xp下用户程序空间分配（5）：加载系统DLL

最新推荐文章于 2025-12-18 21:45:56 发布
最新推荐文章于 2025-12-18 21:45:56 发布 · 78 阅读 · 0
文章标签：

#XP #Windows #数据结构 #框架 #.net

本文详细解析了ntdll.dll的内存布局，包括其不同段的虚拟大小、虚拟地址范围及内存保护属性等，并对比了与EXE文件的差异。

快乐虾

http://blog.youkuaiyun.com/lights_joy/

lights@hb165.com

本文适用于

Xp sp3

vs2008

欢迎转载，但请保留作者信息

ntdll.dll是加载的第一个系统DLL，它的模块信息：

名称

基址

大小

入口点

E:\WINDOWS\system32\ntdll.dll

7c920000

00093000

7c932c28

对应的内存块：

基址

分配基址

分配保护

大小

状态

保护

类型

7c920000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00001000

00001000
MEM_COMMIT

00000002
PAGE_READONLY

01000000
MEM_IMAGE

7c921000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

0007a000

00001000
MEM_COMMIT

00000020
PAGE_EXECUTE_READ

01000000
MEM_IMAGE

7c99b000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00003000

00001000
MEM_COMMIT

00000004
PAGE_READWRITE

01000000
MEM_IMAGE

7c99e000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00001000

00001000
MEM_COMMIT

00000008
PAGE_WRITECOPY

01000000
MEM_IMAGE

7c99f000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00001000

00001000
MEM_COMMIT

00000004
PAGE_READWRITE

01000000
MEM_IMAGE

7c9a0000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00013000

00001000
MEM_COMMIT

00000002
PAGE_READONLY

01000000
MEM_IMAGE

7c9b3000

00000000

00000000

00bdd000

00010000
MEM_FREE

00000001
PAGE_NOACCESS

00000000

和exe略微有所区别，还是用dumpbin把它的文件内容导出来进行比较。

1.1 文件头

DLL和EXE文件一样都是PE格式，因此它们的文件头的结构是一样的，看看从ntdll.dll中dump出来的信息：

14C machine (x86)

4 number of sections

4802BDC5 time date stamp Mon Apr 14 10:13:25 2008

0 file pointer to symbol table

0 number of symbols

E0 size of optional header

210E characteristics

Executable

Line numbers stripped

Symbols stripped

32 bit word machine

DLL

Windows为其分配了一块空间：

基址

分配基址

分配保护

大小

状态

保护

类型

7c920000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00001000

00001000
MEM_COMMIT

00000002
PAGE_READONLY

01000000
MEM_IMAGE

1.2 代码段

先看看文件中要求分配的地址：

SECTION HEADER #1

.text name

79FB6 virtual size

1000 virtual address (7C921000 to 7C99AFB5)

7A000 size of raw data

400 file pointer to raw data (00000400 to 0007A3FF)

0 file pointer to relocation table

0 file pointer to line numbers

0 number of relocations

0 number of line numbers

60000020 flags

Code

Execute Read

再看看windows在内存中分配的空间：

基址

分配基址

分配保护

大小

状态

保护

类型

7c921000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

0007a000

00001000
MEM_COMMIT

00000020
PAGE_EXECUTE_READ

01000000
MEM_IMAGE

这个和EXE文件是一样的。

1.3 数据段

这个DLL里面居然没有只读的数据段，直接就是一个数据段。

SECTION HEADER #2

.data name

4A00 virtual size

7B000 virtual address (7C99B000 to 7C99F9FF)

3200 size of raw data

7A400 file pointer to raw data (0007A400 to 0007D5FF)

0 file pointer to relocation table

0 file pointer to line numbers

0 number of relocations

0 number of line numbers

C0000040 flags

Initialized Data

Read Write

看看windows分配的内存块：

基址

分配基址

分配保护

大小

状态

保护

类型

7c99b000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00003000

00001000
MEM_COMMIT

00000004
PAGE_READWRITE

01000000
MEM_IMAGE

7c99e000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00001000

00001000
MEM_COMMIT

00000008
PAGE_WRITECOPY

01000000
MEM_IMAGE

7c99f000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00001000

00001000
MEM_COMMIT

00000004
PAGE_READWRITE

01000000
MEM_IMAGE

和exe文件相比，这个数据段分为了三块，不像exe那样只分为两块。

1.4 .rsrc

文件中dump出来的头信息：

SECTION HEADER #3

.rsrc name

F7D4 virtual size

80000 virtual address (7C9A0000 to 7C9AF7D3)

F800 size of raw data

7D600 file pointer to raw data (0007D600 to 0008CDFF)

0 file pointer to relocation table

0 file pointer to line numbers

0 number of relocations

0 number of line numbers

40000040 flags

Initialized Data

Read Only

再看windows分配的内存：

基址

分配基址

分配保护

大小

状态

保护

类型

7c9a0000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00013000

00001000
MEM_COMMIT

00000002
PAGE_READONLY

01000000
MEM_IMAGE

这个也和EXE文件一样，没什么说的。

1.5 .reloc

看看文件头：

SECTION HEADER #4

.reloc name

2E84 virtual size

90000 virtual address (7C9B0000 to 7C9B2E83)

3000 size of raw data

8CE00 file pointer to raw data (0008CE00 to 0008FDFF)

0 file pointer to relocation table

0 file pointer to line numbers

0 number of relocations

0 number of line numbers

42000040 flags

Initialized Data

Discardable

Read Only

再看分配的内存：

基址

分配基址

分配保护

大小

状态

保护

类型

7c9a0000

7c920000

00000080
PAGE_EXECUTE_WRITECOPY

00013000

00001000
MEM_COMMIT

00000002
PAGE_READONLY

01000000
MEM_IMAGE

和EXE文件一样，这个段也没有单独分配的内存，直接和.rsrc段合并在一起。

其它的系统DLL与此类似，不再说明。

1 参考资料

xp下用户程序空间分配（4）：加载主程序(2009-8-27)

xp下用户程序空间分配（3）：加载文件(2009-8-26)

xp下用户程序空间分配（2）：栈(2009-8-26)

xp下用户程序空间分配（1）：大致框架(2009-8-26)

iteye_18688
关注
使用Process Explorer和Dependency Walker排查C++程序中dll库动态加载失败问题
dvlinker的技术专栏
04-17 2万+
使用Process Explorer和Dependency Walker排查C++程序中dll库动态加载失败问题。
【C++动态库】动态库隐式与显式加载 | 为什么要动态加载动态库 | LoadLibrary加载失败 | 参考开源操作系统ReactOS源码 | 用LoadLibraryEx替代LoadLibrary
热门推荐
dvlinker的技术专栏
10-24 4万+
本文讲解C++动态库编程相关的内容，包括动态库隐式与显式加载、为什么要动态加载动态库、LoadLibrary加载失败、用LoadLibraryEx替代LoadLibrary、参考开源操作系统ReactOS源码等。
使用C#创建计划任务(How to create a Task Scheduler use C# )
weixin_33768481的博客
04-09 417
本文主要讲解了如何使用C#来创建windows计划任务。    需求：在不定时间段运行多个后台程序(winfrom,wpf,console,等等)用于更新数据。  问题：为什么要使用计划任务，而不直接在程序中使用一个计时器来触发呢？ 　答：最明显的一点，使用计时器程序一直在后台运行着，但需求中只需要一天运行一次，或一个月运行一次。一直后台跑着计时这不白浪费CPU资源么。 ...
打开ntdll.dll和kernel32.dll这两个库函数的描述文件的工具或方法
kanwoerzi
09-13 1041
ntdll.dll和kernel32.dll文件属于Windows的系统文件，在Windows系统中扮演着重要角色。 ntdll.dll（NT Layer DLL）是Windows NT操作系统的重要模块，属于系统级别的文件。用于堆栈释放、进程管理。 kernel32.dll是Windows 9x/Me中非常重要的32位动态链接库文件，属于内核级文件。它控制着系统的内存管理、数据的输入输出操作...
xp下用户程序空间分配（6）：加载用户DLL
xiaoer
08-28 98
快乐虾 http://blog.csdn.net/lights_joy/ lights@hb165.com 本文适用于 Xp sp3 vs2008 欢迎转载，但请保留作者信息 在本项目里使用了自行编译的一个DLL—cywin.dll，这个DLL占用的内存块出奇的多： 基...
xp下用户程序空间分配（3）：加载文件
嵌云阁
08-26 2118
快乐虾http://blog.csdn.net/lights_joy/lights@hb165.com  本文适用于Xp sp3vs2008 欢迎转载，但请保留作者信息 一个程序要想执行，总是要加载到内存里面的，为此我们使用下面的代码查询所有模块的信息，再找到它们在内存里面的对应位置：     HANDLE hProcess;
xp下用户程序空间分配（4）：加载主程序
嵌云阁
08-27 2413
快乐虾http://blog.csdn.net/lights_joy/lights@hb165.com  本文适用于Xp sp3vs2008 欢迎转载，但请保留作者信息  这个是主程序，它的模块信息：名称基址大小入口点f:/embed/etools/D
苹果笔记本双系统（MAC+XP） 因以下文件的损坏或丢失，Windows无法启动：hal.dll丢失.doc
07-07
### 苹果笔记本双系统（MAC+XP）安装过程中hal.dll丢失问题解析及解决方案 #### 一、背景介绍 在尝试将苹果笔记本设置为双系统（Mac OS与Windows XP）的过程中，用户可能会遇到一个问题：“因以下文件的损坏或丢失...
【C++动态库】将C++代码封装成dll动态库有哪些好处？
dvlinker的技术专栏
11-28 1万+
本文结合多年来的项目实践和理解，来详细介绍一下将C++代码封装成dll动态库有哪些具体的好处。
数据结构04——二叉树搜索树BST
moranxiao199的博客
12-16 438
Find查找的效率取决于树的高度，所以我们希望这个树尽量的平衡，不要出现一边倒。支持：查找（Search）、插入（Insert）、删除（Delete）第三种，删除的结点有左、右两颗子树：用另一个结点代替被删除的结点，同一组元素，如果插入顺序不同，二叉搜索树的形态可以完全不同。② 如果 X 大于根结点的关键值，在右子树中进行继续搜索；③ 若两者比较结果相等，搜索完成，返回指向此结点的指针。查找从根结点开始，如果树为空，返回 NULL。：将其父结点的指针指向被删除结点的孩子结点。
数据结构入门：二叉排序树的删除算法
2403_89732016的博客
12-18 390
有序二叉树（二叉搜索树）的核心特性是，删除节点时需要保证删除后树的有序性不被破坏。
排序算法：冒泡排序法
最新发布
TechNomad的博客
12-18 489
本文介绍冒泡排序的原理和使用。
数据结构-绪论
2401_87622134的博客
12-18 725
数据结构研究数据元素间的逻辑关系，包括集合、线性、树和图四种基本结构。存储结构是逻辑结构在计算机中的实现方式，分为顺序、链接、索引和散列四种模型。算法设计是解决问题的关键，常用策略有蛮力、分治、贪心和动态规划等。算法评价注重正确性、易读性、健壮性和效率，并通过复杂性分析评估其时间与空间开销。
【数据结构】哈希表
2302_81312180的博客
12-14 909
哈希表是一种高效的数据结构，通过哈希函数将键映射到数组特定位置，实现平均O(1)时间复杂度的操作。其核心由数组、哈希函数和冲突处理机制组成。哈希冲突不可避免，可通过开放定址法（线性探测、平方探测、双重哈希）或链地址法（链表/红黑树）解决。负载因子衡量哈希表拥挤程度，过高会导致性能下降。哈希函数设计直接影响性能，常见方法包括直接定址法、除留余数法、乘法散列法和全域散列法。工业级实现中，链地址法因其稳定性和灵活性成为主流选择，如Java HashMap采用链表+红黑树结构
数据结构（树）
m0_64823929的博客
12-15 234
3，完全二叉树，对于一颗有n个结点的二叉树按层序编号，如果编号i（1<=i<=n）的结点于同样深度的。n个结点的有限集合，集合要么为空树，要么由一个根结点和两棵互不相交，分别称谓根结点的左子树和。中序，左根右，先从根开始（不是先访问根），从左开始访问，在访问根，在访问右结点。后序，左右根，先从根开始（不是先访问根），先访问左，在访问右。1，斜树，所有的结点都只有左子树，左斜树，所有结点都只有右子树，右树。树的度数是指，这棵树中，最大的结点的度数，称谓树的度数。前序，根左右，先访问根，然访问左，访问右。
数据结构：后缀自动机
闲余知道
12-15 915
数据结构：后缀自动机
利用LdrLoadDll实现XP系统下驱动级DLL注入技术
5. 调用LdrLoadDll：通过LdrLoadDll函数加载DLL到目标进程地址空间。 6. 卸载驱动和清理：DLL加载完成后，还需要编写代码来卸载驱动，并清理分配的内存。 由于这是一个涉及到内核级别的操作，开发者必须具备相应的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值