冰箫寒剑

        PE文件格式，是Win32环境自带的执行体文件格式。个人理解主要是指.exe文件和.dll文件，不知道是否正确，若不对还望大侠们指正，不多说了，风飘雪大哥在加密解密中说的很详细，先写一个vc编写的基于控制台的PE文件格式分析程序，通过内存映射实现。^_^ ^_^ ^_^先创建一个PE格式分析类：头文件：PeLook.h#pragma once#include #incl

 写时拷贝技术与共享节一、写时拷贝技术当为正在运行的应用程序创建新进程时，系统将打开用于表示可执行文件映射文件的文件映射对象的另一个内存映射视图，并创建一个新进程对象和一个新线程对象，同时将新进程ID和新线程ID赋予这些对象，通过内存映射文件，同一个应用程序的多个正在运行的实例（进程）共享RAM中相同的代码和数据，大大的提高了系统的性能。但是这要求所有实例都将该内存是只读或只执行的，否

 一、  获取系统信息我们可以调用系统信息获取函数来获得本系统的页面大小、分配粒度的大小等信息。系统信息获取函数：VOID GetSystemInfo(LPSYSTEM_INFO psinf);参数类型：LPSYSTEM_INFO psinf 用于返回系统信息的数据结构所包含信息：dwPageSize：CPU页面的大小lpMinimumApplicationAd

 操作系统内存管理一、  进程的虚拟地址空间每个进程都被赋予自己的虚拟地址空间，对于32位进程来说，这个地址空间为4G，因此进程中的地址可以为0X00000000至0XFFFFFFFF之间的任何一个值。其中4G空间中的低区的2G空间留给进程使用，而高区的2G空间则留给系统使用。在Windows2000下，分区情况为：1、   NULL指针分配的分区NULL指针分配的分区占据

 虚拟内存使用一、  简介Windows提供了3中进行内存管理的方法，包括：虚拟内存：一般用来管理大型数据结构，受到硬盘调页文件的支持内存映射文件：常用来管理大型数据流和多进程共享。内存堆：最适合用来管理大量的小对象。二、  虚拟内存的使用1、我们可以在进程的地址空间中保留一个区域：PVOID VirtualAlloc(                  P

 内存映射文件一、  内存映射文件简介与虚拟内存一样，内存映射文件也可以用来保留一个地址空间的区域，并将物理存储器提交给该区域，与虚拟内存的差别在于，物理才能出奇来自一个已经位于磁盘上的文件，而不是系统的也文件，一旦该文件被映射，就可以访问它，就如同整个文件已经加载内存一样。内存映射文件可用于3个不同的目的：第一：系统使用内存映射文件加载.exe和dll文件，从而节省了也文件空

 一、  堆的概述从内部来讲，堆时保留的地址空间的一个区域，保留区域中大多数页面没有被提交物理存储器，当从堆中分配越来越多的内存时，堆管理器把更多的物理存储器提交给堆。物理存储器总是从系统的页文件中分配的。当进程初始化时，系统在进程地址空间中创建一个堆，该堆称为进程的默认堆，该队地址空间区域的大小未1M，许多系统函数需要使用一些临时内存块，这些内存块时从进程的默认堆中分配的。默认堆