深入解析Windows操作系统

笔记:

Windows 系统的基本架构

内容大多来自本书 Ch2. System Architecture

windows为什么会崩溃

windows崩溃（停止执行并显示蓝屏）有以下原因： 1.运行在内核模式下的设备驱动程序或者操作系统函数引发了一个未处理的异常。（内存访问违例） 2.调用一个内核支持的例程，导致一次重新调度（当中断请求级别IRQL为DPC/Dispatch级别或更高级别时等待一个处于无信号状态的分发器对象） 3.在DPC/Dispacth级别或者更高IRQL级别时，在“由页面文件或内存映射文件中的数据来支撑内存”上发生了一个页面错误（原理同2） 4.一个设备驱动程序或操作系统函数显式地使系统崩溃（通过调用系统函数KeBugCheckEx）。因为它检测到一个内部条件表明了数据遭受破坏，或者表明了其他的情形：在不冒险破坏数据的情况下系统无法继续执行 5.发生硬件错误。（机器检查或者不可屏蔽中断NMI）

当一个内核模式设备驱动程序或者子系统引发了一个非法的异常时，windows面临着困难的抉择。此时，它检测到了在操作系统中，有能力访问任何硬件设备和任何有效内存的系统代码部分做了一些不应该做的事情。 但是，为什么意味着windows必须要崩溃呢？难道就不能忽略该异常，继续执行吗？ --------该错误能被隔离出来的可能性是存在的，并且该组件将来能够通过某种方式被恢复过来的可能性也是存在的。但是，更有可能是，被检测到的异常来源于更深层的问题，系统继续下去可能导致更多异常，而且，存储在磁盘或其他外设中的数据可能也会遭受破坏，这样招致的风险太高了。

蓝屏

不管系统崩溃的原因是什么，真正执行崩溃的函数是KeBugCheckEx。该函数接受一个停止代码（也称错误检查码），以及四个根据停止代码来解释的参数。KeBug屏蔽了该系统的所有处理器上的所有中断以后，将显示器切换到低分辨率的VGA图形模式，绘制一个蓝色背景，然后显示此停止的代码，后面紧跟着一些文本建议用户应该来怎么做。最后，KebugCheckEx调用任何已注册的设备驱动程序错误检查回调函数（通过调用KeRegisterBugCheckCallback函数来注册的回调函数），从而让驱动程序有机会停止它们的设备。

崩溃转储文件

当系统崩溃时，系统总是试图记录下有关当前系统的状态的信息。对于一次系统崩溃，以下三种层次的信息可以被记录下来： 1.完全内存转储-------完全转储包含了在崩溃时刻所有的物理内存，要求页面至少是物理内存的大小再加上1MB（用于记录头信息） 2.内核内存转储--------值包含了在崩溃时刻位于物理内存中的内核模式的读/写页面。不包含用户进程的页面。 3.小内存转储--------默认的，大小64KB或者128KB，包含了停止代码和参数，已加载的设备驱动程序的列表，描述当前进程和线程的数据结构，以及引起这次崩溃的线程的内核栈

widows错误报告（这节，google细节）基本的崩溃转储分析（用Notmyfault工具分析）缓冲区溢出和特殊内存池

到目前为止，在windows上，最常见的崩溃源头是内存池被破坏

代码改写和系统代码写保护

（用Notmyfault工具分析）

栈破坏

（用Notmyfault工具分析）

NDIS驱动程序

当一个协议驱动程序想要按照其协议的格式从网络上读写消息时，该驱动程序必须通过一个网络适配器才能做到这一点。但是适配器产生多，有差别，为了统一才有了NDIS接口规范。

NDIS库实现了TDI传输器和NDIS驱动程序之间存在的NDIS边界。NDIS库只是一个辅助库，NDIS驱动成的客户利用它，对将要发送给NDIS驱动程序的命令进行格式化。NDIS驱动程序与该库互相协作，以便接收请求和送回应答。

NDIS驱动程序不是真正的windows驱动程序，因为如果没有NDIS库给予它们的封装，它们是不能正常工作的。这一隔离层将NDIS驱动程序完全包装起来，因而NDIS驱动程序并不接受和处理IRP。

（.load ndiskd 然后 !miniports 列出已加载的NDIS小端口 ）NDIS小端口的变化形式

NDIS模型也支持混合的TDI传输器-NDIS驱动程序，此驱动程序称为NDIS中间驱动程序。这样的驱动程序位于TDI传输器和NDIS驱动程序之间。它为网络适配器提供容错和负载平衡特性的软件。

面向连接的NDIS

面向连接的NDIS驱动程序使用了标准NDIS驱动程序也使用的许多同样的API；然而，面向连接的NDIS驱动程序通过建立的网络连接来发送数据包，而不是将数据包放在网络介质上。

外接NDIS

外接NDIS是一个针对“位于动态即插即用总线（USB,IEEE 1394）上的网络设备”的规范。该规范彻底消除了硬件厂商编写NDIS小端口驱动程序的必要性，它的做法是，定义一些与总线无关的消息，以及定义一套机制，让镇邪消息可以再总线上传输。

绑定

windows网络体系结构中，各个层次上的组件互相之间是以什么方式找到对方的？将这些层次连接起来的过程称为“绑定”。当安装一个网络组件时，必须提供一个针对该组件的inf文件。

分层的网络服务

远程访问，活动目录，网络负载平衡，文件复制服务，分布式文件系统。 详细细节google

NetBIOS

NetBIOS同时支持可靠的面向连接的通信和不可靠的无连接的通信。windows支持NetBIOS是为了遗留下来的应用程序，在windows上，NetBIOS是由TCP/IP和IPX/SPX协议支持的。

NetBIOS名称关键词：命名规范，LANA，NetBIOS操作关键词：LANA，服务器应用程序NetBIOS API实现关键词：Netapi32.dll ，NetBIOS仿真器，Netbios.sys，转译TDI命令其他网络API关键词：实时通信，DCOM实时通信（RTC）关键词：在场信息DCOM关键词：扩展 COM多重定向器支持关键词：UNC标准，WNET API， MPR，MUP。多提供者转发器关键词：MPR组件，MPR.dll，远程FSD。多UNC提供者关键词：MUP，类似MPR，DFS分布式文件系统名称解析

名称解析是指这样一个过程：基于字符的名称，比如MyComputer或www.qq.com，被转译成一个可被协议栈识别的数值地址。windows提供两个与TCP/IP有关的名称解析协议：域名系统（DNS）和WINS（windows internet名称服务）

域名系统

域名系统（DNS）是一个标准。通过此标准，Internet名称可以被转译成对应的IP地址。如果网络应用程序想要将一个DNS名称解析成一个IP地址，则它利用TCP/IP协议向一个DNS服务器发送一个DNS查询请求。

windows Internet名称服务关键词： 维护， NetBIOS名称-IP地址，映射关系协议驱动程序

API驱动程序历来与内核模式的传输协议驱动程序来完成实际的转译工作。将API与底层协议分离，这样做可使得网络体系结构更加灵活，允许每个API使用许多不同的协议。

windows中的TDI传输器通常实现了与它们主协议相关联的所有协议。例如，IPv4 TCP/IP驱动程序（Tcpip.sys）实现了TCP,UDP,IP,ARP,ICMP和IGMP。TDI传输器通常会创建代表其他特定协议的设备对象，所以，客户可以获得一个代表某个协议的文件对象，并利用IRP来向该协议发出网络I/O

（!drvobj tcpip 查看TCP/IP的设备对象）

TDI也为像UDP这样的无连接的协议，提供了无连接通信的支持，而且，TDI也提供了一种方法，让TDI客户可以向TDI传输器注册“事件回调”。

TCP/IP的扩展

其他的windows的网络服务通过一些附加的驱动程序扩展了TCP/IP协议驱动程序的基本网络特性。这些附加的驱动程序利用私有的接口来与TCP/IP协议驱动程序集成在一起。这些扩展网络服务包括网络地址转译（NAT），IP过滤，IP钩子和Internet协议安全性（IPSec）

网络地址转译

网络地址转译是一种路由服务，它允许多个私有IP地址被映射到单个公共IP地址上。如果没有NAT，那么LAN中的每台计算机必须分配一个公共的IP地址才能通过Internet进行通信。

windows上的NAT组件是由一个NAT设备驱动程序（Ipnat.sys）和一些编辑器构成的，其中，设备驱动程序将NAT与TCP/IP栈连接起来，而这些编辑器可以执行除了地址和端口转译以外其他更多的包处理任务。

IP过滤（关键词： windows XP IP过滤）IP过滤器和过滤器钩子