Windows进程与线程---2

最新推荐文章于 2022-02-13 20:34:17 发布
最新推荐文章于 2022-02-13 20:34:17 发布
阅读量358 收藏 1
点赞数
分类专栏： Windows操作系统 文章标签： Windows 操作系统
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_40890756/article/details/100188956
版权
本文详细介绍了Windows操作系统中进程和线程的创建过程，包括MmCreateProcessAddressSpace在进程空间格局中的作用，NtCreateProcess和NtCreateThread如何创建进程和线程，以及如何初始化PEB和Teb。同时，讨论了进程环境块的建立、线程堆栈的创建，以及如何通过CreateProcessW实现完整进程创建流程。
摘要由CSDN通过智能技术生成

进程空间的格局的总结

  • Windows用户进程空间的格局
    • 用户进程的最低地址为MM_LOWEST_USER_ADDRESS即0x10000,最高地址为MM_HIGHEST_USER_ADDRESS即0x8000 0000 - 0x10000 - 1为用户空间可访问的最大地址
    • 另外有一个特殊地址KI_USER_SHARED_DATA 在系统空间的0xffdf0000处 而用户是可以访问的 为此有一个指针SharedUserData可以访问到该地址 该地址起始的数据结构为KUSER_SHARED_DATA用以两个空间共享的一些核心数据！！！
    • 为用户空间创建格局的中心函数是MmCreateProcessAddressSpace
      • 首先调用MmInitializeAddressSpace初始化本进程的MADDRESS_SPACE结构 然后对于MM_HIGHEST_USER_ADDRESS开始的0x10000地址范围设置成NO_ACCESS属性
      • 然后将飞地即SharedUserData+Page_Size之后的地址区间设置为不可访问 所以实际访问的是一个页面
      • 如果存在可执行映像的文件映射区 调用MmMapViewOfSection将共享映射区代表的文件映射到以ImageBaseAddress开始的地址处
    • peb即进程环境块的建立是通过MmCreatePeb建立的 内部调用MiCreatePebOrTeb为peb分配空间将环境块建立在0x7ffdf000处 然后由EPROCESS结构的域来初始化Peb 并根据可执行映像设置PEB中与EXE映像有关的字段 值得注意的是peb之后是存储堆的指针数组！！！
    • 对peb的ProcessParameters域的初始化是非常重要的 它是由单独的函数来实施的 即BasepInitializeEnvironment
      • 首先初始化四个重要的字符串即DllPath，ImageName，CommandLine，CurrentDirectory
      • 然后调用RtlCreateProcessParameters准备好一个新的参数块并将之前的DllPath，ImageName，CommandLine，CurrentDirectory信息填入到其中
      • 接着对ProcessParameters的Environment进行初始化将环境变量块写入新创建进程的用户空间中由于用用户自己管理 所以总是在0x10000处的地方
      • 最后将ProcessParameters通过NtAllocateVirtualMemory和NtWriteVirtualMemory将参数块写入新创进程的用户空间中
    • 线程的创建主要是BasepCreateFirstThread来进行 主要涉及到三步
      • BasepCreateStack对于进程中的每个线程而言 最重要的就是堆栈 注意这里创建的是用户空间的堆栈 而不是系统堆栈
        • 创建堆栈初始的提交大小和保留大小取决于系统的一些信息 对于为自身调用BasepCreateStack而言 采用的Reserve和Commit大小是可执行映像里的信息 对于不是为本身进程而言就需要使用NtQuerySystemInformation获取系统配置信息 用它的参数作为保留和提交大小(假如参数给定的提交和保留大小为
最低0.47元/天 解锁文章
Lun3r-
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Windows进程与线程---1
For Geek
07-02 1124
概述 相比于Linux中的进程管理，即创建一个线程的同时创建一个进程。而Windows中却不是这样，它是先创建一个进程作为容器，然后创建第一个线程，也就是对于CreateProcess而言，它先调用NtCreateProcess创建进程，然后调用NtCreateThread创建进程的第一个线程。 Windows进程的用户空间 一些重要的宏如下 #define MM_HIGHEST_USER_ADD...
windows进程和线程
xiaodidadada的博客
02-16 402
本文章是作者在学习《windows内核原理与实现》一书时的读书笔记第四篇：windows进程和线程进程：各种资源的容器，定义了一个地址空间作为基本的执行环境线程：一个指令执行序列。可以直接访问所属进程的资源多进程模型：①伪并行：计算机只有一个cpu将处理器的时间细分，轮流执行多个任务，用户感觉任务在被同时执行多个程序②真并行：多个cpu，多个任务在多个cpu上并行执行。为了实现上述功能操作系统需要...
windows下进程与线程
weixin_30369087的博客
09-20 87
windows下进程与线程 Windows是一个单用户多任务的操作系统，同一时间可有多个进程在执行。进程是应用程序的运行实例，可以理解为应用程序的一次动态执行；而线程是CPU调度的单位，是进程的一个执行单元。一个进程可以有多个线程，而一个线程只能从属于一个进程。 进程包含文本、数据、堆栈片段一级进程自身的资源（比...
Windows和Linux下进程、线程理解
super_chris的专栏
06-20 4063
对于windows来说，进程和线程的概念都是有着明确定义的，进程的概念对应于一个程序的运行实例(instance)，而线程则是程序代码执行的最小单元。也就是说windows对于进程和线程的定义是与经典OS课程中所教授的进程、线程概念相一致的。提供API，CreateThread()用于建立一个新的线程，传递线程函数的入口地址和调用参数给新建的线程，然后新线程就开始执行了。windows
Windows——进程与线程
qq_44745063的博客
02-13 1191
作者：小 琛 欢迎转载，请标明出处 文章目录进程与线程的概念关于进程创建进程进程句柄和标识符终止进程父子进程的继承有关环境变量关于线程创建线程线程句柄和标识符挂起线程执行线程的同步终止线程线程池 进程与线程的概念 应用程序包含一个或多个进程。进程具有虚拟地址空间、可执行代码、系统对象的打开句柄、安全上下文、唯一进程标识符、环境变量、优先级类、最小和最大工作集大小，以及至少一个执行线程。 线程 是操作系统向其分配处理器时间的基本单元。线程 是进程中可计划执行的实体。 进程的所有线程共享其虚拟地址空间和系统资
进程与线程--小练习
02-19
在"进程与线程--小练习"这个主题中，可能包含了一些实践性的例子，比如创建和管理进程、线程的示例，或者展示了如何使用操作系统提供的API来实现进程间通信和线程同步。这些练习可以帮助学习者更好地理解和掌握进程...
buuton-combo.rar_进程与线程
最新发布
09-23
"buuton-combo.rar_进程与线程"这个压缩包文件似乎包含了一系列关于如何在编程中利用这些概念的示例代码和资源。下面将详细阐述这两个概念以及它们在实际编程中的应用。 首先，进程是操作系统分配资源的基本单位，...
进程相关模块-3.rar
03-29
这个"进程相关模块-3"的压缩包可能包含了以上部分或全部内容，可能是针对特定操作系统的，如Linux或Windows，也可能涉及了编程语言中的进程管理API，如POSIX的`pthread`库或Windows的`CreateProcess`函数。...
Windows6.1-KB2533623-x32x64
07-21
标签“Windows Windows6.1-KB253 kernel32辅助”提到了“kernel32”，这是一个核心的Windows系统动态链接库，它包含了操作系统与应用程序之间的许多关键功能，如内存管理、进程和线程创建以及文件I/O操作。...
fgrf-susiness.rar_进程与线程_MultiPlatform_
08-11
标题中的“fgrf-susiness.rar_进程与线程_MultiPlatform_”表明这是一个关于进程与线程，并且跨多平台的技术主题。描述中的“File cutting”可能指的是文件分割操作，这在处理大文件时常见，尤其是为了方便传输或者...
Windows编程(8)|进程与线程
bizhu的专栏
08-15 3454
一. 进程与线程 1. 进程  (1). 进程是资源的申请,调度和独立运行的单位,每个进程拥有自己独立的内存地址,  (2). 进程是由两部分组成:       1.内核对象,系统使用内核对象来管理进程,并且内核对象也是系统用来存放进程的统计信息的地方       2.
Windows进程和线程
km的博客
04-02 632
整理关于Windows进程和线程的一些知识。如果有什么不对，希望有人可以提出
Windows进程与线程
cw312644167的博客
06-13 472
进程的组成进程是惰性的 进程要做任何事情, 都必须让线程来运行 线程执行进程地址空间中包含的代码 一个进程可以拥有多个线程 所有的线程都能在进程的地址空间中"同时"运行代码 每个线程都有它自己的一组CPU寄存器和自己的堆栈 每个进程必须有一个线程 当系统创建一个进程时, 会自动创建第一个线程, 这个线程我们称为主线程 如果没有线程要执行进程地址空间中的代码, 进程就失去了存在的意义 此时系统会自动销
Windows下进程与线程
HHHUANG
04-06 950
进程 1. 进程的概念 进程就是操作系统上一个正在运行的程序的一个实例。由两部分构成： 一个内核对象，操作系统用来管理进程； 一个地址空间，包含所有可执行文件或DLL模块的代码和数据。另外还包含，动态内存分配（线程堆栈和堆的分配）。 2. 线程的概念 线程是位于进程中的执行单元，它是CPU调度的基本单元。与进程一样，也包含两个部分： 内核对象，操作系统用来管理线程； 线程栈， 用...
进程与线程总结（比较全面）
q_all_is_well的博客
10-11 476
1.进程和线程 1.1 概述: 进程是具有一定独立功能的程序关于某个数据集合上的一次运行活动,进程是系统进行资源分配和调度的一个独立单位. 线程是进程的一个实体,是CPU调度和分派的基本单位,它是比进程更小的能独立运行的基本单位.线程自己基本上不拥有系统资源,只拥有一点在运行中必不可少的资源(如程序计数器,一组寄存器和栈),但是它可与同属一个进程的其他的线程共享进程所拥有的全部资源. 一个...
使用IDA反汇编系统NTReadVirtualMemory函数，模拟实现里边的部分函数
duhaomin的专栏
10-25 3562
首先是IDA的使用，打开VMware虚拟机，找到C:\Windows\system32\ntkrnlpa.exe,考到本地电脑，用IDA打开。 配置symbol标志文件：找到IDA文件下边的cfg\pdb.cfg，使用UltraEdit打开，第8行有个_NT_SYMBOL_PATH字符串，记住之后配置系统环境变量，计算机---属性---高级系统设置---高级---环境变量---系统变量---新建
windows内核情景分析---进程线程
maomao171314的专栏
04-04 3328
本篇主要讲述进程的启动过程、线程的调度与切换、进程挂靠 进程的启动过程： BOOL CreateProcess (   LPCTSTR lpApplicationName,                 //   LPTSTR lpCommandLine,                      // command line string   LPSECURITY_ATTRIBU
驱动编程：注册表回调，进程回调，文件回调，进程隐藏断链，窗口保护
追逐光芒，追随内心
10-28 1834
#include "struct.h" #define debug_pott_offset 0x298 //#define debug_pott_offset 0x1f0 DWORD changge_size_NtClose = 0; //NtClose被修改了N字节 PUCHAR ori_head_NtClose = NULL; //NtClose的前N字节数组 PVOID ori_addr_NtClose = NULL; //NtCl..
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值