这是我这段时间学习内存映射文件的学习笔记，错误之处在所难免，欢迎大家指正

内存映射文件：

　　内存映射文件有三种，第一种是可执行文件的映射，第二种是数据文件的映射，第三种是借助页面交换文件的内存映射.应用程序本身可以使用后两种内存映射.

1.可执行文件映射：
　　Windows在执行一个Win32应用程序时使用的是内存映射文件技术.系统先在进程地址空间的0x00400000以上保留一个足够大的虚拟地址空间(0x00400000以下是由系统管理的),然后把应用程序所在的磁盘空间作为虚拟内存提交到这个保留的地址空间中去(我的理解也就是说，虚拟内存是由物理内存和磁盘上的页面文件组成的，现在应用程序所在的磁盘空间就成了虚拟地址的页面文件).做好这些准备后，系统开始执行这个应用程序，由于这个应用程序的代码不在内存中(在页面文件中),所以在执行第一条指令的时候会产生一个页面错误(页面错误也就是说，系统所访问的数据不在内存中),系统分配一块内存把它映射到0x00400000处，把实际的代码或数据读入其中(系统分配一块内存区域，把它要访问的在页面文件中的数据读入到这块内存中,需在注意是系统读入代码或数据是一页一页读入的),然后可以继续执行了.当以后要访问的数据不在内存中时，就可以通过前面的机制访问数据.对于Win32DLL的映射也是同样，不过DLL文件应该是被Win32进程共享的(我想应该被映射到x80000000以后，因为0x80000000-0xBFFFFFFF是被共享的空间).

　　当系统在另一个进程中执行这个应用程序时，系统知道这个程序已经有了一个实例，程序的代码和数据已被读到内存中，所以系统只需把这块内存在映射到新进程的地址空间即可，这样不就实现了在多个进程间共享数据了吗！然而这种共享数据只是针对只读数据，如果进程改写了其中的代码和数据，操作系统就会把修改的数据所在的页面复制一份到改写的进程中(我的理解也就是说共享的数据没有改变，进程改写的数据只是共享数据的一份拷贝，其它进程在需要共享数据时还是共享没有改写的数据)，这样就可以避免多个进程之间的相互干扰.

2.数据文件的内存映射：
　　数据文件的内存映射原理与可执行文件内存映射原理一样.先把数据文件的一部分映射到虚拟地址空间的0x80000000 - 0xBFFFFFFF,但没有提交实际内存(也就是说作为页面文件),当有指令要存取这段内存时同样会产生页面错误异常.操作系统捕获到这个异常后，分配一页内存，映射内存到发生异常的位置，然后把要访问的数据读入到这块内存，继续执行刚才产生异常的指令(这里我理解的意思是把刚才产生异常的指令在执行一次，这次由于数据已经映射到内存中，指令就可以顺利执行过去),由上面的分析可知，应用程序访问虚拟地址空间时由操作系统管理数据在读入等内容，应用程序本身不需要调用文件的I/O函数(这点我觉得很重要，也就是为什么使用内存映射文件技术对内存的访问就象是对磁盘上的文件访问一样).

3.基于页面交换文件的内存映射：
　　内存映射的第三种情况是基于页面交换文件的.一个Win32进程利用内存映射文件可以在进程共享的地址空间保留一块区域(0x8000000 - 0xBFFFFFFF),这块区域与系统的页面交换文件相联系.我们可以用这块区域来存储临时数据，但更常见的做法是利用这块区域与其他进程通信(因为0x80000000以上是系统空间，进程切换只是私有地址空间，系统空间是所有进程共同使用的),这样多进程间就可以实现通信了.事实上Win32多进程间通信都是使用的内存映射文件技术，如PostMessage()，SentMessage()函数，在内部都使用内存映射文件技术.

使用内存映射文件的方法：
1.利用内存映射文件进行文件I/O操作：
　　CreateFile()-->CreateFileMapping()-->MapViewOfFile()......

2.利用内存映射文件实现Win32进程间通信：
我只介绍两种常用的方法：
　　第一种方法：两个进程使用同一个文件映射核心对象，打开各自的视图，或者父进程把自己创建的文件映射核心对象继承给子进程使用.这种方法比较安全有效.
　　第二种方法：基于页面交换文件的内存映射对象.在调用CreateFileMapping()函数时，传递的文件句柄为0xFFFFFFFF,系统就从页面交换文件中提交物理内存，然后进程之间按照第一种方法进程通信.这种方法不用事先准备一个特殊的文件(也就是说不用事先调用CreateFile()返回一个文件的句柄),非常方便.

Maggle
24/1/2008

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)