63(85)--windows internals mark david alex

最新推荐文章于 2018-06-21 17:03:26 发布

翻译最新推荐文章于 2018-06-21 17:03:26 发布 · 609 阅读

本文探讨了Windows操作系统中的硬件抽象层（HAL）概念，介绍了HAL的作用及其如何实现硬件平台的可移植性。文章还分析了HAL与内核以及其他组件间的依赖关系，并概述了几种不同类型的驱动程序。

硬件抽象层

正如本章开头所说，windows的一个重要设计就是硬件平台的可移植性。硬件抽象层（HAL）是可移植性的关键。HAL为硬件平台提供底层接口，它隐藏了硬件相关信息，比如说IO接口，中断控制器，多处理器通信机制，任何与架构相关和机器相关的功能。

相比直接使用硬件，windows内部组件和驱动程序通过调用HAL的例程来保证可移植性。HAL在WDK中有详细描述。

尽管有几个HAL，windows可以在启动时侦测应该使用哪个。这就解决了windows早期版本的一个问题：在不同的系统上启动windows会有问题。

在x64系统上，只有一个HAL。所有的x64都有相同的主板配置，因为处理器需要ACPI和APIC支持。所以，没有必要支持没有ACPI和标准PIC的机器。

查看正在运行的hAL

通过windbg的lm vm hal的可以查看当前系统的hal。

lkd> lm vm hal
start end module name
fffff800'0181b000 fffff800'01864000 hal (deferred)
Loaded symbol image file: halmacpi.dll
Image path: halmacpi.dll
Image name: halmacpi.dll
Timestamp: Mon Jul 13 21:27:36 2009 (4A5BDF08)
CheckSum: 0004BD36
ImageSize: 00049000
File version: 6.1.7600.16385
Product version: 6.1.7600.16385
File flags: 0 (Mask 3F)
File OS: 40004 NT Win32
File type: 2.0 Dll
File date: 00000000.00000000
Translations: 0409.04b0
CompanyName: Microsoft Corporation
ProductName: Microsoft® Windows® Operating System
InternalName: halmacpi.dll
OriginalFilename: halmacpi.dll
ProductVersion: 6.1.7600.16385
FileVersion: 6.1.7600.16385 (win7_rtm.090713-1255)
FileDescription: Hardware Abstraction Layer DLL
LegalCopyright: © Microsoft Corporation. All rights reserved.

实验查看NTOSKRNL和HAL的依赖

通过利用depends.exe来查看内核和HAL的导入导出表，可以理解他们之间的关系，

ntoskrnl依赖hal，hal也依赖ntoskrnl。ntoskrnl也依赖以下组件：

pshed.dll 平台相关硬件错误驱动.pshed提供了硬件错误报告的一个抽象。通过隐藏平台的错误处理机制来提供一个统一的接口。

bootvid.dll（32位系统)。 bootvid(Boot Video Driver)提供vga命令显示启动时的文本和图片。在x64系统上，它位于内核，以避免和KPP的冲突（第三章有KPP的介绍）

kdcom.dll 内核调试器协议通信库

ci.dll 代码完整性库（第三章有详细介绍）

clfs.sys 通用日志文件系统驱动被内核事务管理器使用（KTM在第三章有详细介绍）

驱动程序

第二部分第八章有详细介绍，本节简要介绍驱动的不同类型以及如何显示本机的驱动。

驱动程序是可加载的内核模块，通常以.sys结尾.它处于io管理器和硬件之间。在以下三种情况，它运行在内核空间。

发起io请求的用户线程上下文