11、Windows系统中的WoW64机制深入解析

Windows系统中的WoW64机制深入解析

1. 系统服务活动监控实验

我们可以通过观察系统对象中的“System Calls/Sec”性能计数器来监控系统服务活动。具体操作步骤如下：
1. 运行性能监视器。
2. 在“监控工具”下点击“性能监视器”。
3. 点击“添加”按钮，将计数器添加到图表中。
4. 选择“系统”对象。
5. 选择“System Calls/Sec”计数器。
6. 再次点击“添加”按钮，将计数器添加到图表。

由于系统每秒可能会有数十万次系统调用，特别是处理器较多的系统，所以可能需要将最大值调整为更高的值。

2. WoW64概述

WoW64（64位Windows上的Win32仿真）指的是允许在64位平台（也可能属于不同架构）上执行32位应用程序的软件。它最初是一个在旧的Alpha和MIPS版Windows NT 3.51中运行x86代码的研究项目，自1995年左右以来有了很大的发展。2001年微软发布Windows XP 64位版本时，WoW64被包含在操作系统中，用于在新的64位操作系统中运行旧的x86 32位应用程序。在现代Windows版本中，WoW64已扩展为支持在ARM64系统上运行ARM32应用程序和x86应用程序。

2.1 核心用户模式DLL

WoW64核心以一组用户模式DLL的形式实现，内核提供一些支持来创建通常仅为64位原生数据结构的目标架构版本，如进程环境块（PEB）和线程环境块（TEB）。通过Get/SetThreadContext更改WoW64上下文也是由内核实现的。以下是负责WoW64的核心用户模式DLL：