win7x64下的kpcr结构和kprcb结构

最新推荐文章于 2023-06-23 22:22:26 发布
最新推荐文章于 2023-06-23 22:22:26 发布
阅读量3k 收藏 2
点赞数
分类专栏： 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/baidu_36226689/article/details/70145147
版权
本文详细探讨了Windows 7 x64环境下KPCR（Kernel Processor Control Region）和KPRCB（Kernel Process Control Block）的数据结构，通过Windbg调试工具展示了它们的关键字段及其作用，揭示了操作系统内核如何管理和调度处理器。
摘要由CSDN通过智能技术生成


//翻网页看全是x86的，然后我就自己来找x64的

//下面都是windbg调的


nt!_KPCR

   +0x000 NtTib            : _NT_TIB
   +0x000 GdtBase          : Ptr64 _KGDTENTRY64
   +0x008 TssBase          : Ptr64 _KTSS64
   +0x010 UserRsp          : Uint8B
   +0x018 Self             : Ptr64 _KPCR
   +0x020 CurrentPrcb      : Ptr64 _KPRCB
   +0x028 LockArray        : Ptr64 _KSPIN_LOCK_QUEUE
   +0x030 Used_Self        : Ptr64 Void
   +0x038 IdtBase          : Ptr64 _KIDTENTRY64
   +0x040 Unused           : [2] Uint8B
   +0x050 Irql             : UChar
   +0x051 SecondLevelCacheAssociativity : UChar
   +0x052 ObsoleteNumber   : UChar
   +0x053 Fill0            : UChar
   +0x054 Unused0          : [3] Uint4B
   +0x060 MajorVersion     : Uint2B
   +0x062 MinorVersion     : Uint2B
   +0x064 StallScaleFactor : Uint4B
   +0x068 Unused1          : [3] Ptr64 Void
   +0x080 KernelReserved   : [15] Uint4B
   +0x0bc SecondLevelCacheSize : Uint4B
   +0x0c0 HalReserved      : [16] Uint4B
   +0x100 Unused2          : Uint4B
   +0x108 KdVersionBlock   : Ptr64 Void
   +0x110 Unused3          : Ptr64 Void
   +0x118 PcrAlign1        : [24] Uint4B

   +0x180 Prcb             : _KPRCB


nt!_NT_TIB
   +0x000 ExceptionList    : Ptr64 _EXCEPTION_REGISTRATION_RECORD
   +0x008 StackBase        : Ptr64 Void
   +0x010 StackLimit       : Ptr64 Void
   +0x018 SubSystemTib     : Ptr64 Void
   +0x020 FiberData        : Ptr64 Void
   +0x020 Version          : Uint4B
   +0x028 ArbitraryUserPointer : Ptr64 Void
   +0x030 Self             : Ptr64 _NT_TIB


nt!_KPRCB
   +0x000 MxCsr            : Uint4B
   +0x004 LegacyNumber     : UChar
   +0x005 ReservedMustBeZero : UChar
   +0x006 InterruptRequest : UChar
   +0x007 IdleHalt         : UChar
   +0x008 CurrentThread    : Ptr64 _KTHREAD
   +0x010 NextThread       : Ptr64 _KTHREAD
   +0x018 IdleThread       : Ptr64 _KTHREAD
   +0x020 NestingLevel     : UChar
   +0x021 PrcbPad00        : [3] UChar
   +0x024 Number           : Uint4B
   +0x028 RspBase          : Uint8B
   +0x030 PrcbLock         : Uint8B
   +0x038 PrcbPad01        : Uint8B
   +0x040 ProcessorState   : _KPROCESSOR_STATE
   +0x5f0 CpuType          : Char
   +0x5f1 CpuID            : Char
   +0x5f2 CpuStep          : Uint2B
   +0x5f2 CpuStepping      : UChar

最低0.47元/天 解锁文章
baidu_36226689
关注
专栏目录
深入Windows x64调试
03-03
在深入探讨Windows x64平台的调试过程之前，我们需要了解一些基础的概念和术语。在x64架构中，主要的变化之一是寄存器的使用和优化方法。编译器针对64位架构的优化是关键所在，因为这些优化能够显著影响程序的执行...
论文研究-基于KPCR结构的Windows物理内存分析方法.pdf
09-08
介绍了计算机在线取证方式的优势，总结了目前国外在计算机物理内存分析的研究现状及其存在的不足，在此基础上提出了一种新的Windows物理内存分析方法——基于KPCR结构的物理内存分析方法。与传统的物理内存方法相比，这种方法更为可靠，适用范围更广，具有很高的实用价值。
64位系统的KPCR结构
qq_41490873的博客
02-15 463
查看CPU有多少核 1: kd> dd KeNumberProcessors fffff807`33979384 00000004 01000000 000a3008 884b0640 fffff807`33979394 ffffbd84 0002625a 00002120 884632c0 fffff807`339793a4 ffffbd84 00000000 00000000 884ea220 fffff807`339793b4 ffffbd84 884b1ae0 ffffbd84 000
KPCR
For Geek
05-06 483
ring3下，fs寄存器的指向TEB，ring0下，fs寄存器指向KPCR，KPCR即Kernel Processor Control Region，处理器控制区域，因为Windows是需要支持多个CPU的，所以为每一个CPU在内核空间安排一个KPCR的结构。 KPCR结构如下： nt!_KPCR +0x000 NtTib : _NT_TIB +0x01c Sel...
35 进程与线程之KPCR
qq_18059143的博客
11-29 378
如果想逆向分析操作系统代码的，需要对段页的汇编代码熟悉，还需要知道三个结构体，进程结构体EPROCESS,ETHREAD,KPCR 下面来介绍KPCR KPCR是描述CPU的，准确说是描述当前正在运行的CPU的数据。 1、KPCR介绍 1) 当线程进入0环时，先切换FS，因为FS指向TEB。FS:[0]指向KPCR(3环时FS:[0] -> TEB) 2) 每个CPU都有一个KPCR...
x64 番外篇——保护模式相关.doc
07-13
在 IA-32e 模式下，代码段和数据段仍使用 64 位描述符，强制平坦（FS，GS 除外）；TSS 段描述符扩展到 128 位，TSS 段不用来任务切换，主要保存一堆 rsp 备用指针；中断门描述符扩展到 128 位。 在 x64 架构中，...
3.KPCR
史D芬周
02-26 282
3.KPCR KPCR: CPU控制区(Processor Control Region) 当线程进入0环时, FS:[0]指向KPCR(3环时FS[0]-> TEB)每个CPU都有一个KPCR结构体(一个核一个)KPCR中存储了CPU本身要用的一些重要数据: GDT, IDT以及线程相关的一些信息。在winbbg中查看KPCR结构体 ...
windows第三大结构体--KPCR
最新发布
qq_30528603的博客
06-23 710
前面我们介绍了windows的两大结构体，一个是进程结构体，一个是线程结构体。KPCR是什么呢，是用于描述CPU的结构体。每一个CPU都有一个这样的结构体来描述CPU干了什么事。这三个成员和线程切换有关，第一个描述了当前在跑的线程，第二个描述了一会要切换的线程是谁，第三个是当没有线程需要执行的时候，执行的空闲线程是谁。在KPCR最后一个成员叫PrcbData,他是一个扩展结构体，也是放了很多有用的信息。1.在当线程切换的时候，也就是线程从3环进入0环时，FS：[0]->TEB切换成KPCR。
Windows内核基础之KPCR
tutucoo
12-07 1133
1.概述 KPCR是CPU的一个结构体，它就像EPROCESS对于进程，ETHREAD对于线程，KPCR对于CPU是非常重要的，它的全称是Processor Control Region。 fs:[0]在3环时指向TEB，在0环时指向KPCR，每一个CPU核心都对应着一个KPCR，KPCR存储了CPU需要使用的一些重要信息，比如GDT\IDT以及线程相关的信息 2.KPCR结构体 nt!_KPCR...
KPCR学习
kernweak的博客
09-03 1816
KPCR：CPU控制区（Processor Control Region） KPCR介绍 KPCR相当于一个副本，存储着线程相关的一些重要信息，这样CPU在处理时就不用查线程了。 1) 当线程进入0环时，FS:[0]指向KPCR(3环时FS:[0] -> TEB) 2) 每个CPU都有一个KPCR结构体(一个核一个) 3) KPCR中存储了CPU本身要用的一些重要数据：GDT、...
驱动-KPCR
chengtoreal的博客
03-12 214
KPCR（CPU控制区） KPCR存储CPU本身要用的一些重要数据：GDT、IDT以及线程相关的信息。 当线程进入0环时，FS:[0]指向KPCR(3环时FS:[0] -> TEB) 每个CPU都有一个KPCR结构体(一个核一个) windbg指令 dd KiProcessorBlock 查看KPCR KPCR结构体 0x01c SelfPcr 指向KPCR自己 0x020 Prcb 指向拓展的_KPRCB结构体 0x038 IDT IDT表基址 0x03c GDT GDT表基址 0x040
Windows进程与线程学习笔记（三）—— KPCR
qq_41988448的博客
11-12 1297
Windows进程与线程学习笔记（三）—— KPCR前言KPCR+0x000 NtTib : _NT_TIB+0x120 PrcbData : _KPRCB 前言 一、学习自滴水编程达人中级班课程，官网：https://bcdaren.com 二、海东老师牛逼！ KPCR 描述：CPU控制区（Processor Control Region） 当线程进入...
KPCR与进程.md
leeham的博客
10-07 654
KPCR与进程 KPCR KPCR1 KPCR2 (Kernel) Processor Control Region a KPCR for each logical processor KPCR is the means through which the kernel manages them(processors). 由于Windows需要支持多个CPU, 因此Windows内核中为此定义了...
EEMD与进化KPCR在复杂时间序列自适应预测中的应用
"这篇论文探讨了一种基于集合经验模态分解（EEMD）和进化核主成分回归（KPCR）的复杂时间序列自适应预测建模方法。它主要针对具有非线性、非平稳和多尺度特征的时间序列数据，通过EEMD算法对原始序列进行分解，然后...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值