Образ ядра Windows NT: ntoskrnl.exe и его компоненты

Введение

Образ ядра Windows NT — это компьютерный файл, содержащий часть ядра Windows NT.

ntoskrnl.exe (сокращение от Windows NT operating system kernel executable), также известный как образ ядра, содержит ядро и исполнительные уровни ядра Microsoft Windows NT и отвечает за аппаратную абстракцию, обработку процессов и управление памятью. Помимо ядра и исполнительных уровней, он включает в себя менеджер кэша, систему контроля безопасности, менеджер памяти, планировщик (диспетчер) и экран синего цвета смерти (текст и фрагменты кода).

Обзор

x86-версии ntoskrnl.exe зависят от bootvid.dll, hal.dll и kdcom.dll (x64-варианты ntoskrnl.exe имеют эти DLL встроенными в ядро для повышения производительности). Однако это не собственное приложение. Иными словами, оно не связано с ntdll.dll. Вместо этого ntoskrnl.exe содержит стандартную точку входа "start", которая вызывает функцию инициализации ядра, не зависящую от архитектуры. Поскольку для его работы требуется статическая копия объектов времени выполнения C, исполняемый файл обычно имеет размер около 10 МБ. В Windows XP и более ранних версиях в источнике установки Windows поставляются четыре файла образа ядра для поддержки однопроцессорных систем, систем с симметричной многопроцессорностью (SMP), процессоров с PAE и процессоров без PAE. Установка Windows определяет, является ли система однопроцессорной или многопроцессорной, а затем устанавливает как PAE, так и не-PAE варианты образа ядра для определенного типа. На многопроцессорной системе Setup устанавливает ntkrnlmp.exe и ntkrpamp.exe, но переименовывает их в ntoskrnl.exe и ntkrnlpa.exe соответственно. Начиная с Windows Vista, Microsoft начала унифицировать образы ядра, поскольку многоядерные процессоры стали появляться на рынке, а PAE стало обязательным. + Имена файлов образов ядра 32-разрядной Windows Имя файла Поддерживает SMP Поддерживает PAE 32-разрядное ядро ntoskrnl.exe ✔ ntkrnlmp.exe ✔ ntkrnlpa.exe ✔ ntkrpamp.exe ✔ ✔ 64-разрядное ядро (x64-издания) Имя файла Поддерживает SMP Поддерживает 57-разрядный VA ntkrnlmp.exe ✔ ntkrla57.exe ✔ ✔

Подпрограммы в ntoskrnl используют префиксы в своих именах, чтобы указать, в каком компоненте ntoskrnl они определены. Поскольку не все функции экспортируются ядром, префиксы функций, заканчивающиеся на i или p (например, Mi, Obp, Iop), являются внутренними и не должны быть доступны пользователю. Эти функции содержат основной код и выполняют важные проверки, такие как проверка на уязвимости, отсутствующие аргументы и обработка исключений. В следующей таблице перечислены некоторые из них. + Префиксы функций NT Префикс Значение Cc Кэш файловой системы Cm Менеджер конфигурации, ядро режима Windows Registry Csr Функции, используемые для связи с процессом подсистемы Win32, csrss.exe (csrss означает подсистему времени выполнения клиент/сервер) Dbg Функции помощи при отладке, такие как программная точка останова Ex Windows executive, "внешний слой" Ntoskrnl.exe Exp Windows executive private (подпрограммы, предназначенные для внутреннего использования Windows Executive) FsRtl Библиотека времени выполнения файловой системы Io Менеджер ввода-вывода Iop Внутренний и базовый код для менеджера ввода-вывода Ke Основные подпрограммы ядра Ki Внутренние основные подпрограммы Kx Обработка прерываний, семафоры, спинлоки, многопоточность и функции переключения контекста Ky Внутренние и заглушки, которые генерируют кадр ловушки и вызывают функции с префиксом Kx Ks Потоковая передача ядра Kx Внутренние функции для получения реализаций спинлоков и семафоров Ldr Загрузчик исполняемых файлов PE NT Ldrp Внутренний базовый код для загрузчика PE, обычно просто реализация перебазирования PE Lpc Вызов локальной процедуры, внутренний, недокументированный механизм передачи сообщений между процессами или между пользователем и ядром Lsa Локальный центр безопасности Mm Управление памятью Mi Подпрограммы управления памятью, не экспортируемые для вызова из-за пределов менеджера памяти (i = internal) Nls Nls для поддержки языков (аналогично кодовым страницам) Ob Менеджер объектов Obp Внутренний базовый код для менеджера объектов Pfx Обработка префиксов Po Plug and play и управление питанием Ps Управление процессами и потоками (управление задачами) Psp Внутренний базовый код для менеджера задач Rtl Библиотека времени выполнения, т.е. многие служебные функции, которые могут использоваться собственными приложениями, но не связаны напрямую с поддержкой ядра Rtlp Библиотека времени выполнения private (только для внутреннего использования) Se Менеджер безопасности, токен доступа для Win32 API Sep Внутренний базовый код для менеджера безопасности Vf Проверка драйверов Vi Подпрограммы проверки драйверов, не экспортируемые для вызова из-за пределов проверки драйверов Zw или Nt Zw — это системные вызовы, объявленные в ntdll.dll и ntoskrnl.exe. При вызове из ntdll.dll в пользовательском режиме эти группы почти идентичны; они перехватываются в режиме ядра и вызывают эквивалентную функцию в ntoskrnl.exe через SSDT. При вызове функций непосредственно в ntoskrnl.exe (возможно только в режиме ядра) варианты Zw обеспечивают режим ядра, в то время как варианты Nt — нет.

Routines in ntoskrnl use prefixes on their names to indicate in which component of ntoskrnl they are defined. Since not all functions are being exported by the kernel, function prefixes ending in i or p (such as Mi, Obp, Iop) are internal and not supposed to be accessed by the user. These functions contain the core code and implements important checks, such as for vulnerabilities, missing arguments and exception handling. The following table lists some of them. + NT function prefixes Prefix Meaning Cc File system cache Cm Configuration Manager, the kernel mode side of Windows Registry Csr Functions used to communicate with the Win32 subsystem process, csrss. exe (csrss stands for client/server runtime sub system) Dbg Debugging aid functions, such as a software break point Ex Windows executive, an "outer layer" of Ntoskrnl. exe Exp Windows executive private (routines intended for the internal use of Windows Executive) FsRtl File system runtime library Io I/O managerIopInternal and base code for the I/O Manager Ke Core kernel routines Ki Internal core routines Kx Interrupt handling, semaphores, spinlocks, multithreading and context switching functionsKyInternal and stub functions that generate a trap frame and call Kx prefixed functions Ks Kernel streamingKxInternal functions for acquiring spinlock and semaphore implementations Ldr NT's PE Executables loaderLdrpInternal base code for the PE Loader, usually just PE relocate implementation. Lpc Local Procedure Call, an internal, undocumented, interprocess or user/kernel message passing mechanism Lsa Local Security Authority Mm Memory management Mi Memory management routines not exported for call outside the memory manager (i = internal) Nls Nls for Native Language Support (similar to code pages). Ob Object ManagerObpInternal base code for the Object Manager Pfx Prefix handling Po Plug and play and power management Ps Process and thread management (task management)PspInternal base code for the Task manager Rtl Runtime library, i. e., many utility functions that can be used by native applications, yet don't directly involve kernel support Rtlp Runtime library private (for internal use only) Se Security Manager, access token for the Win32 APISepInternal base code for the Security Manager Vf Driver Verifier Vi Driver Verifier routines not exported for call outside the driver verifier Zw Nt or Zw are system calls declared in ntdll. dll and ntoskrnl. exe. When called from ntdll. dll in user mode, these groups are almost exactly the same; they trap into kernel mode and call the equivalent function in ntoskrnl. exe via the SSDT. When calling the functions directly in ntoskrnl. exe (only possible in kernel mode), the Zw variants ensure kernel mode, whereas the Nt variants do not.

Инициализация

Когда ядро получает управление, оно получает указатель типа struct от загрузчика. Указатель указывает на структуру, содержащую информацию об аппаратном обеспечении, путь к файлу реестра Windows, параметры ядра, определяющие предпочтения или опции загрузки, изменяющие поведение ядра, а также пути к файлам, загруженным загрузчиком (SYSTEM Registry hive, nls для преобразования кодировки символов и шрифт VGA). Определение этой структуры можно получить с помощью отладчика ядра или загрузить из базы символов Microsoft. В архитектуре x86 ядро получает систему уже в защищенном режиме, с подготовленными GDT, IDT и TSS. Однако, поскольку ядру неизвестны адреса этих структур, оно должно загружать их последовательно для заполнения структуры PCR (Process Control Region). Основная точка входа ntoskrnl.exe выполняет системно-зависимую инициализацию, затем вызывает системно-независимую инициализацию и, наконец, переходит в цикл простоя.

Водители

Список драйверов, которые необходимо загрузить с диска, извлекается из ключа Services в ключе текущего набора управления в системном разделе реестра (SYSTEM hive). Этот ключ содержит драйверы устройств, процессы ядра и пользовательские процессы. Все они совместно называются "службами" и хранятся в одном месте вперемешку. Во время инициализации или при запросе на загрузку драйвера, ядро просматривает это дерево, чтобы найти службы, помеченные как службы ядра.