源码剖析之Ntoskrnl.docx
- 文档编号:28688937
- 上传时间:2023-07-19
- 格式:DOCX
- 页数:32
- 大小:35.24KB
源码剖析之Ntoskrnl.docx
《源码剖析之Ntoskrnl.docx》由会员分享,可在线阅读,更多相关《源码剖析之Ntoskrnl.docx(32页珍藏版)》请在冰豆网上搜索。
源码剖析之Ntoskrnl
第一章ntoskrnl2
一系统启动3
二Idle进程6
三初始化内核7
1内核初始化综述7
2初始化内核结构10
3初始化进程对象11
4初始化线程对象12
5初始化执行体15
6初始化硬件体系层18
7初始化执行体组件21
第一章ntoskrnl
Ntoskrnl程序位于private\ntos\init目录下,其入口有2个:
ntkrnlmp.c、ntoskrnl.c,但ntkrnlmp.c只有一句代码:
#include"ntoskrnl.c",2个其实是1个。
ntoskrnl的主函数里仅仅调用了KiSystemStartup函数,ntoskrnl的入口函数还是要看KiSystemStartup函数了。
一系统启动
KiSystemStartup函数
_KiSystemStartup函数的实现代码位于private\ntos\ke\i386\newsysbg.asm文件中。
这个模块是台湾的宗世麟(Shie-LinTzong(shielint))在1990年编写的,国立台湾大学82届资讯系毕业,他编写了nt4内核的X86汇编代码。
(遐想:
Windows内核代码居然有台湾人参与,但中国大陆却无人参与,可叹!
难道中国只能开发应用软件,无人能做系统软件的开发吗?
别跟我提那些只会做皮不会写瓤的中国Linux厂商。
)
启用每个CPU时都会调用此函数,分2种情况:
启动CPU、其他CPU,执行操作有细微不同。
CPU的数量保存在几个变量中(_KeNumberProcessors、KissPbNumber)。
CPU0使用的线程对象、堆栈空间是静态内存,线程对象(ETHREAD)是P0BootThread,堆栈空间是P0BootStack,大小03000H(12K)。
CPU0设置FS=KGDT_R0_PCR(030H)。
所有的CPU都调用KiInitializeMachineType函数获取机器类型,函数位于private\ntos\ke\i386\i386init.c文件中。
机器类型保存在加载参数块中(计算方法:
KeLoaderBlock->u.I386.MachineType&0x000ff),各个字节的含义如下:
字节
含义
Byte0
MachineType,ISA,EISAorMCA
Byte1
CPUtype,i386ori486
Byte2
CpuStep,AorB...etc
Highestbit
indicatesifNPXispresent
调用GetMachineBootPointers函数获取相关的gdt、pcr、tss、idt地址,
调用sgdt指令加载gdt获取地址,通过FS保存的PCR选择子获取PCR地址,通过str指令加载TSS选择子获取TSS地址,通过sigt指令加载idt获取地址。
GDT中的TSS(28h)描述符是16位的,需要修改为32位,初始化TSS,加载此TSS选择子到TR寄存器。
286CPU使用16位TSS格式。
TSS描述符的第5个字节设置为89h(dpl=0,present,TSS32,notbusy),则设置成了32位TSS。
初始化TSS分2种情况,1种是初始化静态不变的TSS成员(KiInitializeTSS),1种是初始化仅需要设置1次的成员(KiInitializeTSS2函数)。
KiInitializeTSS函数设置TSS静态成员。
IoMapBase设置为IO_ACCESS_MAP_NONE的IOPM偏移地址,在V86模式时IO进入硬件。
flag(T)为0,任务切换时不引起调试异常。
LDT为0,即不使用LDT。
Ss0为KGDT_R0_DATA(010H)。
KiInitializeTSS2函数设置仅需要设置1次的成员。
Limit设置为(sizeof(KTSS)-1)。
TSS有2张MAP,Tss->IoMaps中的IoMap设置为-1。
Tss->IoMaps中的DirectionMap(软中断重定向)设置为0。
Tss->IntDirectionMap(IO_ACCESS_MAP_NONE)设置为0,
设置双重错误(doublefault)、NMI中断的任务门。
需要设置IDT、GDT、TSS。
双重错误任务门是8号中断,位于IDT中的40h,设置任务门的05h字节为85h(dpl=0,present,taskgate),任务门的02h字节(TSSSegmentSelector)为KGDT_DF_TSS。
双重错误任务门的门描述符位于GTD+KGDT_DF_TSS,05字段设置为089h,基地值BASE设置为_KiDoubleFaultTSS,LIMIT设置为MINIMUM_TSS_SIZE(068H)。
调用_KiInitializeTSS函数初始化TSS段_KiDoubleFaultTSS,CR3设置为当前CPU的CR3,EIP=_KiTrap08,eflags=0,CS=KGDT_R0_CODE,FS=KGDT_R0_PCR,ss=当前CPU的SS,Es=Ds=KGDT_R3_DATAORRPL_MASK。
TSS的堆栈ESP=ESP0,在DBG模式时,设置为_KiDoubleFaultStack;构建时,把内核镜像的ZWthunks部分作为堆栈,即((FLAT:
_ZwUnmapViewOfSection@8-4)&(~3)),此时先检验ZWthunks区域大小是否小于0a00h,ZWthunks区域大小计算方式:
(((FLAT:
_ZwUnmapViewOfSection@8-4)&(~3)-FLAT:
_ZwAcceptConnectPort@24),如果大于,则显示错误信息'DFStackinternalerror'。
NMI中断任务门是2号中断,位于IDT中的10h,设置任务门的05h字节为85h(dpl=0,present,taskgate),任务门的02h字节(TSSSegmentSelector)为KGDT_NMI_TSS。
NMI中断任务门的门描述符位于GTD+KGDT_NMI_TSS,05字段设置为089h,基地值BASE设置为_KiNMITSS,LIMIT设置为MINIMUM_TSS_SIZE(068H)。
调用_KiInitializeTSS函数初始化TSS段_KiNMITSS,CR3设置为当前CPU的CR3,堆栈ESP=ESP0=DoubleFault的TSS堆栈,EIP=_KiTrap02,eflags=0,CS=KGDT_R0_CODE,FS=KGDT_R0_PCR,ss=当前CPU的SS,Es=Ds=KGDT_R3_DATAORRPL_MASK。
_KiInitializePcr函数初始化处理器的PCR,每个处理器含有自己的GDT、IDT、TSS。
把当前线程对象中的进程地址设置为_KiIdleProcess地址。
[KissIdleThread]+ThApcState+AsProcess=offsetFLAT:
_KiIdleProcess。
设置PCR->Teb=0,设置KernelDr7和KernelDr6为0。
_KiSwapIDT函数交换IDT描述符的(SegmentSelector)和(Offset31..16)数据,因为IDT表是按照IDTEntry宏定义设置的,这2个数据的位置是错位的,交换即可。
设置DS=ES=KGDT_R3_DATAORRPL_MASK。
复制陷阱句柄替换内核调试句柄,但保留doublefault和nmifault。
先把doublefault和nmifault的描述符push到堆栈,再复制_IDT的数据到kissIDT,最后从堆栈中pop出doublefault和nmifault的描述符。
如果是新处理器,则先获取freezelock,再更新CPU广播位,调用_HalInitializeProcessor初始化CPU,调用_KiInitializeAbios初始化ABIOS数据,增加处理器计数,最后释放freezelock。
_HalInitializeProcessor函数初始化CPU的PCR,PcIDR=0fffffffbh,启用次IRQ;PcStallScaleFactor=INITIAL_STALL_COUNT(064H)。
_KiInitializeAbios函数初始化GDT空闲列表,且设置KiI386AbiosCall选择子。
从KeLoaderBlock中获取CommonDataArea,检验CommonDataArea是否为空,处理器是否是0,初始化KiAbiosGdtLock、KiAbiosLidTableLock,调用KiAbiosGetGdt函数获取GDT
(即fs:
PcGdt),调用KiInitializeAbiosGdtEntry函数初始化16位堆栈段、数据段、代码段,
如果是P0,调用Ki386InitializeGdtFreeList函数初始化GDT空闲列表。
GDT保留了3个选择子给16位的堆栈段、代码段、数据段,以便在i386模式下调用BIOS中断。
16位段
描述符
大小
类型
堆栈段
KGDT_STACK16(0xf8)
0~0xFFFF
TYPE_DATA(0x12)
数据段
KGDT_CDA16(0xe8)
CommonDataArea~0xFFFF
TYPE_DATA(0x12)
代码段
KGDT_CODE16(0xf0)
KiI386AbiosCall函数
TYPE_CODE(0x18)
Ki386InitializeGdtFreeList函数初始化GDT空闲列表,GDT开始处的28个项为保留的,从GDT末尾开始,如果GDT项的Present为0,则链接GDT列表的Flink,最后一项的Flink为0。
检验处理器号,如果是0,则先调用_KdInitSystem初始化系统,再调用POLL_DEBUGGER给调试器一个机会获取控制权。
POLL_DEBUGGER宏调用_KdPollBreakIn函数检验是否进入调试模式,如果是,则调用_DbgBreakPointWithStatus函数进入调试模式,且状态值是DBG_STATUS_CONTROL_C(01H)。
_DbgBreakPointWithStatus函数把参数(状态值)放在EAX,调用int3进入调试模式。
调用KfRaiseIrql函数提升IRQL到HIGH_LEVEL。
检验P0处理器是否支持cmpxchg8b指令,如果不支持,则修改使用此指令的函数,使其跳转到使用SpinLock的相应函数。
先通过检验EFLAGS寄存器的bit21位是否设置、清除来查看是否支持cpuid指令,如果
不能,则修改函数。
如果能,则eax赋值1,执行cpuid指令,查看edx寄存器的bit8位,如果是0,则修改函数,如果是1,则支持cmpxchg8b指令,设置变量_KiBootFeatureBits的bit7位为1(KF_CMPXCHG8B=0x00000080)。
修改4个函数:
原函数
目标函数
ExInterlockedCompareExchange64
ExpInterlockedCompareExchange64
ExInterlockedPopEntrySList
ExfInterlockedPopEntrySList
ExInterlockedPushEntrySList
ExfInterlockedPushEntrySList
_ExInterlockedExchangeAddLargeInteger
_ExInterlockedAddLargeInteger
修改方法,把原函数的入口处的代码修改为jmp指令,跳转到目标函数。
先获取原函数、目标函数的地址,原函数的首字节为0e9h(Jumpnear),计算目标函数和jmp语句的偏移,赋值给原函数的第2~5字节。
初始化寄存器,调用_KiInitializeKernel函数初始化系统数据结构、硬件。
设置当前线程的属性为实时优先线程。
[fs:
PcPrcbData+PbCurrentThread]+ThPriority=LOW_REALTIME_PRIORITY
空闲线程在IRQL为HIGH_LEVEL时返回控制权,则开中断,调用KfLowerIrql函数降低IRQL到DISPATCH_LEVEL,设置空闲线程的ThWaitIrql为DISPATCH_LEVEL。
在多处理器中,P0直接计进入idle循环,其他处理去,则需要等待_KiBarrierWait障碍,当_KiBarrierWait为0时,才能进入idle循环。
最后进入Idle进程。
二Idle进程
这个进程执行空循环且永不返回。
并且根据当前CPU号决定是否进入调试系统、执行DPC、切换线程等功能。
(见KiIdleLoop函数)
空循环就2条指令:
sti、hlt,开中断,停止当前CPU指令的执行,执行电源管理。
如果当前CPU号是最低的,且breakin轮询值为0,则进入调试系统。
轮询值从20000开始,逐次递减。
从当前CPU的PCR中获取DPC列表,如果不为空,则设置中断级别为DISPATCH_LEVEL,清理软件中断,开始处理PDC列表。
完毕以后,breakin轮询值清零。
如果当前CPU的DPC列表为空,则检查下一个要执行的线程,如果没有,则进入空循环;如果有,则切换线程,执行下一个线程的DPC。
切换线程时,先获取_KiDispatcherLock锁,提升IRQL为SYNCH_LEVEL,开中断,获取下一个线程的地址,禁用APC中断,切换线程上下文,把IRQL降低到DISPATCH_LEVEL。
处理PDC列表时,设置DPC程序激活值,占用DPC锁,从DPC列表中获取当前DPC项,移除此项,保存当前中断事件、数量等,获取DPC对象的参数,清理DPC插入标记,减少DPC深度,释放DPC锁,开中断,调用DPC延迟函数。
(见KiRetireDpcList函数)
调用完成后,要检查当前IRQL、堆栈、运行时间。
如果当前IRQL不等于DISPATCH_LEVEL,则报IRQL_NOT_GREATER_OR_EQUAL蓝屏;如果执行前后堆栈不相等,则打印DPC破坏ESP的信息,清堆栈,进入调试器,处理下一个DPC函数;如果运行时间超时,则打印DPC超时的信息,再检查是否启动调试模式,如果有,则进入调试系统,如果没有,则处理下一个DPC函数。
如果都正常,则清堆栈,执行下一个DPC函数。
DPC列表执行完毕后,清理DPC程序激活值,清DPC中断请求值,返回。
三初始化内核
1内核初始化综述
KiInitializeKernel函数
此函数位于\private\ntos\ke\i386\kernlini.c文件中。
功能是初始化内核数据结构、idle线程进程对象、PCB,调用执行体初始化函数,返回到系统启动程序,当新的处理器上线时也会调用这个函数初始化处理器指定的结构。
调用KiSetProcessorType函数设置CPU类型、步进,保存到CPU的PRCB中。
先尝试更改EFLAGS寄存器的ID位(bit21),检验是否支持CPUID指令,如果能更改,则支持,调用CPUID获取CPU类型;如果不能更改,则不支持CPUID指令,尝试更改EFLAGS寄存器的AC位(bit18),如果能更改,则是386,再调用Get386Stepping函数获取步进;如果不能更改,则是486,再调用Get486Stepping函数获取步进。
调用CPUID指令之前,先把Trap6改为临时处理无效指令的异常处理代码,当调用CPUID时,发生此异常,则先恢复Trap6的原始异常处理代码,再进行处理器判断(386或486)。
先设置CPUID参数(EAX)为0,调用CPUID指令,如果EAX值大于3,则是586;如果小于1,则进行(386或486)处理器判断;如果是其他值,则再设置CPUID参数(EAX)为1,调用CPUID指令,EAX的bit13、bit14位则是处理器类型。
调用Get386Stepping函数获取386步进。
先调用386的32bit乘法指令mul,如果失败,则步进为0;如果成功,则调用xbts指令,如果失败,则步进为B0(100h);如果成功,则更改调试异常(Trap1)为临时Trap1处理代码,设置EFLAGS寄存器的TF位(bit8),调用popfd指令,如果产生调试异常,则步进为D1(301h);如果没有,则步进为B1(101h)。
调用Get486Stepping函数获取486步进。
如果CRO的ET位(bit4)为1,且不能被清除,则步进为A(0);如果能被清除,则执行moveax,DR4指令,如果产生Trap06异常,则步进为B(100h);否则,则调用_KiIsNpxPresent函数检验Npx是否存在,如果不存在,则步进为C(200h);如果存在,则调用FPU相关指令,如果执行失败,则步进为C(200h);如果成功,则步进为D(300h)。
调用_KiSetCR0Bits函数设置CRO位,如果CPU类型高于386,则设置CR0的WP位(bit16)。
调用KiIsNpxPresent函数检验数字附处理器是否存在,且根据NPX是否存在、CPU类型设置CRO寄存器值。
先调用fninit指定初始化NPX,再调用fnstsw指令获取状态,如果状态是0,则NPX存在,否则不存在。
先清理CRO的ET、MP、TS、EM位,如果不存在NPX,则只EM、TS置位,如果存在NPX,则ET也置位,如果CPU类型高于386,则NE也置位。
调用KeGetPcr函数获取PCR地址,即PCR的PcSelfPcr(01CH)值。
当定义NT_UP时,PCR等于0FFDFF000H,否则PCR等于FS寄存器的值。
NT_UP是当在单处理器上创建OS时才定义的,打开各种各样的在单CPU时使用的已知的short-cuts。
(NT_UPisdefinedwhentheuniprocessorbuildoftheo/siscreated,andturnsonvariousshort-cutsthatcanbeusedwhenitisknownthatonlyasingleCPUispresent.)
初始化PRCB的DPC列表、DPC锁、其他成员。
检验PRCB的CPU类型,仅仅支持NONE、INTEL、AMD三种类型,如果是CYRIX处理器,则报(UNSUPPORTED_PROCESSOR,0x386,0,0,0)蓝屏。
如果是P0处理器,初始化设置CPU类型、步进、型号、级别、版本等。
调用KiGetFeatureBits函数获取CPU特征。
如果BOOT时支持cmpxchg8b指令,检验获取到的CPU特征是否支持cmpxchg8b指令,如果不支持,则报(MULTIPROCESSOR_CONFIGURATION_NOT_SUPPORTED,KF_CMPXCHG8B,0,0,0)蓝屏。
降低IRQL到APC_LEVEL级别。
初始化内核内部锁KiContextSwapLock、KiDispatcherLock、KiFreezeExecutionLock。
调用KiInitSystem函数初始化CPU独有的结构。
调用KeInitializeProcess函数初始化idle线程进程对象,基本优先级(BasePriority)为0,亲和性(Affinity)为0xffffffff,页目录表(DirectoryTableBase)为0,是否自动对齐(AutoAlignment)为FALSE,线程时限(ThreadQuantum)为MAXCHAR(0x7f)。
如果是其他处理器,调用KiGetFeatureBits函数获取CPU特征。
系统中的所有CPU对NPX的有效性必须一致,要么全支持,要么全不支持,如果不一致,则报(MULTIPROCESSOR_CONFIGURATION_NOT_SUPPORTED,0x387,0,0,0)蓝屏。
检验CPU类型、步进,获取所有CPU的最低类型、步进。
检验所有CPU对KF_CMPXCHG8B指令的有效性是否一致,如果不一致,则报(MULTIPROCESSOR_CONFIGURATION_NOT_SUPPORTED,KF_CMPXCHG8B,0,0,0)蓝屏。
检验所有CPU对KF_GLOBAL_PAGE的有效性是否一致,如果不一致,则报(MULTIPROCESSOR_CONFIGURATION_NOT_SUPPORTED,KF_GLOBAL_PAGE,0,0,0)蓝屏。
获取所有CPU的最小的步进。
获取所有的CPU特征位的交集。
降低IRQL到DISPATCH_LEVEL。
系统分配了64K的共享数据区,内核、用户共享,地址范围是0xffdf0000~0xffdfffff。
在osloader中(BlSetupForNt函数)已经设置好相关的页目录表、页表等。
共享数据区是KUSER_SHARED_DATA结构。
这里仅仅更新此结构的ProcessorFeatures(处理器特征位),ProcessorFeatures是大小为64的BOOLEAN类型数组,每个数组成员表示处理器的某个特征,目前定义了4个特征,分别是:
这里根据变量KeFeatureBits设置此数组。
KeFeatureBits的bit8位是MMX指令有效位,如果是1,则PF_MMX_INSTRUCTIONS_AVAILABLE为TRUE,否则,为FALSE;KeFeatureBits的bit7位是CMPXCHG8B指令有效位,如果是1,则PF_COMPARE_EXCHANGE_DOUBLE为TRUE,否则,为FALSE。
调用KeInitializeThread函数初始化idle线程对象,设置线程对象的初始化内核堆栈(InitialStack)、堆栈基地址(StackBase)为(((ULONG)IdleStack)&0xfffffff0),堆栈最低地址(StackLimit)为((ULONG)Thread->InitialStack-KERNEL_STACK_SIZE),KERNEL_STACK_SIZE在AMD上为24K(0x6000),在i386上为12K(12288)。
下一个处理器号
(NextProcessor)为参数中的Number。
优先级(Priority)为HIGH_PRIORITY。
状态(State)为Running。
亲和性(Affinity)为(KAFFINITY)(1< 等待IRQL(WaitIrql)为DISPATCH_LEVEL。 设置进程的激活处理器号(ActiveProcessors)为(ActiveProcessors|(1<<(Member)))。 设置PRCB的当前线程、下一个线程、空闲线程。 调用ExpInitializeExecutive函数初始化执行体,此处用try-except捕获异常,异常处理是报PHASE0_EXCEPTION蓝屏
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 源码 剖析 Ntoskrnl
![提示](https://static.bdocx.com/images/bang_tan.gif)