一、说明

这是《Windows内核原理与实现》的第二章，主要是对一些概念进行科普，其中关于注册表和系统引导部分，我看着像在看天书，也没有写什么笔记。

这篇博客主要是记录一些我大概能看懂的，以便日后参考。其实也只是把书上的话自己总结了一下，实在没什么特别的，写博客已经是一种习惯了。

二、用户空间和内核空间

低2G是用户空间，高2G是内核空间，他们之间有一块特殊的内存。

0x7fff0000~0x7fffffff 这块特殊的64KB的地址空间，用户模式和内核模式都不能访问。

ProbeForWrite 函数用于检查用户代码是否访问了高2G内存或传递一个无效的指针，它常用于检测3环调用系统函数时的参数有效性检查。
只有当调用系统服务的是3环代码，才需要检查参数有效性，如果是另一个内核函数调用的，就无须检查。

PreviousMode = KeGetPreviousMode();
if (PreviousMode != KernelMode) {try {ProbeForWrite(InputInformation,InputInformationLength,sizeof(ULONG));if (ARGUMENT_PRESENT(ReturnLength)) {ProbeForWriteUlong(ReturnLength);}} except(EXCEPTION_EXECUTE_HANDLER) {return GetExceptionCode();}
}

首先检查目标内存地址是否越过了 0x7fff0000~0x7fffffff，如果是，就抛出非法访问内存异常；
然后，把目标内存的值写入到目标内存，如果不可写，就会触发异常，从而被 except 捕获。

ProbeForWrite 源码：

VOID
ProbeForWrite (__inout_bcount(Length) PVOID Address,__in SIZE_T Length,__in ULONG Alignment)/*++Routine Description:This function probes a structure for write accessibility and ensurescorrect alignment of the structure. If the structure is not accessibleor has incorrect alignment, then an exception is raised.Arguments:Address - Supplies a pointer to the structure to be probed.Length - Supplies the length of the structure.Alignment - Supplies the required alignment of the structure expressedas the number of bytes in the primitive datatype (e.g., 1 for char,2 for short, 4 for long, and 8 for quad).Return Value:None.--*/{ULONG_PTR EndAddress;ULONG_PTR StartAddress;#define PageSize PAGE_SIZE//// If the structure has zero length, then do not probe the structure for// write accessibility or alignment.//if (Length != 0) {//// If the structure is not properly aligned, then raise a data// misalignment exception.//ASSERT((Alignment == 1) || (Alignment == 2) ||(Alignment == 4) || (Alignment == 8) ||(Alignment == 16));StartAddress = (ULONG_PTR)Address;if ((StartAddress & (Alignment - 1)) == 0) {//// Compute the ending address of the structure and probe for// write accessibility.//EndAddress = StartAddress + Length - 1;//DbgPrint("Hbg: MM_USER_PROBE_ADDRESS = %x\n", MM_USER_PROBE_ADDRESS);// MM_USER_PROBE_ADDRESS = 7fff0000// 如果越过了 MM_USER_PROBE_ADDRESS ，就抛出非法访问内存异常if ((StartAddress <= EndAddress) &&(EndAddress < MM_USER_PROBE_ADDRESS)) {//// N.B. Only the contents of the buffer may be probed.//      Therefore the starting byte is probed for the//      first page, and then the first byte in the page//      for each succeeding page.//// If this is a Wow64 process, then the native page is 4K, which// could be smaller than the native page size///EndAddress = (EndAddress & ~(PageSize - 1)) + PageSize;do {// 目标内存的值写入到目标内存，volatile 用于关闭编译器优化，确保写入发生*(volatile CHAR *)StartAddress = *(volatile CHAR *)StartAddress;// 一次检查一个字节，一个字节能写入，说明整个页都能写入StartAddress = (StartAddress & ~(PageSize - 1)) + PageSize;} while (StartAddress != EndAddress);return;} else {// 非法访问内存ExRaiseAccessViolation();}} else {// 内存对齐异常ExRaiseDatatypeMisalignment();}}return;
}

三、系统线程，PsCreateSystemThread

驱动程序可以调用 PsCreateSystemThread 来创建系统线程，默认属于 System 进程，也可以指定所属进程从而能访问该进程的内存。

四、中断和异常

中断和异常都会打断正常指令流，中断是CPU产生的，异常的产生则是指令执行后的结果。所以中断是异步的，异常是同步的。

五、内核对象，名称系统

对象头

windows 提供了多种类型的内核对象，设计遵循面向对象思想，每个对象都由对象头和对象体构成。

_OBJECT_HEADER 对象头的定义在 base\ntos\inc\ob.h ，存储了对象管理所需的基本信息，如引用计数，句柄计数，对象名，对象类型等。

typedef struct _OBJECT_HEADER {LONG_PTR PointerCount;                      // 引用计数union {LONG_PTR HandleCount;                   // 指向该对象的句柄数PVOID NextToFree;                       // 对象呗延迟删除时加入到一条链中};POBJECT_TYPE Type;                          // 指向对象的类型对象UCHAR NameInfoOffset;                       // 名称信息的内存偏移UCHAR HandleInfoOffset;                     // 句柄信息的内存偏移UCHAR QuotaInfoOffset;                      // 配额信息的内存偏移UCHAR Flags;union {POBJECT_CREATE_INFORMATION ObjectCreateInfo;PVOID QuotaBlockCharged;};PSECURITY_DESCRIPTOR SecurityDescriptor;    // 安全描述符QUAD Body;                                  // 对象体开始
} OBJECT_HEADER, *POBJECT_HEADER;

其中，对象类型 POBJECT_TYPE Type 是一个指针，指向的类型就叫 OBJECT_TYPE ，它同样定义在 ob.h ，OBJECT_TYPE 存储了对象类型的信息，包括在全局对象类型数组中的索引，拷贝自对象头的对象名等。

对象类型

#define OBJECT_LOCK_COUNT 4typedef struct _OBJECT_TYPE {ERESOURCE Mutex;LIST_ENTRY TypeList;UNICODE_STRING Name;            // Copy from object header for conveniencePVOID DefaultObject;ULONG Index;                    // 此类型对象在全局数组中的索引ULONG TotalNumberOfObjects;ULONG TotalNumberOfHandles;ULONG HighWaterNumberOfObjects;ULONG HighWaterNumberOfHandles;OBJECT_TYPE_INITIALIZER TypeInfo;
#ifdef POOL_TAGGINGULONG Key;
#endif //POOL_TAGGINGERESOURCE ObjectLocks[ OBJECT_LOCK_COUNT ];
} OBJECT_TYPE, *POBJECT_TYPE;

WRK提供了31种对象类型，例如我们在中级班接触过的 PsThreadType, PsProcessType ,IoDriverObjectType 等。这些对象类型是系统初始化时调用 ObCreateObjectType 函数创建的。

ObCreateObjectType 函数原型如下：

NTSTATUS
ObCreateObjectType (__in PUNICODE_STRING TypeName,__in POBJECT_TYPE_INITIALIZER ObjectTypeInitializer,__in_opt PSECURITY_DESCRIPTOR SecurityDescriptor,__out POBJECT_TYPE *ObjectType
);

第二个参数用到了 OBJECT_TYPE_INITIALIZER 类型，它除了指定了此种类型对象的一些数据特性，还指定了该类型对象的一些基本操作方法，如 Dump, Open, Close 等。

typedef struct _OBJECT_TYPE_INITIALIZER {USHORT Length;BOOLEAN UseDefaultObject;BOOLEAN CaseInsensitive;ULONG InvalidAttributes;GENERIC_MAPPING GenericMapping;ULONG ValidAccessMask;BOOLEAN SecurityRequired;BOOLEAN MaintainHandleCount;BOOLEAN MaintainTypeList;POOL_TYPE PoolType;ULONG DefaultPagedPoolCharge;ULONG DefaultNonPagedPoolCharge;OB_DUMP_METHOD DumpProcedure;OB_OPEN_METHOD OpenProcedure;OB_CLOSE_METHOD CloseProcedure;OB_DELETE_METHOD DeleteProcedure;OB_PARSE_METHOD ParseProcedure;OB_SECURITY_METHOD SecurityProcedure;OB_QUERYNAME_METHOD QueryNameProcedure;OB_OKAYTOCLOSE_METHOD OkayToCloseProcedure;
} OBJECT_TYPE_INITIALIZER, *POBJECT_TYPE_INITIALIZER;

对象类型数组 ObpObjectTypes

系统使用static全局数组 ObpObjectTypes 记录所有已创建的类型，限定不超过48种对象类型，OBJECT_TYPE 中的 Index 就是对象类型在此数组中的下标。

#define OBP_MAX_DEFINED_OBJECT_TYPES 48
POBJECT_TYPE ObpObjectTypes[ OBP_MAX_DEFINED_OBJECT_TYPES ];

创建对象

类型创建后，就可以调用 ObCreateObject 函数创建对象了。

NTSTATUS
ObCreateObject (__in KPROCESSOR_MODE ProbeMode,__in POBJECT_TYPE ObjectType,__in POBJECT_ATTRIBUTES ObjectAttributes,__in KPROCESSOR_MODE OwnershipMode,__inout_opt PVOID ParseContext,__in ULONG ObjectBodySize,__in ULONG PagedPoolCharge,__in ULONG NonPagedPoolCharge,__out PVOID *Object
);

其中，ObjectBodySize 指定了对象体的大小，输出参数 Object 指向对象体的地址。

名称系统

windows提供了一套以名称来管理对象的机制，这对于跨模块，跨进程共享对象提供了便利。windows维护了一套全局的名称查询机制，ObpDirectoryObjectType 类型对象是实现这一机制的关键。下面来简单分析一下这套名称查询机制。

全局变量 ObpRootDirectoryObject 是根目录对象：

#define NUMBER_HASH_BUCKETS 37
#define OBJ_INVALID_SESSION_ID 0xFFFFFFFFtypedef struct _OBJECT_DIRECTORY {struct _OBJECT_DIRECTORY_ENTRY *HashBuckets[ NUMBER_HASH_BUCKETS ];EX_PUSH_LOCK Lock;struct _DEVICE_MAP *DeviceMap;ULONG SessionId;
} OBJECT_DIRECTORY, *POBJECT_DIRECTORY;...POBJECT_DIRECTORY ObpRootDirectoryObject;

根目录之下，系统内置了一些子目录，通过分析 NtCreateDirectoryObject 函数被调用的情况，我们可以看到 Callback、ArcName、Device、Driver、FileSystem、KernelObjects、ObjectTypes、GLOBAL?? 和 Security
子目录的创建过程。例如，阅读 IopCreateRootDirectories 函数，发现这里创建了 Driver 子目录：

//
// Create the root directory object for the \Driver directory.
//RtlInitUnicodeString( &nameString, L"\\Driver" );
InitializeObjectAttributes( &objectAttributes,&nameString,OBJ_PERMANENT|OBJ_KERNEL_HANDLE,(HANDLE) NULL,(PSECURITY_DESCRIPTOR) NULL );status = NtCreateDirectoryObject( &handle,DIRECTORY_ALL_ACCESS,&objectAttributes );
if (!NT_SUCCESS( status )) {return FALSE;
} else {(VOID) ObCloseHandle( handle , KernelMode);
}

对象管理器内部有一套函数用于插入、查询和删除目录项或目录。对外提供了 ObOpenObjectByName 和ObReferenceObjectByName 函数用来根据名称打开或引用对象。这些函数我暂时不打算分析，猜测其内部应该是哈希表实现的。

对象体

分析 ObpAllocateObject 函数发现，对象体和对象头在同一块连续内存：

ObjectHeader = ExAllocatePoolWithTag( PoolType,HeaderSize + ObjectBodySize,(ObjectType == NULL ? 'TjbO' : ObjectType->Key) |PROTECTED_POOL );

通过对象头获取对象体的方法是这样的：

#define OBJECT_TO_OBJECT_HEADER( o ) \CONTAINING_RECORD( (o), OBJECT_HEADER, Body )

内核对象生命周期，内核计数

内核对象通过引用计数管理生命周期，当引用计数为0，对象就被销毁。引用计数来源于两方面，一个是内核的指针引用该对象，增加引用计数和减少引用计数的函数是 ObReferenceObjectByPointer
和 ObDereferenceObject；另一个是进程打开内核对象并获得一个句柄，增加减少句柄的函数是 ObpIncrementHandleCount 和ObpDecrementHandleCount 。