1、系統(tǒng)結(jié)構(gòu)操作系統(tǒng)模型微內(nèi)核：操作系統(tǒng)的主要 組件（內(nèi)存管理器、進(jìn)程管理器、I/O管理器）運(yùn)行在各自獨(dú)立的進(jìn)程中，他們有自己的私有地址，在這之上是一組原語(yǔ)服務(wù)。總體結(jié)構(gòu)Page：70Ø 可移植性內(nèi)核處理不同硬件體系結(jié)構(gòu)；HAL處理同體系下的不同硬件系統(tǒng)差異；Ø 對(duì)稱多處理對(duì)稱多處理操作系統(tǒng) page：73超線程處理器和NUMAPage:74PS：針對(duì)單處理器和多處理器的系統(tǒng)，其文件差異最多有以上6個(gè)；對(duì)于xp及以后系統(tǒng)最多只有3個(gè)。Ø 操作系統(tǒng)的可伸縮性Page：78客戶機(jī)版本和服務(wù)器版本的引導(dǎo)差異：關(guān)鍵的系統(tǒng)組件環(huán)境子系統(tǒng)和子系統(tǒng)DLL用戶應(yīng)用程序（包括windo

2、ws,POSIX,OS/2應(yīng)用程序）只能調(diào)用自己環(huán)境子統(tǒng)導(dǎo)出的服務(wù)；并且不直接調(diào)用windows的系統(tǒng)服務(wù)，相反，他們通過一個(gè)或多個(gè)子系統(tǒng)DLL來進(jìn)行。² Windows子系統(tǒng)Page：87windows子系統(tǒng)的內(nèi)核模式設(shè)備驅(qū)動(dòng)文件是Win32k.sys，其進(jìn)程名為Csrss.exe（之前作為windows NT系統(tǒng)原始設(shè)計(jì)中，全局唯一環(huán)境子系統(tǒng)進(jìn)程的一個(gè)線程，當(dāng)POSIX和OS/2子線程獨(dú)立成進(jìn)程后，此名字未改變）ü 環(huán)境子系統(tǒng)進(jìn)程Csrss.exeü 內(nèi)核模式設(shè)備驅(qū)動(dòng)程序 Win32k.sysü 子系統(tǒng)DLLü 圖形設(shè)備驅(qū)動(dòng)程序?qū)⒋翱诠芾砥?/p>

3、和圖形服務(wù)從windows子系統(tǒng)的用戶模式移到內(nèi)核模式對(duì)系統(tǒng)的影響分析 On Page:89² POSIX子系統(tǒng)² OS/2子系統(tǒng)² Ntdll.dll² 執(zhí)行體（Ntoskrnl.exe的上層部分）ü 包含的函數(shù)Page：96ü 包含的組件² 內(nèi)核（Ntoskrnl.exe的下層層部分）ü 內(nèi)核對(duì)象組織ü 硬件支持（不同處理器硬件體系結(jié)構(gòu)Page：98）硬件抽象層HAL設(shè)備驅(qū)動(dòng)程序exp其實(shí)就是對(duì)硬件的“標(biāo)準(zhǔn)抽象”² 設(shè)備驅(qū)動(dòng)程序類型² Windows驅(qū)動(dòng)程序模型從WDM的角度分3種

4、ü 總線型驅(qū)動(dòng)程序（bus driver）ü 功能型驅(qū)動(dòng)程序（function driver）ü 過濾型驅(qū)動(dòng)程序（filter drvier）<進(jìn)一步分上層過濾型和下層過濾型>系統(tǒng)進(jìn)程² 空閑進(jìn)程² System進(jìn)程和系統(tǒng)線程² 會(huì)話管理器（Smss.exe）² WinLogon、LSASS和Userinit² 服務(wù)控制管理器（Services.exe）系統(tǒng)機(jī)制陷阱分發(fā)陷阱機(jī)制：在中斷或異常發(fā)生時(shí)，處理器將捕捉到的線程控制權(quán)轉(zhuǎn)移到操作系統(tǒng)的某一個(gè)固定地址處的機(jī)制即將某個(gè)情況交給某個(gè)函數(shù)處理的機(jī)制。在wi

5、ndows子系統(tǒng)不確定是windows子系統(tǒng)還是windows系統(tǒng)都這么做？下 陷阱處理器就是一組與中斷（異步事件）或異常（同步條件）相關(guān)的異常處理函數(shù)。在中斷或異常發(fā)生時(shí)，處理器（CPU）將控制權(quán)轉(zhuǎn)給一個(gè)陷阱處理器。內(nèi)核對(duì)待中斷和異常的區(qū)別Page：117陷阱幀：windows在被中斷的線程的內(nèi)核棧上創(chuàng)建的用于保存當(dāng)前線程執(zhí)行狀態(tài)的一段存儲(chǔ)區(qū)域，用于恢復(fù)中斷后的流程用于硬件中斷或異常線程幀定義dt nt!_ktrap_frame。軟中斷的處理：即DPC或APC前端陷阱處理函數(shù)Page：118中斷分發(fā)² 硬件中斷處理ü 硬件中斷請(qǐng)求IRQ（對(duì)應(yīng)硬件中斷號(hào)）ü 中斷

6、分發(fā)表IDTWindows支持的硬件體系最多支持256項(xiàng)IDT，但具體取決于中斷控制器!idt（存儲(chǔ)異常或中斷處理例程<函數(shù)>的索引號(hào)）外部I/O產(chǎn)生中斷IRQ到中斷控制器（硬件芯片），中斷控制器中斷處理器（CPU），處理器詢問中斷控制器中斷處理例程地址，中斷控制器將IRQ號(hào)翻譯成IDT索引，然后將索引對(duì)應(yīng)的地址指針傳給處理器，處理器調(diào)用指針處的函數(shù)對(duì)中斷進(jìn)行處理。Windows將硬件IRQ映射到IDT的中斷號(hào)（實(shí)際是異常處理函數(shù)索引）上，IDT是在系統(tǒng)啟動(dòng)時(shí)就填充好的（初始化時(shí)通過相應(yīng)的DLL load）。同時(shí)即插即用管理器調(diào)用HAL的函數(shù)將硬件IRQ映射到對(duì)應(yīng)的IRQL軟中斷如

7、何映射IRQL?每一個(gè)處理器都有一個(gè)獨(dú)立的IDT，也就意味著，不同的處理器對(duì)相同的IRQ可能有不同的處理。ü 中斷控制器（PIC/APIC/SAPIC）!pic/!apicX86中斷控制器1、 PIC 單處理器 15條中斷線2、 APIC/SAPIC 多處理器 256條中斷線其他硬件結(jié)構(gòu)的中斷控制器Page：122ü 軟件中斷請(qǐng)求級(jí)別IRQL是針對(duì)于處理器的可中斷級(jí)別，由中斷分發(fā)器（即中斷處理器）提升或降級(jí)（但最終的設(shè)置操作是由HAL執(zhí)行），每個(gè)處理器的IRQL隨著系統(tǒng)的運(yùn)行而不同。x86:0-31x61/IA64:0-15HAL在系統(tǒng)初始化時(shí)將硬件中斷IRQ映射成軟件中斷

8、號(hào)IRQL(P:127)!irql 延遲IRQL處理器控制區(qū)PCR/塊PRCBP:126!pcrü 中斷對(duì)象是一個(gè)內(nèi)核控制對(duì)象，包含了ISR地址、中斷IRQL級(jí)別、與ISR關(guān)聯(lián)的IDT項(xiàng);每個(gè)CPU一個(gè)中斷對(duì)象結(jié)構(gòu)(包含這個(gè)CPU所有的中斷信息塊 所以一個(gè)CPU一個(gè)IDT)。一個(gè)典型的中斷對(duì)象結(jié)構(gòu)一個(gè)典型的中斷流程如下：PS：例子中中斷對(duì)象的分發(fā)代碼里先建立陷阱幀，然后調(diào)用KiInterruptDispatchAaWindows系統(tǒng)為何不適合作為實(shí)時(shí)處理系統(tǒng)？中斷共享：中斷對(duì)象可以讓一個(gè)IRQL(IRQ)為多個(gè)硬件設(shè)備注冊(cè)ISR，當(dāng)中斷調(diào)用時(shí)進(jìn)行ISR遍歷，尋找中斷應(yīng)答函數(shù)。

9、8; 軟件中斷處理ü 分發(fā)或者延遲過程調(diào)用DPC中斷主要是為設(shè)備驅(qū)動(dòng)程序提供的（P：136 非緊急I/O處理），但內(nèi)核也經(jīng)常使用DPC處理一些線程分發(fā)、延遲系統(tǒng)操作（調(diào)用）及時(shí)限到期事件DPC對(duì)象內(nèi)核控制對(duì)象，主要保存了處理DPC事件的系統(tǒng)函數(shù)地址/隊(duì)列和處理器相關(guān)（一一對(duì)應(yīng)），處于DPC IRQL級(jí)別ü 異步過程調(diào)用APC中斷特定用戶線程環(huán)境執(zhí)行用戶程序和系統(tǒng)代碼，是另一種更低級(jí)別的函數(shù)調(diào)用過程（主要和線程相關(guān)）APC對(duì)象內(nèi)核控制對(duì)象/隊(duì)列和特定的用戶線程相關(guān)APC類型：內(nèi)核模式（再分：普通的、特殊的）、用戶模式P:140 執(zhí)行體和設(shè)備I/O異常分發(fā)² 結(jié)構(gòu)化異

10、常處理基于幀的異常處理器由環(huán)境子系統(tǒng)建立，和具體的過程調(diào)用有關(guān)，當(dāng)一個(gè)過程被調(diào)用的時(shí)候，關(guān)于這個(gè)過程的棧幀被壓入棧中（具體和進(jìn)程相關(guān)），主要是處理子系統(tǒng)用戶環(huán)境相關(guān)的程序異常（包括內(nèi)核模式和用戶模式）調(diào)試器端口兩次機(jī)會(huì)通知和異常端口和環(huán)境子系統(tǒng)相關(guān)² 未處理的異常² Windows錯(cuò)誤報(bào)告系統(tǒng)服務(wù)分發(fā)² 32/64位系統(tǒng)服務(wù)分發(fā)寄存器EAX 傳遞系統(tǒng)服務(wù)調(diào)用號(hào)，其他根據(jù)處理器架構(gòu)不同，參數(shù)傳遞方式和call方式有所不同；當(dāng)CPU執(zhí)行call指令時(shí)，線程進(jìn)入內(nèi)核模式，執(zhí)行系統(tǒng)服務(wù)分發(fā)器（KiSystemService），依據(jù)系統(tǒng)服務(wù)分發(fā)表，執(zhí)行相關(guān)調(diào)用號(hào)的服務(wù)。&#

11、178; 內(nèi)核模式的系統(tǒng)服務(wù)分發(fā)² 服務(wù)描述符表典型的系統(tǒng)服務(wù)分發(fā)過程對(duì)象管理器執(zhí)行體對(duì)象對(duì)象結(jié)構(gòu)Windows子系統(tǒng)由執(zhí)行體對(duì)象導(dǎo)出的或大或小的對(duì)象集合（相當(dāng)于對(duì)執(zhí)行體對(duì)象的再次封裝）² 對(duì)象頭和對(duì)象體P：161執(zhí)行體對(duì)象和對(duì)象服務(wù)是環(huán)境子系統(tǒng)用于構(gòu)建其自己版本的對(duì)象和其他資源的基礎(chǔ)。² 類型對(duì)象通過設(shè)置APC軟件中斷（添加APC中斷隊(duì)列 此隊(duì)列只和某具體線程相關(guān)）來達(dá)到線程同步？² 對(duì)象方法當(dāng)執(zhí)行體組件創(chuàng)建了一個(gè)新的對(duì)象類型時(shí)，它可以向?qū)ο蠊芾砥髯?cè)一個(gè)或多方法。對(duì)象管理器可在這種類型的對(duì)象周期中某些特殊的點(diǎn)執(zhí)行這些方法（eg：創(chuàng)建、刪除、狀態(tài)改變等

12、） - 類似事件觸發(fā)操作² 對(duì)象句柄一個(gè)句柄對(duì)應(yīng)一個(gè)對(duì)象，windows子系統(tǒng)通過句柄統(tǒng)一管理所有執(zhí)行體導(dǎo)出對(duì)象，句柄就是一個(gè)索引（和用戶模式進(jìn)程相關(guān)，因?yàn)橛脩裟Ｊ较轮挥羞M(jìn)程或線程才會(huì)進(jìn)行對(duì)象操作）內(nèi)核模式下，執(zhí)行體組件和設(shè)備驅(qū)動(dòng)程序可以直接訪問對(duì)象，但必須使用引用計(jì)數(shù)做標(biāo)示和進(jìn)程句柄表每個(gè)進(jìn)程最多不超過 16 000 000個(gè)句柄進(jìn)程用戶模式內(nèi)存地址中有一段用來記錄句柄索引（指向換頁(yè)的內(nèi)存池中的句柄表）P169 需要再細(xì)看下？執(zhí)行體進(jìn)程塊中也有一個(gè)域（即句柄索引）指向進(jìn)程的句柄表句柄索引為4個(gè)字節(jié)，第一個(gè)是4，第二個(gè)是8，依次類推句柄表中的句柄項(xiàng)² 對(duì)象安全性²

13、 對(duì)象保持力（Object Retention）對(duì)象有永久的和暫時(shí)的兩種對(duì)象保持力分兩個(gè)階段：名稱保持力和對(duì)象實(shí)體保持力對(duì)象有兩個(gè)計(jì)數(shù)器：1、 句柄計(jì)數(shù)器2、 引用計(jì)數(shù)（句柄計(jì)數(shù)+系統(tǒng)進(jìn)程引用計(jì)數(shù)）² 資源記賬P175² 對(duì)象名稱² 會(huì)話名字空間P178同步高IRQL的同步² 互鎖操作² 自旋鎖²低IRQL的同步進(jìn)程和線程及纖程虛擬內(nèi)存A地址窗口擴(kuò)展 AWE機(jī)制Page 47內(nèi)核模式和用戶模式(處理器訪問模式)Ring0 ring3終端服務(wù)及多個(gè)回話提供單系統(tǒng)多用戶的交互會(huì)話功能。對(duì)象和句柄對(duì)象和普通數(shù)據(jù)結(jié)構(gòu)的區(qū)別（不可直接讀取，需要