LdrInitializeThunk 解析

copy from http://hi.baidu.com/5iprog/item/00ab5e092ecfb1cb75cd3c44

LdrInitializeThunk()
    Windows 的 DLL 装入(除 ntdll.dll 外)和连接是通过 ntdll.dll 中的一个函数LdrInitializeThunk()实现的.
    在进入这个函数之前，目标 EXE 映像已经被映射到当前进程的用户空间，系统 DLL ntdll.dll 的映像也已经被映射， 但是并没有在 EXE 映像与 ntdll.dll 映像之间建立连接(实际上EXE 映像未必就直接调用 ntdll.dll 中的函数)。
    LdrInitializeThunk()是 ntdll.dll 中不经连接就可进入的函数，实质上就是 ntdll.dll 的入口。除 ntdll.dll 以外，别的 DLL 都还没有被装入(映射)。此外，当前进程(除内核中的“进程控制块”EPROCESS 等数据结构外)在用户空间已经有了一个“进程环境块”PEB，以及该进程的第一个“线程环境块”TEB。这就是进入__true_LdrInitializeThunk()前的“当前形势”。

  1 VOID STDCALL
  2 __true_LdrInitializeThunk (ULONG Unknown1, ULONG Unknown2,
  3                          ULONG Unknown3, ULONG Unknown4)
  4 {
  5    . . . . . .
  6 
  7    DPRINT("LdrInitializeThunk()/n");
  8    if (NtCurrentPeb()->Ldr == NULL || NtCurrentPeb()->Ldr->Initialized == FALSE)
  9    { 
 10         Peb = (PPEB)(PEB_BASE);            //进程环境块
 11        DPRINT("Peb %x/n", Peb); 
 12         ImageBase = Peb->ImageBaseAddress; //EXE 映像在用户空间的起点
 13         . . . .
 14        /* Initialize NLS data *           //语言本地化有关
 15        RtlInitNlsTables (Peb->AnsiCodePageData, Peb->OemCodePageData,
 16                          Peb->UnicodeCaseTableData, &NlsTable);
 17        RtlResetRtlTranslations (&NlsTable);
 18 
 19        NTHeaders = (PIMAGE_NT_HEADERS)(ImageBase + PEDosHeader->e_lfanew);
 20        . . . . . .
 21        /* create process heap */ 
 22         //创建一个堆、 及其第一个区块，其初始的大小来自映像头部的建议值，其中 SizeOfHeapReserve 是估
 23          计的最大值，SizeOfHeapCommit是初始值，这是在编译/连接时确定的。
 24        RtlInitializeHeapManager();
 25        Peb->ProcessHeap = RtlCreateHeap(HEAP_GROWABLE, NULL, 
 26                             NTHeaders->OptionalHeader.SizeOfHeapReserve, 
 27                             NTHeaders->OptionalHeader.SizeOfHeapCommit, 
 28                             NULL, NULL); 
 29         /* create loader information */ 
 30        //PEB 中的 ProcessHeap 字段指向本进程用户空间可动态分配的内存区块“堆”
 31         Peb->Ldr = (PPEB_LDR_DATA)RtlAllocateHeap (Peb->ProcessHeap,
 32                                                   0,
 33                                                   sizeof(PEB_LDR_DATA));
 34        . . . . . . 
 35        /*    PEB 中的另一个字段 Ldr是个 PEB_LDR_DATA 结构指针，所指向的数据结构用来为本进程维持三个“模块”
 36          队列、即 InLoadOrderModuleList、InMemoryOrderModuleList、InInitializationOrderModuleList。
 37              所谓“模块”就是 PE 格式的可执行映像，包括 EXE映像和 DLL 映像.
 38              两个模块队列的不同之处在于排列的次序，一个是按装入的先后，一个是按装入的位置(实际上目前ReactOS
 39           的代码中并未使用这个队列)。
 40              每当为本进程装入一个模块、即.exe 映像或 DLL 映像时，就要为其分配/创建一个LDR_MODULE 数据结构,
 41          并将其挂入 InLoadOrderModuleList。然后，完成对这个模块的动态连接以后，就把它挂入
 42           InInitializationOrderModuleList 队列.LDR_MODULE 数据结构中有三个队列头，因而可以同时挂在三个队列
 43          中。
 44        Peb->Ldr->Length = sizeof(PEB_LDR_DATA);
 45        Peb->Ldr->Initialized = FALSE;
 46        Peb->Ldr->SsHandle = NULL;
 47        InitializeListHead(&Peb->Ldr->InLoadOrderModuleList);
 48        InitializeListHead(&Peb->Ldr->InMemoryOrderModuleList);
 49        InitializeListHead(&Peb->Ldr->InInitializationOrderModuleList);
 50 
 51        . . . . . .
 52        /* add entry for ntdll */
 53        NtModule = (PLDR_MODULE)RtlAllocateHeap (Peb->ProcessHeap,
 54                                                         0,
 55                                                         sizeof(LDR_MODULE));
 56        . . . . . .
 57        InsertTailList(&Peb->Ldr->InLoadOrderModuleList,
 58                              &NtModule->InLoadOrderModuleList);
 59        InsertTailList(&Peb->Ldr->InInitializationOrderModuleList,
 60                              &NtModule->InInitializationOrderModuleList);
 61        . . . . . . 
 62         /* add entry for executable (becomes first list entry) */
 63        ExeModule = (PLDR_MODULE)RtlAllocateHeap (Peb->ProcessHeap,
 64                                                         0,
 65                                                         sizeof(LDR_MODULE));
 66        . . . . . .
 67        InsertHeadList(&Peb->Ldr->InLoadOrderModuleList,
 68                       &ExeModule->InLoadOrderModuleList);
 69        . . . . . . 
 70        /*当 CPU从 LdrPEStartup()返回时，EXE 对象需要直接或间接引入的所有 DLL 均已映射到用户空间并已完成连
 71          接，对 EXE 模块的“启动” 、即初始化也已完成。
 72           注意在调用 LdrPEStartup()时的参数 ImageBase 是目标 EXE 映像在用户空间的位置
 73        EntryPoint = LdrPEStartup((PVOID)ImageBase, NULL, NULL, NULL);
 74        . . . . . .
 75    }
 76    /* attach the thread */
 77    RtlEnterCriticalSection(NtCurrentPeb()->LoaderLock); 
 78    //目的是调用各个 DLL 的初始化过程，以及对 TLS、即“线程本地存储(Thread Local Storage)”的初始化
 79     //TLS:有时候又确实需要让每个线程都对于同一个全局变量有一份自己的拷贝，TLS就是为此而设的
 80     LdrpAttachThread();
 81    RtlLeaveCriticalSection(NtCurrentPeb()->LoaderLock);
 82 }
 83 
 84 
 85 //注意在调用 LdrPEStartup()时的参数 ImageBase 是目标 EXE 映像在用户空间的位置
 86 PEPFUNC LdrPEStartup (PVOID ImageBase, HANDLE SectionHandle,
 87                       PLDR_MODULE* Module, PWSTR FullDosName)
 88 {
 89      //PE 映像的 NtHeader 中有个指针，指向一个 OptionalHeader。说是“Optional”，实际上却是关键性的。在 
 90      //OptionalHeader中有个字段 ImageBase，是具体映像建议、或者说希望被装入的地址
 91    . . . . . .
 92    DosHeader = (PIMAGE_DOS_HEADER) ImageBase;
 93    NTHeaders = (PIMAGE_NT_HEADERS) (ImageBase + DosHeader->e_lfanew);
 94 
 95    /*
 96     * If the base address is different from the
 97     * one the DLL is actually loaded, perform any
 98     * relocation.
 99     */
100    if (ImageBase != (PVOID) NTHeaders->OptionalHeader.ImageBase)
101    {
102        DPRINT("LDR: Performing relocations/n");
103         //ImageBase 是目标 EXE 映像在用户空间的位置
104        Status = LdrPerformRelocations(NTHeaders, ImageBase);
105        . . . . . .
106     }
107 
108    if (Module != NULL)
109    {
110        *Module = LdrAddModuleEntry(ImageBase, NTHeaders, FullDosName);
111        (*Module)->SectionHandle = SectionHandle;
112     }
113    else
114    {
115        Module = &tmpModule;
116        Status = LdrFindEntryForAddress(ImageBase, Module);
117        . . . . . .
118    }
119 
120    . . . . . .
121 
122    /*
123     * If the DLL's imports symbols from other
124     * modules, fixup the imported calls entry points.
125     */
126 //它所处理的就是当前模块所需DLL模块的装入(如果尚未装入的话)和连接。如前所述，这个函数递归地施行于所有的模块，直至最底层的“叶节点”ntdll.dll为止。
127    DPRINT("About to fixup imports/n");
128    Status = LdrFixupImports(NULL, *Module);
129    if (!NT_SUCCESS(Status))
130      {
131        DPRINT1("LdrFixupImports() failed for %wZ/n", &(*Module)->BaseDllName);
132        return NULL;
133      }
134    DPRINT("Fixup done/n");
135 
136    . . . . . .
137    Status = LdrpInitializeTlsForProccess();
138    . . . . . .
139 
140    /*
141     * Compute the DLL's entry point's address.
142     */
143    . . . . . .
144    if (NTHeaders->OptionalHeader.AddressOfEntryPoint != 0)
145     {
146         EntryPoint = (PEPFUNC) (ImageBase + NTHeaders->OptionalHeader.AddressOfEntryPoint);
147     }
148    DPRINT("LdrPEStartup() = %x/n",EntryPoint);
149    return EntryPoint;
150 }
151 //调用关系[__true_LdrInitializeThunk > LdrPEStartup() > LdrPerformRelocations()]
152 
153 typedef struct _IMAGE_DATA_DIRECTORY
154 { 
155      DWORD VirtualAddress; 
156      DWORD Size;
157 } IMAGE_DATA_DIRECTORY,*PIMAGE_DATA_DIRECTORY;
158 
159 //每个 IMAGE_BASE_RELOCATION 数据结构代表着一个“重定位块” ，每个重定位块的(容器)大小是两个页面(8KB)，而 SizeOfBlock 则说明具体重定位块的实际大小。这实际的大小中包括了这 IMAGE_BASE_RELOCATION数据结构本身。
160 typedef struct _IMAGE_BASE_RELOCATION
161 { 
162      DWORD VirtualAddress; 
163      DWORD SizeOfBlock;
164 } IMAGE_BASE_RELOCATION,*PIMAGE_BASE_RELOCATION;
165 
166 
167 static NTSTATUS
168 LdrPerformRelocations(PIMAGE_NT_HEADERS NTHeaders, PVOID ImageBase)
169 {
170 . . . . . .
171 //PE 映像的 OptionalHeader 中有个大小为 16 的数组 DataDirectory[]，其元素都是“数据目录” 、即IMAGE_DATA_DIRECTORY 数据结构：其中之一(下标为 5)就是“重定位目录” ，这是一个IMAGE_BASE_RELOCATION结构数组。
172 
173 RelocationDDir =&NTHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC];
174 . . . . . .
175 
176 ProtectSize = PAGE_SIZE;
177 //所谓重定位，就是计算出实际装入地址与建议装入地址间的位移 Delta，然后调整每个重定位块中的每一个重定位项、即指针，具体就是在指针上加 Delta
178    Delta = (ULONG_PTR)ImageBase - NTHeaders->OptionalHeader.ImageBase;
179 //IMAGE_BASE_RELOCATION结构数组
180 RelocationDir = (PIMAGE_BASE_RELOCATION)((ULONG_PTR)ImageBase + RelocationDDir->VirtualAddress);
181 RelocationEnd = (PIMAGE_BASE_RELOCATION)((ULONG_PTR)ImageBase + RelocationDDir->VirtualAddress + 
182                                                                    RelocationDDir->Size);
183 
184 while (RelocationDir < RelocationEnd && RelocationDir->SizeOfBlock > 0)
185    {
186       Count = (RelocationDir->SizeOfBlock - sizeof(IMAGE_BASE_RELOCATION)) / sizeof(USHORT);
187       Page = ImageBase + RelocationDir->VirtualAddress;
188       TypeOffset = (PUSHORT)(RelocationDir + 1);
189 
190       /* Unprotect the page(s) we're about to relocate. */
191       ProtectPage = Page;
192       Status = NtProtectVirtualMemory(NtCurrentProcess(), &ProtectPage,
193                               &ProtectSize, PAGE_READWRITE, &OldProtect);
194       . . . . . .
195 
196       if (RelocationDir->VirtualAddress + PAGE_SIZE < NTHeaders->OptionalHeader.SizeOfImage)
197        {
198           ProtectPage2 = ProtectPage + PAGE_SIZE;
199           Status = NtProtectVirtualMemory(NtCurrentProcess(), &ProtectPage2,
200                               &ProtectSize, PAGE_READWRITE, &OldProtect2);
201           . . . . . .
202        }
203       else
204        {
205           ProtectPage2 = NULL;
206        }
207 //具体的指针调整是由 LdrProcessRelocationBlock() 完成的，此前和此后的NtProtectVirtualMemory()只是为了先去除这些指针所在页面的写保护，而事后加以恢复。
208       RelocationDir = LdrProcessRelocationBlock(Page, Count, TypeOffset, Delta);
209       . . . . . .
210 
211       /* Restore old page protection. */
212       NtProtectVirtualMemory(NtCurrentProcess(),&ProtectPage,
213                              &ProtectSize, OldProtect, &OldProtect);
214 
215       if (ProtectPage2 != NULL)
216         {
217           NtProtectVirtualMemory(NtCurrentProcess(), &ProtectPage2,
218                                  &ProtectSize, OldProtect2, &OldProtect2);
219         }
220     }
221 
222 return STATUS_SUCCESS;
223 }

 

转载于:https://www.cnblogs.com/binsys/articles/2711019.html