windows内核安全编程源码_Win 10 源码有多少行?用了什么编程语言?

注:本文转载自微信号:iProgrammer

2013 年 10 月,我们在微博(@程序员的那些事 )发过一张信息图《知名软件系统代码库对比》。

信息图中提到,Windows XP 和 Windows 7 操作系统的代码量约 4 千万行级别。

b1188cc83d9dfde21c50d14d3844edfc.png

(信息图部分截图,完整版在这里:http://t.cn/EXMs07e )

Windows Vista 源码体量约 5 千万行。

d3acdc0c9919aa5acdb14bc171f52628.png

所以,Windows 10 源码体量至少在 5 千万行咯。

Windows 操作系统是用什么编程语言开发的?

Windows 操作系统这么个量级的代码库,用了哪些/哪种编程语言,肯定有人好奇。

这不,就有人在 Quora 发帖问《开发 Windows 10 用了哪种编程语言?》

2019 年 3 月,微软内核工程师 Axel Rietschin 在 Quora 上回复了这个帖子。

bc563aa3b3ae1f073285231fa13d95f3.png

「程序员的那些事」摘编如下:

Axel 说,Windows 10 和 Windows 8.x、7、Vista、XP、2000 和 NT 有着相同的代码库,每一代操作系统都经历了重大的重构,添加了大量的新特性,改进了性能、硬件支持和安全性,同时保持了非常高的向后兼容性。

内核(ntoskrnl.exe)大部分是用 C 语言编写的。在 Github 可以找到 Windows Research Kernel 的泄露版。

983f81972947eb0dc069853973dcf296.png

有兴趣的童鞋可以看看:github.com/markjandrews/wrk-v1.2

Axel 表示,虽然 WRK 代码已经过时了,而且很大程度上还不完整,但那些代码应该会给大家一些深刻的见解。

比如:wrk-v1.2/base/ntos/config 目录下是大家熟知的注册表(Registry)的源码,这个内核组件就是配置管理器(configuration manager,CM)。

在内核模式下运行的大多数程序,也是用 C 语言编写的(大多数文件系统、网络、大多数驱动程序……),还有一些 C++。

至于 Window 10 是用什么编程语言写的,Axel 认为是 C 和 C++,并且 C 占了绝大部分。

.NET BCL 和其他托管库及框架通常都是用 C# 编写的,来自不同的部门(开发者部门),并且也不属于 Windows 源代码树。相比散落着 C++ 岛屿的 C 代码海洋,C# 写的代码简直就是沧海一粟。

Windows 真的真的真的真的真的很大

Axel 提示大家,大多数人没有意识到 Windows 系统的庞大,真一个具有史诗规模的巨大项目。

Windows 的完整源代码树(包括全部代码、测试代码等)的大小超过 0.5 TB,涉及 56 多万个文件夹,400 多万个文件。

f057e655befc200d80b47c6badf4167e.png

你可以花一年时间深入源代码树,钻入到那些文件中。它们包括了所有组成 OS 工作站和服务器产品,及其所有版本,工具,相关的开发包。

然后你再读文件名,看看里面有什么,它们是用来做什么的。想做完这些事,一个人(或两个人)恐怕要穷尽一生咯。

有一次 Axel 离开 Git 分支几周,他回来时发现落后了近 6 万次提交。Axel 想有人会说,没人可以每天把添加到 Windows 的所有代码都看完,更不用说去读过去 30 年来编写的代码了!

一:SSDT表的hook检测和恢复 ~!~~~ 二:IDT表的hook检测和恢复 ~~~~~~(idt多处理器的恢复没处理,自己机器是单核的,没得搞,不过多核的列举可以) 三:系统加载驱动模块的检测 通过使用一个全局hash表(以DRIVEROBJECT为对象)来使用以下的方法来存储得到的结果,最终显示出来 1.常规的ZwQuerySystemInformation来列举 2通过打开驱动对象目录来列举 3搜索内核空间匹配驱动的特征来列举(这个功能里面我自己的主机一运就死机,别的机器都没事,手动设置热键来蓝屏都不,没dump没法分析,哎,郁闷) 4从本驱动的Modulelist开始遍历来列举驱动 四:进程的列举和进程所加载的dll检测 采用以下方法来列举进程: 1ZwQuerySystemInformation参数SystemProcessesAndThreadsInformation来枚举 2进程EPROCESS 结构的Activelist遍历来枚举 3通过解析句柄表来枚举进程 4通过Handletablelisthead枚举进程 5进程创建时都会向csrss来注册,从这个进程里面句柄表来枚举进程 6通过自身进程的HANDLETABLE来枚举进程 7通过EPROCESS的SessionProcessLinks来枚举进程 8通过EPROCESS ---VM---WorkingSetExpansionLinks获取进程 9暴力搜索内存MmSystemRangeStart以上查找PROCESS对象 进程操作: 进程的唤醒和暂停通过获取PsSuspendProcess和PsResumeProcess来操作的 进程结束通过进程空间清0和插入apc。 采用以下方法查找DLL: 1遍历VAD来查找dll 2挂靠到对应的进程查找InLoadOrderLinks来枚举dll 3暴力搜索对应进程空间查找pe特征来枚举dll DLL的操作: Dll的卸载是通过MmUnmapViewOfSection和MmmapViewOfSection(从sdt表中相应函数搜索到的)来实现的(本来想直接清0 dll空间,有时有时不)(只要将这个进程的ntdll卸载了,进程就结束了,一个好的杀进程的办法撒,绿色环保无污染),注入dll使用的是插入apc实现的。(注入的dll必须是realse版的。Debug版会出现***错误,全局dll注入貌似也是)插入apc效果不是很好,要有线程有告警状态才执。 五:线程信息的检测 遍历ThreadList来枚举线程 线程的暂停和唤醒都是通过反汇编获取PsResumeThread和PsSuspendThread直接从r3传来ETHREAD来操作的,通过插入APC来结束线程 六:shadow sdt表的hook检测与恢复 没有采用pdb来解决函数名问题,直接写入xp和03的shandow表函数名(主要是自己的网不稳定,连windbg有时都连不上微软) 七:系统所有的过滤驱动的检测 查看各device下是否挂接有驱动之类的,可直接卸载 八:系统常用回调历程的检测和清除 只检查了PsSetLoadImageNotifyRoutine PsSetCreateThreadNotifyRoutine PsSetCreateProcessNotifyRoutine CmRegisterCallback这几个,至于那个什么shutdown回调不知道是啥玩意,就没搞了,有知道的顺便告诉我下撒,谢谢 九:文件系统fat和ntfs的分发函数检测 直接反汇编fat和ntfs的DriverEntry得到对应的填充分发的偏移,然后和当前已经运的文件系统的分发相比是否被hook,并附带恢复 十:文件查看功能 自己解析ntfs和fat的结构,来实现列举文件和直接写磁盘删除。附带有普通的删除和发生IRP来删除。不过这里面有点问题,ntfs删除有时把目录给搞坏了,大家凑合着吧, Ntfs网上删除这些操作的代码不多,就是sudami大大的利用ntfs-3g来实现的,看了下,太多了,充满了结构。然后自己对照着系统删除文件时目录的变化来自己实现的。只处理了$BITMAP对应的位清除,父目录的对应文件的索引项的覆盖,删除文件对应的filerecord清0. 另外偷懒时间都没处理,呵呵,y的,一个破时间都都搞好几个字节移来移去的。 十一:常用内核模块钩子的检测和恢复 这里只检测了主要的内核模块nkrnlpa**.exe的.win32k.sys,hal.dll,比对它们的原始文件从而查找eat inline hook,iat hook ,和inline hook。Inline是从TEXT段开始一段位置开始比较的。(有点慢貌似,等待显示扫描完成就好了) 十二:应用层进程所加载dll的钩子 应用层钩子检测和内核模块钩子检测原理一样,不过为了能读写别的进程的空间,并没有使用openprocess去打开进程,而是通过KiattachProcess挂靠到当前进程,然后通过在r0直接读写进程空间的。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符  | 博主筛选后可见
 
红包 添加红包
表情包 插入表情
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值