createprocess執(zhí)行過(guò)程(精簡(jiǎn))

1、創(chuàng)建進(jìn)程的過(guò)程分成六個(gè)階段，發(fā)生于操作系統(tǒng)的三個(gè)部分中。三個(gè)部分是：1，Windows客戶端即某個(gè)應(yīng)用進(jìn)程的包括Kernel32.dll在內(nèi)的動(dòng)態(tài)連接庫(kù)2，Windows的“執(zhí)行體”、即內(nèi)核(確切地說(shuō)是內(nèi)核的上層)3，以及Windows子系統(tǒng)的服務(wù)進(jìn)程Csrss中。六個(gè)階段是：1.打開(kāi)目標(biāo)映像文件。2.創(chuàng)建Windows的“執(zhí)行體進(jìn)程對(duì)象”，也就是內(nèi)核中的“進(jìn)程控制塊”數(shù)據(jù)結(jié)構(gòu)。3.創(chuàng)建該進(jìn)程的初始(第一個(gè))線程，包括其堆棧、上下文、以

2、及“執(zhí)行體線程對(duì)象”，即內(nèi)核中的“線程控制塊”數(shù)據(jù)結(jié)構(gòu)。4.將新建進(jìn)程通知Windows子系統(tǒng)。5.啟動(dòng)初始線程地運(yùn)行(除非因?yàn)閰?shù)中的CREATE_SUSPENDED標(biāo)志位為1而一創(chuàng)建便被掛起)。6.在新進(jìn)程和線程的上下文中完成用戶空間的初始化，包括裝入所需的DLL，然后開(kāi)始目標(biāo)程序的運(yùn)行。BOOLWINAPICreateProcess(__inLPCTSTRlpApplicationName__in_outLPTSTRlpCommL

3、ine__inLPSECURITY_ATTRIBUTESlpProcessAttributes__inLPSECURITY_ATTRIBUTESlpThreadAttributes__inBOOLbInheritHles__inDWDdwCreationFlags__inLPVOIDlpEnvironment__inLPCTSTRlpCurrentDirecty__inLPSTARTUPINFOlpStartupInfo__outLPP

4、ROCESS_INFMATIONlpProcessInfmation)在打開(kāi)可執(zhí)行映像之前執(zhí)行一下步驟：看書(shū)上。第一階段：打開(kāi)目標(biāo)映像文件第一階段：打開(kāi)目標(biāo)映像文件在Win32位API中，創(chuàng)建進(jìn)程是由CreateProcess()完成的。這實(shí)際上是個(gè)宏定義，根據(jù)不同的情況定義成CreateProcessA()或CreateProcessW()之一，這兩個(gè)函數(shù)都在kernel32.dll中(可以用工具depends觀察)。兩個(gè)函數(shù)的區(qū)別僅

5、在于字符串的表達(dá)，前者采用II字符，而后者采用“寬字符”、即Unicode。實(shí)際上Windows的內(nèi)部都采用寬字符，所以前者只是把字符串轉(zhuǎn)換成寬字符格式，然后調(diào)用后者?？梢栽赪indows上運(yùn)行的可執(zhí)行軟件有好幾類(lèi)，處理的方法自然就不一樣：●Windows的32位.exe映像，直接運(yùn)行?！馱indows的16位.exe映像，啟動(dòng)ntvdm.exe，以原有命令行作為參數(shù)。●DOS的.exe、.com、或.pif映像，啟動(dòng)ntvdm.exe

6、，以原有命令行作為參數(shù)?！馜OS的.bat或.cmd批命令文件(腳本)，啟動(dòng)cmd.exe，以原有命令行作為參數(shù)?！馪OSIX可執(zhí)行映像，啟動(dòng)posix.exe，以原有命令行作為參數(shù)?！馩S2可執(zhí)行映像，啟動(dòng)os2.exe，以原有命令行作為參數(shù)。這里面最重要的當(dāng)然是32位的.exe映像，而最后兩類(lèi)現(xiàn)在已經(jīng)很少見(jiàn)了。從對(duì)于除映像裝入地址等等信息。PEB在用戶空間中的位置是固定的，總是在0x7ffdf000。在Windows中，用戶空間和系

7、統(tǒng)空間的分界線是2GB、即0x80000000，所以PEB在靠近用戶空間頂端的地方。所謂創(chuàng)建內(nèi)核中的進(jìn)程對(duì)象，實(shí)際上就是創(chuàng)建以EPROCESS為核心、為基礎(chǔ)的相關(guān)數(shù)據(jù)結(jié)構(gòu)，這就是系統(tǒng)調(diào)用NtCreateProcess()要做的事情，主要包括：●分配并設(shè)置EPROCESS數(shù)據(jù)結(jié)構(gòu)?！衿渌嚓P(guān)的數(shù)據(jù)結(jié)構(gòu)的設(shè)置，例如“打開(kāi)對(duì)象表”。●為目標(biāo)進(jìn)程創(chuàng)建初始的地址空間。●對(duì)目標(biāo)進(jìn)程的“內(nèi)核進(jìn)程塊”KPROCESS進(jìn)行初始化?！駥⑾到y(tǒng)DLL的映像映射

8、到目標(biāo)進(jìn)程的(用戶)地址空間?！駥⒛繕?biāo)進(jìn)程的映像映射到其自身的用戶空間。●設(shè)置好目標(biāo)進(jìn)程的“進(jìn)程環(huán)境塊”P(pán)EB?！裼成淦渌枰成涞接脩艨臻g的數(shù)據(jù)結(jié)構(gòu)，例如與“當(dāng)?shù)卣Z(yǔ)言支持”、即NLS有關(guān)的數(shù)據(jù)結(jié)構(gòu)?！裢瓿蒃PROCESS創(chuàng)建，將其掛入進(jìn)程隊(duì)列(注意受調(diào)度的是線程隊(duì)列而不是進(jìn)程隊(duì)列)。這里將系統(tǒng)DLL、實(shí)際上是ntdll.dll、映射到目標(biāo)進(jìn)程的用戶空間是很關(guān)鍵的。這是因?yàn)?，除別的、主流的功能和作用外，ntdll.dll同時(shí)也起著相當(dāng)于

9、Linux中ELF“解釋器”的作用，也擔(dān)負(fù)著為目標(biāo)映像建立動(dòng)態(tài)連接的任務(wù)。第三階段：創(chuàng)建初始線程第三階段：創(chuàng)建初始線程如上所述，進(jìn)程只是個(gè)空架子，實(shí)際的運(yùn)行實(shí)體是里面的線程。所以下一步就是創(chuàng)建目標(biāo)進(jìn)程的初始線程，即其第一個(gè)線程。與EPROCESS相對(duì)應(yīng)，線程的數(shù)據(jù)結(jié)構(gòu)是ETHREAD，并且其第一個(gè)成分是數(shù)據(jù)結(jié)構(gòu)KTHREAD，稱為T(mén)CB。此外，就像進(jìn)程有“進(jìn)程環(huán)境塊”P(pán)EB一樣，線程也有“線程環(huán)境塊”TEB，KTHREAD結(jié)構(gòu)中有個(gè)指針

10、指向其存在于用戶空間的TEB。前面講過(guò)，PEB在用戶空間的位置是固定的，PEB下方就是TEB，進(jìn)程中有幾個(gè)線程就有幾個(gè)TEB，每個(gè)TEB占一個(gè)4KB的頁(yè)面。NtCreateThread()調(diào)用PspCreateThread()，PspCreateThread()調(diào)用KeInitThread()。這個(gè)階段的操作是通過(guò)系統(tǒng)調(diào)用NtCreateThread()完成的，主要包括：●創(chuàng)建和設(shè)置目標(biāo)線程的ETHREAD數(shù)據(jù)結(jié)構(gòu)，并處理好與EPROC

11、ESS的關(guān)系(例如進(jìn)程塊中的線程計(jì)數(shù)等等)?！裨谀繕?biāo)進(jìn)程的用戶空間創(chuàng)建并設(shè)置目標(biāo)線程的TEB?！駥⒛繕?biāo)線程在用戶空間的起始地址設(shè)置成指向Kernel32.dll中的BaseProcessStart()或BaseThreadStart()，前者用于進(jìn)程中的第一個(gè)線程，后者用于隨后的線程。用戶程序在調(diào)用NtCreateThread()時(shí)也要提供一個(gè)用戶級(jí)的起始函數(shù)(地址)，BaseProcessStart()和BaseThreadStart