深入解析Windows操作系统

windows为什么会崩溃

windows崩溃（停止执行并显示蓝屏）有以下原因： 1.运行在内核模式下的设备驱动程序或者操作系统函数引发了一个未处理的异常。（内存访问违例） 2.调用一个内核支持的例程，导致一次重新调度（当中断请求级别IRQL为DPC/Dispatch级别或更高级别时等待一个处于无信号状态的分发器对象） 3.在DPC/Dispacth级别或者更高IRQL级别时，在“由页面文件或内存映射文件中的数据来支撑内存”上发生了一个页面错误（原理同2） 4.一个设备驱动程序或操作系统函数显式地使系统崩溃（通过调用系统函数KeBugCheckEx）。因为它检测到一个内部条件表明了数据遭受破坏，或者表明了其他的情形：在不冒险破坏数据的情况下系统无法继续执行 5.发生硬件错误。（机器检查或者不可屏蔽中断NMI）

当一个内核模式设备驱动程序或者子系统引发了一个非法的异常时，windows面临着困难的抉择。此时，它检测到了在操作系统中，有能力访问任何硬件设备和任何有效内存的系统代码部分做了一些不应该做的事情。 但是，为什么意味着windows必须要崩溃呢？难道就不能忽略该异常，继续执行吗？ --------该错误能被隔离出来的可能性是存在的，并且该组件将来能够通过某种方式被恢复过来的可能性也是存在的。但是，更有可能是，被检测到的异常来源于更深层的问题，系统继续下去可能导致更多异常，而且，存储在磁盘或其他外设中的数据可能也会遭受破坏，这样招致的风险太高了。

蓝屏

不管系统崩溃的原因是什么，真正执行崩溃的函数是KeBugCheckEx。该函数接受一个停止代码（也称错误检查码），以及四个根据停止代码来解释的参数。KeBug屏蔽了该系统的所有处理器上的所有中断以后，将显示器切换到低分辨率的VGA图形模式，绘制一个蓝色背景，然后显示此停止的代码，后面紧跟着一些文本建议用户应该来怎么做。最后，KebugCheckEx调用任何已注册的设备驱动程序错误检查回调函数（通过调用KeRegisterBugCheckCallback函数来注册的回调函数），从而让驱动程序有机会停止它们的设备。

崩溃转储文件

当系统崩溃时，系统总是试图记录下有关当前系统的状态的信息。对于一次系统崩溃，以下三种层次的信息可以被记录下来： 1.完全内存转储-------完全转储包含了在崩溃时刻所有的物理内存，要求页面至少是物理内存的大小再加上1MB（用于记录头信息） 2.内核内存转储--------值包含了在崩溃时刻位于物理内存中的内核模式的读/写页面。不包含用户进程的页面。 3.小内存转储--------默认的，大小64KB或者128KB，包含了停止代码和参数，已加载的设备驱动程序的列表，描述当前进程和线程的数据结构，以及引起这次崩溃的线程的内核栈

widows错误报告（这节，google细节）基本的崩溃转储分析（用Notmyfault工具分析）缓冲区溢出和特殊内存池

到目前为止，在windows上，最常见的崩溃源头是内存池被破坏

代码改写和系统代码写保护

（用Notmyfault工具分析）

栈破坏

（用Notmyfault工具分析）

NDIS驱动程序

当一个协议驱动程序想要按照其协议的格式从网络上读写消息时，该驱动程序必须通过一个网络适配器才能做到这一点。但是适配器产生多，有差别，为了统一才有了NDIS接口规范。

NDIS库实现了TDI传输器和NDIS驱动程序之间存在的NDIS边界。NDIS库只是一个辅助库，NDIS驱动成的客户利用它，对将要发送给NDIS驱动程序的命令进行格式化。NDIS驱动程序与该库互相协作，以便接收请求和送回应答。

NDIS驱动程序不是真正的windows驱动程序，因为如果没有NDIS库给予它们的封装，它们是不能正常工作的。这一隔离层将NDIS驱动程序完全包装起来，因而NDIS驱动程序并不接受和处理IRP。

（.load ndiskd 然后 !miniports 列出已加载的NDIS小端口 ）NDIS小端口的变化形式

NDIS模型也支持混合的TDI传输器-NDIS驱动程序，此驱动程序称为NDIS中间驱动程序。这样的驱动程序位于TDI传输器和NDIS驱动程序之间。它为网络适配器提供容错和负载平衡特性的软件。

面向连接的NDIS

面向连接的NDIS驱动程序使用了标准NDIS驱动程序也使用的许多同样的API；然而，面向连接的NDIS驱动程序通过建立的网络连接来发送数据包，而不是将数据包放在网络介质上。

外接NDIS

外接NDIS是一个针对“位于动态即插即用总线（USB,IEEE 1394）上的网络设备”的规范。该规范彻底消除了硬件厂商编写NDIS小端口驱动程序的必要性，它的做法是，定义一些与总线无关的消息，以及定义一套机制，让镇邪消息可以再总线上传输。

绑定

windows网络体系结构中，各个层次上的组件互相之间是以什么方式找到对方的？将这些层次连接起来的过程称为“绑定”。当安装一个网络组件时，必须提供一个针对该组件的inf文件。

分层的网络服务

远程访问，活动目录，网络负载平衡，文件复制服务，分布式文件系统。 详细细节google

NetBIOS

NetBIOS同时支持可靠的面向连接的通信和不可靠的无连接的通信。windows支持NetBIOS是为了遗留下来的应用程序，在windows上，NetBIOS是由TCP/IP和IPX/SPX协议支持的。

NetBIOS名称关键词：命名规范，LANA，NetBIOS操作关键词：LANA，服务器应用程序NetBIOS API实现关键词：Netapi32.dll ，NetBIOS仿真器，Netbios.sys，转译TDI命令其他网络API关键词：实时通信，DCOM实时通信（RTC）关键词：在场信息DCOM关键词：扩展 COM多重定向器支持关键词：UNC标准，WNET API， MPR，MUP。多提供者转发器关键词：MPR组件，MPR.dll，远程FSD。多UNC提供者关键词：MUP，类似MPR，DFS分布式文件系统名称解析

名称解析是指这样一个过程：基于字符的名称，比如MyComputer或www.qq.com，被转译成一个可被协议栈识别的数值地址。windows提供两个与TCP/IP有关的名称解析协议：域名系统（DNS）和WINS（windows internet名称服务）

域名系统

域名系统（DNS）是一个标准。通过此标准，Internet名称可以被转译成对应的IP地址。如果网络应用程序想要将一个DNS名称解析成一个IP地址，则它利用TCP/IP协议向一个DNS服务器发送一个DNS查询请求。

windows Internet名称服务关键词： 维护， NetBIOS名称-IP地址，映射关系协议驱动程序

API驱动程序历来与内核模式的传输协议驱动程序来完成实际的转译工作。将API与底层协议分离，这样做可使得网络体系结构更加灵活，允许每个API使用许多不同的协议。

windows中的TDI传输器通常实现了与它们主协议相关联的所有协议。例如，IPv4 TCP/IP驱动程序（Tcpip.sys）实现了TCP,UDP,IP,ARP,ICMP和IGMP。TDI传输器通常会创建代表其他特定协议的设备对象，所以，客户可以获得一个代表某个协议的文件对象，并利用IRP来向该协议发出网络I/O

（!drvobj tcpip 查看TCP/IP的设备对象）

TDI也为像UDP这样的无连接的协议，提供了无连接通信的支持，而且，TDI也提供了一种方法，让TDI客户可以向TDI传输器注册“事件回调”。

TCP/IP的扩展

其他的windows的网络服务通过一些附加的驱动程序扩展了TCP/IP协议驱动程序的基本网络特性。这些附加的驱动程序利用私有的接口来与TCP/IP协议驱动程序集成在一起。这些扩展网络服务包括网络地址转译（NAT），IP过滤，IP钩子和Internet协议安全性（IPSec）

网络地址转译

网络地址转译是一种路由服务，它允许多个私有IP地址被映射到单个公共IP地址上。如果没有NAT，那么LAN中的每台计算机必须分配一个公共的IP地址才能通过Internet进行通信。

windows上的NAT组件是由一个NAT设备驱动程序（Ipnat.sys）和一些编辑器构成的，其中，设备驱动程序将NAT与TCP/IP栈连接起来，而这些编辑器可以执行除了地址和端口转译以外其他更多的包处理任务。

IP过滤（关键词： windows XP IP过滤）IP过滤器和过滤器钩子

远程过程调用

远程过程调用（RPC）是一个网络编程标准。微软的RPC实现是与OSF/DCE标准相兼容的。RPC建立在其他网络API基础之上，比如命名管道或者WinSock，其目的是提供另一种“能在某种程度上向应用程序开发人员隐藏细节”的编程模型

RPC的操作

RPC设施是指这样的设施，它允许程序员创建一个包含许多过程的应用程序，其中有些过程在本地执行，其他的过程通过网络在远程计算机上执行。传统的网络软件是以I/O处理模型为结构来组织的，RPC采用了一种完全不同的方法。RPC应用程序就好像其他的结构化应用程序一样，它有一个主程序，主程序调用过程或过程库完成特定的任务。然而，RPC应用程序和普通应用程序的区别在于，RPC应用程序中的有些过程库是在远程计算机上执行的，而其他过程库是在本地执行的。

编写RPC应用程序，不需要程序员主动编写代码来跨网络传输计算类型的请求或者与I/O相关的请求，而是由RPC软件自动地完全诸如“处理网络协议，处理网络错误，等待结果”之类的任务

RPC的实现

一个基于RPC的应用跟RPC运行时DLL（rpcrt4.dll）链接在一起。RPC运行时DLL提供了参数打包和解包函数，供应用程序的RPC函数的存根使用；DLL也提供了相应的函数用于发送和接收打包后的数据。DLL也包含了一些例程，以处理基于网络的RPC和一种称为本地RPC的形式。

RPC子系统被实现为一个windows服务。

Web访问API

方便开发Internet程序，不需掌握FTP,HTTP协议的复杂细节知识，提供对应的服务。

http

服务器应用程序利用http API可以进行注册，以接收来自某些特定URL的Http请求，接收http 请求，以及发送http应答。http API包含了安全套接字层（SSL）的支持，所以，应用程序可以再安全的Http连接上交换数据。该API包含了服务器的缓存能力，同步和异步I/O模型，以及Ipv4和IPv6两种编址方式。

应用程序通过Httpapi.dll库可以访问http API，而http API依赖于内核模式的Http.sys驱动程序。第一次有应用程序调用HttpInitialize时，Http.sys便按需启动。应用程序使用HttpCreateHanle来创建一个私有的请求队列，并且使用HttpAddUrl来指定它想要处理的URL。

应用程序可以使用Http.sys来将数据缓存在非换页的物理内存中，其做法是，调用HttpAddToFragmentCache并且在被缓存的数据上关联一个段名称。该驱动调用内存管理器函数MmAllocatePagesForMdl来申请未映射的物理页面。当该驱动要求为缓存中某一项所描述的物理内存执行一个虚拟地址映射时，它使用MmMapLockedPagesSpecifyCache，然后再完成了访问以后使用MmUnmapLockedPages。该驱动一直维护这这些被缓存的数据，直到一个应用程序让它变成无效，或者一个应用程序选择的，与该数据相关联的可选超时值到期为止。该驱动也会在一个辅助线程中修剪被缓存的数据，当低内存通知时间变成有信号状态时，该线程被唤醒。当一个应用程序在HttpSendHttpResponse调用中指定了一个或多个段名称时，该驱动传递一个指针（指向物理内存中被缓存的数据）给TCP/IP驱动程序，从而避免一次拷贝工作。

**************************************************************************************************命名管道和邮件槽关键词：UNC OS/2 LAN MANAGER 命名管道操作关键词：CreateNamedPipe，消息模式，字节模式，ConnectNamedPipe，CallNamedPipe，邮件槽的操作关键词：CreateMailslot 命名管道和邮件槽的实现关键词：Npfs.sys Msfs.sys