再谈Windows NT/2000内部数据结构

日期：2005年8月29日作者：查看:[大字体中字体小字体]

现在我们结合Regmon(www.sysinternals.com)在NT中的实现方法再来谈谈Windows NT/2000内部数据结构。

Regmon是监视应用程序访问系统注册表的实用程序。大家都知道在应用程序中使用注册表一般都调用WinAPI Regxxx，而Regxxx最终会调用Native API Zwxxx!(参阅Windows NT/2000 DDK Documentation)。Regmon正是通过改变这些例程以达到监视注册表的目的。Zwxxx的实现方式如下：

mov eax, ServiceId　　　　
lea edx, ParameterTable
int 2eh
ret ParamTableBytes

这就是所说的NT System Services，是不是与Linux有点相似(只不过Linux使用的是80h中断而已，它也有ServiceID，如fork系统调用ServiceID为2)。

System Services在DDK Documentation是如下定义的：

　 The set of native, user-mode routines exported by the executive for use only by protected subsystems. Each
　 system service has a name of the form TwoLettersXxxYyy where:
　 TwoLetters is the prefix for all system services.
　 Xxx is usually a verb, describing the operation of a given service.
　 Yyy is generally the object type the service operates on.

System Services在系统中由两部分组成，一部分由win32k.sys导出，另一部分由ntoskrnl.exe提供服务。前者主要完成NT中win32、Posix与Os/2等子系统(subsystems)与内核的通信，仅能由用户态的应用程序调用，如user32!WaitMessage等。由于Regmon只涉及后者，所以本文将对其进行讨论，以下所有关于System Service的讨论均适合两者!
　　　　　
上次(Nsfocus Magazine 10)我曾经提及KeServiceDescriptorTable，也说过它的结构如下:

　 struct _ServiceDescriptorEntry {
unsigned int *ServiceTableBase;
unsigned int *ServiceCounterTableBase;
unsigned int NumberOfServices;
unsigned char *ParamTableBase;
　 }ServiceDescriptorTableEntry

ntoskrnl.exe导出全局变量KeServiceDescriptorTable指向ServiceDescriptorTableEntry(由win32k.sys导出的System Services也有自己的ServiceDescriptorTable，在Win2000 Server中其Service ID从1000h始，由KeServiceDescriptorTable以下偏移50h处指向，其结构与ntosrknl.exe导出的基本一致，本文不作讨论，SoftICE中的ntcall命令在特定情况下可以列出所有的System Service)。

下面我们先用SoftICE 4.05 For Windows NT/2000来分析分析x86平台Windows 2000 Server Build 2195的情况(以下仅摘录部分，不同版本不同时刻可能得到的数据未必一样)
[1] [2] [3] [4] [5] 下一页
再谈Windows NT/2000内部数据结构相关文章：
·Windows XP SP2是否正版原版技巧
·Windows Vista停止报告程序问题的技巧方法
·Windows Vista中如何自定义语言栏图标
·Windows Vista中如何调整雅黑字体DPI
·Windows Vista系统调试外置麦克风技巧
·Windows Vista中如何显示“超级隐藏”文件
·Windows Vista系统如何用命令行运行系统还原
·Windows Vista系统存储优化完全手册
·加快Windows Vista系统窗口打开速度的方法
·Windows XP系统中如何重置TCP/IP协议
再谈Windows NT/2000内部数据结构相关软件
·《雷神之锤4》v1.3到v1.4.2升级补丁（Windows系统专用）
·菜鸟TO高手－windows配置优化详解
·体验Windows Vista beta 1
·新编Windows API参考大全
·Windows系统文件中文详解
·全国计算机等级考试模拟软件(一级Windows)2003
·WindowsServer2003网络安全管理学习指南
·Windows_2000_Server_24学时教程
·Windows XP Professional学习指南
·Windows Server 2003命令参考

上一篇:俗人俗语谈技术之FTP技术

下一篇:在无人参与安装模式下执行干净安装WINXP

特别声明：本站除部分特别声明禁止转载的专稿外的其他文章可以自由转载，但请务必注明出处和原始作
者.文章版权归文章原始作者所有.对于被本站转载文章的个人和网站，我们表示深深的谢意。如果本站转
载的文章有版权问题请联系编辑人员,我们尽快予以更正. 转载请注明来源：http://www.hackhome.com

再谈Windows NT/2000内部数据结构

精品推荐

热点TOP10

特别推荐