深入解析Windows操作系统:卷1

第　1章 概念和工具　1
1．1　Windows操作系统的版本　1
1．1．1　Windows 10和未来的Windows版本　3
1．1．2　Windows 10和OneCore　3
1．2　基本概念和术语　3
1．2．1　Windows API　3
1．2．2　服务、函数和例程　6
1．2．3　进程　7
1．2．4　线程　15
1．2．5　作业　17
1．2．6　虚拟内存　18
1．2．7　内核模式和用户模式　20
1．2．8　虚拟机监控程序　23
1．2．9　固件　25
1．2．10　终端服务和多会话　25
1．2．11　对象和句柄　26
1．2．12　安全性　26
1．2．13　注册表　28
1．2．14　Unicode　28
1．3　深入了解Windows内部原理　30
1．3．1　性能监视器和资源监视器　30
1．3．2　内核调试　32
1．3．3　Windows软件开发包　36
1．3．4　Sysinternals工具　37
1．4　小结　37
第　2章 系统架构　38
2．1　需求和设计目标　38
2．2　操作系统模型　39
2．3　架构概述　39
2．3．1　可移植性　41
2．3．2　对称多处理器　42
2．3．3　可伸缩性　45
2．3．4　客户端和服务器版本之间的差异　45
2．3．5　已检验版本　48
2．4　基于虚拟化的安全架构概述　49
2．5　重要的系统组件　51
2．5．1　环境子系统和子系统DLL　52
2．5．2　其他子系统　57
2．5．3　执行体　61
2．5．4　内核　63
2．5．5　硬件抽象层　66
2．5．6　设备驱动程序　69
2．5．7　系统进程　74
2．6　小结　84
第3章　进程和作业　85
3．1　创建进程　85
3．1．1　CreateProcess*函数的参数　86
3．1．2　创建Windows“现代化”进程　87
3．1．3　创建其他类型的进程　87
3．2　进程的内部构造　88
3．3　受保护进程　95
3．3．1　受保护进程轻型（PPL）　96
3．3．2　对第三方PPL的支持　99
3．4　*小进程和Pico进程　100
3．4．1　*小进程　100
3．4．2　Pico进程　101
3．5　Trustlet（安全进程）　102
3．5．1　Trustlet的构造　103
3．5．2　Trustlet策略元数据　103
3．5．3　Trustlet的属性　104
3．5．4　系统内置的Trustlet　104
3．5．5　Trustlet的标识　105
3．5．6　隔离用户模式服务　105
3．5．7　Trustlet可访问的系统调用　106
3．6　CreateProcess的流程　107
3．6．1　第 1阶段：转换并验证参数和标志　108
3．6．2　第 2阶段：打开要执行的映像　112
3．6．3　第3阶段：创建Windows执行体进程对象　114
3．6．4　第4阶段：创建初始线程及其栈和上下文　118
3．6．5　第5阶段：执行与Windows子系统有关的初始化工作　120
3．6．6　第6阶段：初始线程的启动执行　121
3．6．7　第7阶段：在新进程的上下文中执行进程初始化工作　122
3．7　进程的终止　126
3．8　映像加载程序　127
3．8．1　进程初始化的早期工作　129
3．8．2　DLL名称解析和重定向　131
3．8．3　已加载模块数据库　135
3．8．4　导入解析　138
3．8．5　导入过程初始化的后处理　139
3．8．6　SwitchBack　140
3．8．7　API集　142
3．9　作业　144
3．9．1　作业的限制　145
3．9．2　使用作业　146
3．9．3　嵌套的作业　146
3．9．4　Windows容器（Server Silo）　150
3．10　小结　157
第4章　线程　158
4．1　创建线程　158
4．2　线程的内部机理　159
4．2．1　数据结构　159
4．2．2　线程的诞生　169
4．3　查看线程的活动　170
4．4　线程的调度　175
4．4．1　Windows调度概述　175
4．4．2　优先级级别　176
4．4．3　线程的状态　181
4．4．4　调度程序数据库　186
4．4．5　量程　188
4．4．6　优先级提升　193
4．4．7　上下文切换　207
4．4．8　调度场景　208
4．4．9　空闲线程　211
4．4．10　线程的挂起　214
4．4．11　（深度）冻结　214
4．4．12　线程的选择　216
4．4．13　多处理器系统　217
4．4．14　多处理器系统中线程的选择　230
4．4．15　处理器的选择　231
4．4．16　异质调度（big．LITTLE）　233
4．5　基于组的调度　234
4．5．1　动态公平共享调度　235
4．5．2　CPU速率限制　238
4．5．3　处理器的动态添加和替换　241
4．6　工作者工厂（线程池）　242
4．7　小结　245
第5章　内存管理　246
5．1　内存管理器简介　246
5．1．1　内存管理器组件　247
5．1．2　大页面和小页面　247
5．1．3　查看内存使用情况　249
5．1．4　内部同步　252
5．2　内存管理器提供的服务　252
5．2．1　页面状态和内存的分配　253
5．2．2　提交用量和提交限制　256
5．2．3　锁定到内存　256
5．2．4　分配的粒度　257
5．2．5　共享内存和映射文件　257
5．2．6　保护内存　259
5．2．7　数据执行保护　260
5．2．8　写入时复制　263
5．2．9　地址窗口扩展　264
5．3　内核模式堆（系统内存池）　265
5．3．1　池的大小　266
5．3．2　监视内存池的使用　267
5．3．3　旁视列表　270
5．4　堆管理器　271
5．4．1　进程堆　272
5．4．2　堆的类型　273
5．4．3　NT堆　273
5．4．4　堆同步　273
5．4．5　段堆　275
5．4．6　堆的安全特性　279
5．4．7　堆的调试特性　280
5．4．8　页堆　280
5．4．9　容错堆　283
5．5　虚拟地址空间布局　284
5．5．1　x86地址空间布局　285
5．5．2　x86系统地址空间布局　288
5．5．3　x86会话空间　288
5．5．4　系统页表项　290
5．5．5　ARM地址空间布局　291
5．5．6　64位地址空间布局　291
5．5．7　x64虚拟寻址的局限　293
5．5．8　动态系统虚拟地址空间管理　293
5．5．9　系统虚拟地址空间配额　298
5．5．10　用户地址空间布局　298
5．6　地址转换　303
5．6．1　x86虚拟地址转换　303
5．6．2　地址转换旁视缓冲区　308
5．6．3　x64虚拟地址转换　311
5．6．4　ARM虚拟地址转换　311
5．7　页面错误的处理　312
5．7．1　无效PTE　313
5．7．2　原型PTE　314
5．7．3　页面换入I/O　316
5．7．4　冲突的页面错误　316
5．7．5　聚簇的页面错误　317
5．7．6　页面文件　317
5．7．7　提交用量和系统提交限制　322
5．7．8　提交用量和页面文件大小　325
5．8　栈　326
5．8．1　用户栈　326
5．8．2　内核栈　327
5．8．3　DPC栈　328
5．9　虚拟地址描述符　328
5．9．1　进程的VAD　329
5．9．2　旋转VAD　330
5．10　NUMA　331
5．11　节对象　331
5．12　工作集　338
5．12．1　按需换页　338
5．12．2　逻辑预取器和ReadyBoot　339
5．12．3　放置策略　341
5．12．4　工作集管理　342
5．12．5　平衡集管理器和交换器　346
5．12．6　系统工作集　346
5．12．7　内存通知事件　347
5．13　页帧编号数据库　349
5．13．1　页面列表的转换　351
5．13．2　页面优先级　357
5．13．3　已修改页面写出器和映射页面写出器　359
5．13．4　PFN的数据结构　361
5．13．5　页面文件的保留　364
5．14　物理内存的限制　366
5．15　内存压缩　369
5．15．1　压缩过程图解　370
5．15．2　压缩架构　372
5．16　内存分区　374
5．17　内存联合　376
5．17．1　搜索阶段　378
5．17．2　分类阶段　378
5．17．3　页面联合阶段　379
5．17．4　从私有到共享PTE　380
5．17．5　联合页面的释放　381
5．18　内存飞地　384
5．18．1　编程接口　385
5．18．2　内存飞地的初始化　385
5．18．3　飞地的构造　386
5．18．4　将数据载入飞地　387
5．18．5　飞地的初始化　388
5．19　前瞻性内存管理（SuperFetch）　388
5．19．1　组件　388
5．19．2　跟踪和日志记录　390
5．19．3　场景　390
5．19．4　页面优先级和重均衡　391
5．19．5　健壮性能　393
5．19．6　ReadyBoost　394
5．19．7　ReadyDrive　395
5．19．8　进程反射　395
5．20　小结　397
第6章　I/O系统　398
6．1　I/O系统组件　398
6．1．1　I/O管理器　400
6．1．2　典型的I/O处理　400
6．2　中断请求级别和延迟过程调用　402
6．2．1　中断请求级别　402
6．2．2　延迟过程调用　404
6．3　设备驱动程序　405
6．3．1　设备驱动程序的类型　406
6．3．2　驱动程序的结构　410
6．3．3　驱动程序对象和设备对象　412
6．3．4　打开设备　417
6．4　I/O的处理　421
6．4．1　I/O的类型　421
6．4．2　I/O请求包　423
6．4．3　针对单层硬件驱动程序的I/O请求　433
6．4．4　针对分层驱动程序的I/O请求　440
6．4．5　线程无关I/O　443
6．4．6　I/O的取消　443
6．4．7　I/O完成端口　447
6．4．8　I/O优先级处理　451
6．4．9　容器通知　455
6．5　驱动程序验证程序　456
6．5．1　与I/O有关的验证选项　458
6．5．2　与内存有关的验证选项　458
6．6　即插即用管理器　462
6．6．1　即插即用的支持级别　462
6．6．2　设备的枚举　463
6．6．3　设备栈　465
6．6．4　驱动程序对即插即用的支持　470
6．6．5　即插即用驱动程序的安装　472
6．7　常规驱动程序的加载和安装　475
6．7．1　驱动程序的加载　475
6．7．2　驱动程序的安装　477
6．8　Windows驱动程序基础　477
6．8．1　内核模式驱动程序框架　478
6．8．2　用户模式驱动程序框架　485
6．9　电源管理器　488
6．9．1　连接待机和新型待机　491
6．9．2　电源管理器操作　491
6．9．3　驱动程序的电源操作　492
6．9．4　驱动程序和应用程序对设备电源的控制　495
6．9．5　电源管理框架　495
6．9．6　电源可用性请求　497
6．10　小结　498
第7章　安全性　500
7．1　安全评级　500
7．1．1　可信计算机系统评估标准　500
7．1．2　通用标准　501
7．2　安全系统组件　502
7．3　基于虚拟化的安全性　504
7．3．1　Credential Guard　505
7．3．2　Device Guard　510
7．4　保护对象　512
7．4．1　访问检查　513
7．4．2　安全标识符　516
7．4．3　虚拟服务账户　533
7．4．4　安全描述符和访问控制　537
7．4．5　动态访问控制　550
7．5　AuthZ API　551
7．6　账户权限和特权　552
7．6．1　账户权限　553
7．6．2　特权　554
7．6．3　超级特权　558
7．7　进程和线程的访问令牌　559
7．8　安全审核　559
7．8．1　审核对象访问　560
7．8．2　全局审核策略　563
7．8．3　高级审核策略设置　564
7．9　AppContainer　565
7．9．1　UWP应用概述　566
7．9．2　AppContainer　567
7．10　登录　587
7．10．1　Winlogon的初始化　588
7．10．2　用户登录的步骤　590
7．10．3　可保证的身份验证　594
7．10．4　Windows Biometric Framework　595
7．10．5　Windows Hello　597
7．11　用户账户控制和虚拟化　598
7．11．1　文件系统和注册表虚拟化　598
7．11．2　权限提升　603
7．12　攻击缓解　608
7．12．1　进程缓解策略　608
7．12．2　控制流完整性　612
7．12．3　安全声明　622
7．13　应用程序标识　626
7．14　AppLocker　626
7．15　软件限制策略　630
7．16　内核补丁保护　632
7．17　PatchGuard　633
7．18　HyperGuard　635
7．19　小结　636