10、Windows系统服务机制深度解析

Windows系统服务机制深度解析

1. 系统服务基础与配置

在Windows系统中，系统服务的处理涉及多个关键环节。当查看特定的屏幕截图时，栈上的第20行是内部线程包装器的起始帧，第19行是环境子系统的线程包装器（对于Windows子系统应用，通常是kernel32），第18行则是Notepad.exe的主入口点。

若要显示正确的函数名称，需对进程资源管理器进行符号配置。具体操作步骤如下：
1. 安装调试工具，这些工具可在Windows SDK或WDK中获取。
2. 选择“Options”菜单中的“Configure Symbols”菜单项。
3. 将“dbghelp.dll”路径指向调试工具文件夹中的文件（通常为C:\Program Files\Windows Kits\10\Debuggers），注意C:\Windows\System32中的“dbghelp.dll”文件无法正常工作。
4. 正确配置“Symbols”路径，以便从Microsoft符号存储中下载符号到本地文件夹。

2. 系统服务调度

系统服务调度是系统机制的核心部分，其触发依赖于执行分配给系统服务调度的指令，而该指令因处理器类型和Hypervisor Code Integrity（HVCI）是否启用而有所不同。

2.1 架构相关的系统服务调度

• x64系统 ：多数x64系统使用 syscall 指令，该指令会基于特定的预编程模型特定寄存器（MSRs）改变一些关键处理器状态，涉及的MSRs包括：