在Windows程序当中,每一个进程对象都有4G的虚拟内存。当一个可执行文件在内存中被创建进程时,设定用户空间为2G,内存分布如下:
共享的内核分区是由所有的进程对象共同享用的。
进程的创建过程:当用户双击运行一个可执行文件对象的时候,操作系统就会通过调用explorer.exe进程对象来为当前的可执行程序创建一个新的进程对象。Explorer.exe进程对象将会调用CreateProcess()函数对象来实现进程对象的创建操作。
(1)映射exe文件:当双击运行一个可执行文件时,开辟一块用户独享的内存空间1 0000到7ffe ffff.然后根据当前PE的ImageBase来决定将目标文件映射到内存的指定位置当中区。
(2)创建内核对象EPROCESS.每一个进程对象都有一个自己的EProcess(EP)对象,该对象存放在共享内核分区当中。
(3)映射系统动态链接库(ntdll.dll)到用户分区当中去。
(4)创建线程内核对象EThread.该线程对象也存放与共享内核分区当中。
(5)根据当前可执行文件PE结构当中的导入表来加载其所需要的其它dll(动态链接库)。所有资源准备完毕之后,线程对象开始调用相应的资源来对目标文件对象进行执行。