阿Q在行走

Windows架构Windows基本架构：主要分为R0-R3四个层级，其中R0（内核态）包括内存、进程、线程、I/O等管理，核心体，设备驱动程序，硬件抽象层（HAL）；R3（用户态）包括NTDLL.DLL主要由服务进程、Win32应用程序以及win32子系统动态链接库构成。用户模式进程有如下四种基本的模型:固定的系统支持进程，比如登录进程和会话管理器，它们并不是Windows服务；服务进程宿纳的是Windows服务，比如Task Sechedular和Print Spooer服务。Windows服

执行体总共实现了42种对象类型。这些对象中有许多仅被用于其定义所在的执行体组件，无法通过Windows API直接访问。如驱动程序、设备和事件对。暴露给Windows API的执行体对象包含如下：Process 执行一组线程对象所必须的虚拟地址空间和控制信息；Thread 进程内部的一个可执行实体；Job 指一组进程，通过作业机制，可以像单个实体那样来管理它们；Section 共享内存的一个区域（在Windows中也称文件映像对象）；Token 一个进程或者线程的安全轮廓（安全ID、用户权限等）

常见windows设备文件——永久存储任何数据目录——属性和文件压缩的设置逻辑磁盘驱动器——格式化驱动器物理磁盘驱动器——访问分区表串口——通过电话线传输数据并口——将数据传输至打印机邮件槽——一对多传输数据，通常是通过网络传到另一台windows的机器上命名管道——一对一传数据，通常是通过网络传到另一台运行Windows的机器上上匿名管道——单机上一对一的数据传输套接字——...

当一个线程试图访问所属进程的地址空间中的一块数据时，可能出现两种情况。线程要访问的数据就在内存中，此时CPU会先把数据的虚拟内存地址映射到内存的物理地址，然后就可以访问内存中的数据。线程要访问的数据不在内存中，而是位于页交换文件的某处。此时发生不成功的页面被称为页面错误。发生页面错误时，CPU会首先通知操作系统。操作系统随即在内存中找到一个闲置的页面，如果找不到，操作系统必须先释放一个已分配...

获取进程快照HANDLE WINAPI CreateToolhelp32Snapshot( DWORD dwFlags, DWORD th32ProcessID);dwFlags表示#define TH32CS_SNAPHEAPLIST 0x00000001#define TH32CS_SNAPPROCESS 0x00000002#define TH32CS_SNAPTHREAD ...