-
-
[原创]白话windows之 会话、工作站、桌面、窗口之间的关系
-
2013-6-8 22:51
-
|
|
|---|---|
|
|
|
|
|
|
|
|
0号进程管理0号线程的。每个Cpu都有一个0号线程，0号线程是空闲线程，当Cpu没有其他线程需要运行的时候，就会让0号线程运行。这也说明了为什么0号进程显示的Cpu占用率代表Cpu空闲率了。
（0号进程是有EPROCESS的，只是没法通过Pid找到它） 另外线程问题，内核线程都属于system进程的（除了0号线程）。 为什么说system是系统本身呢？有一下几点证明： 1. system进程是没有实体的，并且从字面上和对该进程的描述(NT Kernel & System)上可以说明。 2. system没有用户态模式，system是一个系统内核进程。全系统只有两个:Idle和system。 3. 所有内核线程都归system管理 分页内存和未分页内存是由内核中全局变量指定的，在system进程信息中体现不出来（上一个跟帖说的有错误啊，不好意思~） 不知道能否解决你的疑惑 
|
|
|
|
|
|
|
|
|
1. system要在R3申请分页内存需要一些特殊技巧吧（没试过，system是没有PEB的，就是申请了也没多大用）。system和idle进程中都不会有存放内核镜像。非分页内存由内核的全局变量维护，不存在system和0号进程的VadRoot 中。另外，内核镜像不是都存放在非分页内存中。nt模块的代码有一部分是存放在非分页内存的如.text段, 有一部分是存在分页内存里的如PAGE段，还有一部分是存放在分页内存并可抛弃如INIT段，这个由PE的段头属性决定。
2. 这个是不可能的吧，idle没有R3的内存布局，也没PEB，也不能被用户态访问，idle进程中更不能存在ntdll,ole模块。不知道你用什么工具看的，或者运行什么软件导致这样的情况，给介绍一下 。3. userinit进程是用户初始化进程，是在用户登录后，做初始化工作用的。所以他的父进程是winLogin.exe。 |
|
|
|
|
|
|
|
|
只有相互探讨，才能融汇贯通。
 。理不辨不明~。有兴趣加入群么？151843490。探讨windows内核技术的~
|
|
|
1. 你是对的
2. 用Kernel Detective看idle线程列表,里面显示的是所有的线程。所属idle的都是线程ID==0的线程。system存在ntdll.dll不奇怪，是为了让其他进程能够使用ntdll.dll预先映射到system进程中的。system本身是不使用该模块的。 3. userinit父进程是winlogin.exe，这个我是看《windows内核原理与实现》中说的。我没实际测试，  交流是学习最快的方法，我不是在炫耀自己知道的多，自己知道的不一定是对的，这也是我来看雪的原因。希望能与大家相互交流，让自己知道存在哪些不足，并验证自己脑子里记得东西哪些是错的。 如有冒犯请多包涵 你说的很对”做个渔人比做个愚人要好“，我来看雪也是不想做个愚人
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
