帮助识别时间序列的动态行为，并为后续的预测模型构建提供基础。 4. **粒子群优化（PSO）算法**...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值