简介
编码的历史 首先美国人发明ASCII 0-7F比较常用 后来其它国家也要使用电脑, 于是用80以后的两个编码来组成一个字符 但是这样会导致国家与国家之间解析问题,于是出现Unicode编码方案,只是一种方案而已,将世界上所有字符都有唯一对应的编码 这种方案有Utf16存储,即以两个字节为单位存储一个字符,这样最多四个字节就能表示所有字符 但是会浪费空间,对于A这种本来一个字节就可以的字符也需要两个字节,在网络传输中十分不友好,于是出现了UTF8 变长存储方案】判断字符编码处于哪一个区间,然后按照对应的规则进行编码。但是缺点就是解析麻烦。 为了标识你是哪一个存储方案,在文档前面会有几个字节BOM byte order mark
sys32
在C盘
的WINDOWS
目录下面有System32
和SysWOW64
两个文件夹,存放的是常用dll
32
里存放的是64位dll,64
里面存放的是32位dll
常用dll介绍
kernel32.dll
最核心的功能模块,管理内存,进程和线程相关的函数User32.dll
是Windows用户界面相关应用程序接口,如创建窗口和发送消息等GDI32.dll
全称是Graphical Device Interface
图形设备接口,包含用于画图和显示文本的函数
进程内存空间的地址划分
x86 32位Windows 空指针赋值区 0x 00000000 - 0x 0000 FFFF
用户模式区 0x 00010000 - 0x 7FFEFFFF
64kb禁入区 0x 7FFF0000 - 0x 7FFFFFFF
内核 0x 80000000 - 0x FFFFFFFF
创建进程
任何进程都是别的进程创建的 CreateProcess() 进程必须至少有一个线程,因此在创建进程的同时会创建一个线程 双击创建的进程是由Explorer
进程创建的
映射EXE文件 创建内核对象EProcess 映射系统DLLntdll.dll
创建线程内核对象ETHREAD 系统启动线程
映射DLL 在这里可以进行狸猫换太子,我们可以把自己的程序映射到进程中,这样执行的时候,就是我们的程序在执行 线程开始执行
StartUP
每个进程被创建的时候都会有一个结构体STARTUPINFO
,由它的父进程进行填充 然后就可以作为一个反调试的手段,因为通过Explorer
创建的进程,填充值都是00001
,如果不是,则表明在被调试
void AntiDebug ( )
{
STARTUPINFO si;
GetStartupInfo ( & si) ;
}
lpProcessInformation
BOOL CreateProcessA (
LPCSTR lpApplicationName, [ 对象名称和所在目录]
LPSTR lpCommandLine, [ 命令行]
LPSECURITY_ATTRIBUTES lpProcessAttributes, [ 不继承进程句柄]
LPSECURITY_ATTRIBUTES lpThreadAttributes, [ 不继承线程句柄]
BOOL bInheritHandles, [ 不继承句柄]
DWORD dwCreationFlags, [ 没有创建标志]
LPVOID lpEnvironment, [ 使用父进程环境变量]
LPCSTR lpCurrentDirectory, [ 使用父进程目录作为当前目录,可以自己设置目录]
LPSTARTUPINFOA lpStartupInfo, [ in参数] 初始化结构体信息
LPPROCESS_INFORMATION lpProcessInformation [ out 参数]
) ;
typedef struct _PROCESS_INFORMATION {
HANDLE hProcess; [ 进程句柄]
HANDLE hThread; [ 线程句柄]
DWORD dwProcessId; [ 进程ID]
DWORD dwThreadId; [ 线程ID]
} PROCESS_INFORMATION, * PPROCESS_INFORMATION, * LPPROCESS_INFORMATION;
返回失败
win32中有一些是通过函数返回值来告诉你执行成功或者失败 但也有一些函数不是通过返回值,因此需要通过GetLastError()
来获取错误返回码
句柄
每个进程 都有一个句柄表 进程,线程, 文件,等在创建的时候,在内核中都有一个对应的结构体,这些结构体由内核负责管理,这样的对象叫做内核对象 通过CloseHandle()
处理的对象都具有内核对象
The CloseHandle function closes handles to the following objects:
Access token
Communications device
Console input
Console screen buffer
Event
File
File mapping
I/ O completion port
Job
Mailslot
Memory resource notification
Mutex
Named pipe
Pipe
Process
Semaphore
Thread
Transaction
Waitable timer
引申出一个问题,一个进程要如何使用这些内核对象,最简单的方法是在创建内核对象的时候,直接将内核对象的地址返回给该进程,但是如果进程在使用过程中修改了地址,访问到了内核无法访问的内存,就会导致直接蓝屏。为了解决这个问题,就提出了句柄表 【只有进程 内核对象[EPROCESS ]具有句柄表】 句柄表本身是一个映射表,进程所创建的内核对象和其ID值之间的映射,因此当使用某个内核对象的时候,进程就给出其句柄表ID
继承
一个内核对象可以通过LPSECURITY_ATTRIBUTES lpEventAttributes
来定义自己是否可以被继承到子进程中 同时一个进程也可以决定自己是否要继承父进程,如果要继承父进程,那么所有可以被继承的内核对象都会被继承到句柄表中 内核对象可以共享,A进程创建了FileC,内核中会创建其内核对象C,可以通过B进程OpenProcess()
打开该内核对象C 因此在CloseHandle()
的时候,只是把内核对象的引用减一,当内核对象的引用为0的时候,就会销毁[除了线程 ] 进程中的线程不死,那么进程就不会死【想要关闭一个线程,必须要先关闭线程,然后确保其引用计数为0 】 只要创建的对象中含有安全描述符LPSECURITY_ATTRIBUTES lpEventAttributes,
,那么就是一个内核对象
ID与句柄
操作系统有一个全局句柄表,里面包含了所有正在运行的进程和线程 PID唯一但可变
HANDLE OpenProcess (
DWORD dwDesiredAccess,
BOOL bInheritHandle,
DWORD dwProcessId
) ;
BOOL TerminateProcess (
HANDLE hProcess,
UINT uExitCode
) ;