Раздел: Компьютерная документация -> Программирование -> C / C++

Введение

Подсистемы окружения

Ntdll.dll

Функции библиотек подсистемы окружения Win32 необходимо разделить на две группы. К первой относятся функции, не требующие перехода в режим ядра, т. е. полностью реализованные в соответствующей DLL (GetCurrentProcess). Вторая группа функций - функции, требующие вызова к Ntdll.dll и как следствие переключения в режим ядра (WriteFile).

В режиме ядра также работают USER и GDI (подсистемы, реализующие GUI-интерфейс). Но в отличие от библиотек Kernel32.dll и Advapi32.dll, библиотеки User32.dll и Gdi32.dll транслируют свои вызовы в драйвер режима ядра Win32k.sys, который также является частью подсистемы Win32.

Исполнительная система и ядро

Диспетчер системных сервисов

KiSystemService принимает номер системного сервиса от Ntdll.dll, находит соответствующий элемент в таблице диспетчеризации системных сервисов и передает системный сервис на обработку исполнительной системе. Ntdll.dll передает в регистре EAX номер системного сервиса, регистр EBX указывает на параметры, передаваемые системному сервису. Затем следует инструкция int 0x2e и по таблице диспетчеризации прерываний, управление передается диспетчеру системных сервисов.

Вызываемые интерфейсы ядра

Для того, чтобы вызвать системный сервис из Ntdll.dll, нужно получить ее адрес в виртуальном адресном пространстве процесса функцией LoadLibrary, а затем получить указатель на соответствующую функцию вызовом GetProcAddress. Например, в следующем коде показано, как вызвать сервис NtQuerySystemInformation из Ntdll.dll для получения информации о количестве процессоров, установленных в системе.

//Определяем таким образом для Windows XP
#define _WIN32_WINNT	0x0501

#include 
#include 
#include 

#define STATUS_SUCCESS	(NTSTATUS)0x00000000L

void main()
{
	SYSTEM_BASIC_INFORMATION	sysinfo;
	ULONG					ReturnLength;

	NTSTATUS 
(WINAPI 
*pNtQuerySystemInformation)(SYSTEM_INFORMATION_CLASS,
PVOID,ULONG,PULONG);
	HMODULE hModule=LoadLibrary("Ntdll.dll");
	pNtQuerySystemInformation=
	(NTSTATUS (WINAPI*)(SYSTEM_INFORMATION_CLASS,PVOID,ULONG,PULONG))
			GetProcAddress(hModule,"NtQuerySystemInformation");
	if(pNtQuerySystemInformation==NULL) abort();
	if(((pNtQuerySystemInformation)(SystemBasicInformation,&sysinfo,
		sizeof(sysinfo),&ReturnLength))!=STATUS_SUCCESS) abort();
	printf("Number of processors: %d\n",sysinfo.NumberOfProcessors);
}

Обратите особое внимание на файл winternl.h, в котором объявлены многие недокументированные структуры и функции. Наконец-то Microsoft приоткрыла завесу тайны над внутренними сервисами, экспортируемыми Ntdll.dll.

Этот заголовочный файл стал настоящей находкой для системных программистов, т. к. он содержит объявления многих недокументированных сервисов, экспортируемых из Ntdll.dll. Остается только догадываться, почему Microsoft решилась объявить эти функции, хотя они до сих пор относятся к разряду не документированных. К их числу относят: NtCreateFile, NtOpenFile, NtWaitForSingleObject. Например, прототип всем известного внутреннего сервиса NtCreateFile выглядит следующим образом.

NTSTATUS NtCreateFile( PHANDLE FileHandle, ACCESS_MASK DesiredAccess,
POBJECT_ATTRIBUTES ObjectAttributes, PIO_STATUS_BLOCK IoStatusBlock,
PLARGE_INTEGER AllocationSize, ULONG FileAttributes, ULONG ShareAccess, ULONG CreateDisposition, ULONG CreateOptions, PVOID EaBuffer, ULONG EaLength);

Мало того, в Platform SDK Windows Server 2003 можно встретить описание этих недокументированных функций. Последнюю версию можно скачать с сайта Microsoft.

Функции, экспортируемые Ntdll.dll

Большинство функций Ntdll.dll начинаются со следующих префиксов.

Сс	Диспетчер кэша
Cm	Диспетчер конфигурации
Ex	Функции поддержки Executive
FsRtl	Функции библиотеки периода выполения драйвера файловой системы
Hal	Функции HAL
Io	Функции диспетчера ввода-вывода
Ke	Функции ядра
Lpc	Механизм Lpc
Lsa	Локальная аутентификация
Mm	Функции диспетчера памяти
Nt	Системные сервисы
Ob	Функии диспетчера объектов
Po	Функции диспетчера электропитания
Pp	Функции диспетчера Plug and Play
Ps	Функции поддержки процессов
Rtl	Функции библиотеки периода выполнения
Se	Функции защиты
Wmi	WMI
Zw	Точка входа для системных сервисов (аналогичная префиксу Nt)

Win32 API и Windows API

Автор: Baranov Artem
Источник: www.citforum.ru