作者：未知 来源：月光软件站 加入时间：2005-2-28　月光软件站

第四章  探索Windows 2000的内存管理机制

翻译：Kendiv( [email protected] )

更新：Tuesday, February 22, 2005

声明：转载请注明出处，并保证文章的完整性，本人保留译文的所有权利。

Windows 2000的分段和描述符

w2k_mem.exe的另一个很棒的选项是+e，该选项将显示和说明处理器的段寄存器和描述表的内容。示列4-13给出了其典型输出。CS、DS和ES段寄存器的内容非常清晰的证明了Windows 2000为每个进程提供了平坦的4GB地址空间：起始于0x00000000，终止于0xFFFFFFFF。示列4-13中最右边的标志符用来表示段的类型，该段的类型由它的描述符的Type成员给出。代码和数据段的Type属性可分别符号化为“cra”和“ewa”。省略号“-”意味着相应的属性没有设置。一个任务状态段（Task State Segment，TSS）仅能有“a”（可用）和“b”（忙）两种属性。表4-5给出了所有可用的属性。示列4-13展示了Windows 2000的CS段的不一致性，CS段允许执行和读取，而DS、ES、FS和SS段的属性则是可扩展和读/写访问。另一个不明显但十分重要的细节是CS、FS和SS段的DPL在用户模式和内核模式并不相同。DPL是描述符特权级别（Descriptor Privilege Level）。对于代码段（CS），仅当调用者位于其DPL指定的特权级时才能调用该段中的代码（参考Intel 1999c, pp. 4-8f）。在用户模式，CS段的DPL为3；在内核模式，其DPL为0。对于数据段（DS），其DPL是最低的特权级，在用户模式下，所有特权级都可访问它，而在内核模式下，仅允许特权0访问。

示列4-13.  显示CPU信息

IDT和GDT寄存器的内容显示了GDT的范围是：0x8003F000 --- 0x8003F3FF，紧随其后的就是IDT，其地址范围是：0x8003F400 --- 0x8003FBFF。由于每个描述符占用64位，故GDT和IDT分别包含128和256个项。注意，GDT可容纳8,192个项，但Windows 2000仅使用了其中的一小部分。

表4-5   代码和数据段的Type属性

W2k_mem.exe还提供了两个很有特色的选项----+g和+i，这两个选项可显示GDT和IDT的更多细节。示列4-14示范了+g选项的输出。它很类似于示列4-13中的“kernel-model segment:”一节，但列出了在内核模式下所有可用的段选择子（selector），而不仅仅是存储在段寄存器中的那些。W2k_mem.exe通过遍历整个GDT来获取所有的段选择子，可通过IOCTL函数SPY_IO_SEGMENT来指示Spy设备查询段信息。仅显示有效的选择子。比较示列4-13和4-14中的GDT选择子将十分有趣，GDT的选择子定义于ntddk.h中，汇总在表4-6。显然，它们与w2k_mem.exe的输出是一致的。

示列4-14.   显示GDT描述符

表4-6.  定义于ntddk.h中的GDT选择子（selector）

示列4-14中的选择子（selector）没有在表4-6中列出，其中的某些选择子可以通过查找熟悉的基地址或其内存内容来确认它们。使用内核调试器可查找其中某些选择子的基地址对应的符号。表4-7给出了我已经确认的选择子。

W2k_mem.exe的+i选项可转储IDT中的门描述符（Gate Descriptor）。示列4-15给出了IDT的门描述符的部分内容，Intel仅定义了IDT中的前20个门描述符（Intel 1999c, pp. 5-6）。IDT中的中断0x14到0x1F由Intel保留；剩余的0x20到0xFF由操作系统使用。

在表4-8中，我给出了所有可确认的特殊的中断、陷阱和任务门。大多数用户自定义的中断都指向哑元例程---KiUnexpectedinterruptnNNN()，在前面我们已经解释过它。对于某些中断处理例程的地址，内核调试器也无法解析其地址对应的符号。

表4-7.  更多的GDT选择子（selector）

示列4-15.  显示IDT门描述符

表4-8.  Windows 2000 中断、陷阱和任务门

Windows 2000的内存区域

W2k_mem.exe的最后一个还未讨论的选项是：+b选项。该选项会产生4GB地址空间中相邻内存区域的列表，这个列表非常大。W2k_mem.exe使用Spy设备的IOCTL函数SPY_IO_PAGE_ENTRY遍历整个PTE数组（位于地址0xC0000000）来生成这个列表。在作为结果的每个SPY_PAGE_ENTRY结构中，通过将它们的dSize成员与其对应的PTE线性地址相加即可得到下一个PTE的地址。列表4-30给出了该选项的实现方式。

列表4-30.  查找相邻的线性内存块

示列4-16摘录了在我的机器上使用+b选项的输出列表，可以看出其中的几个区域非常有趣。一些非常明显的地址是：0x00400000，这是w2k_mem.exe内存映像的起始地址（第13号块），还有一个是0x10000000，此处是w2k_lib.dll的基地址（第23号块）。TEB和PEB页也很容易认出（第104号块），hal.dll（第105号块），ntoskrnl.exe（第105号块），win32k.sys（第106号块）。第340---350号块是系统PTE数组的一小段，第347号块是页目录的一部分。第2122号块包含SharedUserData区域，第2123号块由KPCR、KPRCB和包含线程和进程状态信息的CONTEXT结构组成。

示列4-16.  相邻内存块列表示列

还需要补充一下，W2k_mem.exe的+b选项会报告有大量的内存被使用，这可能超出了一个合理的值（比如，你机器上的物理内存数）。请注意示列4-16底部给出的汇总信息。我现在真的使用了700MB的内存吗？Windows 2000的任务管理器显示是150MB，那么这儿的又是什么呢？这种奇特的效果都是由第105号内存块产生的，该内存块表示的范围：0x80000000----0xA01A5FFF占用了0x201A6000字节，也就是说占用了538,599,424字节。这显然是不可能的。问题是整个线性地址空间：0x80000000 ---- 0x9FFFFFFF都被映射到了物理内存：0x00000000 ---- 0x1FFFFFFF，在前面我已经提及过这一点。该区域中的所有4MB页都对应地址0xC0300000处的页目录中的一个有效的PDE，我们可以使用w2k_mem +d #0x200 0xC0300800命令来证明这一点（示列4-17）。因为结果列表中的所有PDE都是奇数（译注：如果PDE为奇数，证明其P位肯定为1），所以它们对应的页都必须存在；不过，它们并不需真正占用物理内存。事实上，这一内存区域的大部分都是“空洞（hole）”，如果将其复制到缓冲区中，可发现它们都被0xFF填充。因此，对于w2k_mem.exe输出的内存使用情况，你不需要过于认真。

示列4-17.  地址范围是：0x80000000  --- 0x9FFFFFFF的PDE

Windows 2000 的内存布局 
   本章的最后一部分将给出在一个Windows 2000进程“看”来，4GB线性地址空间的总体布局是什么样子。表4-9给出了多个基本数据结构的内存范围。它们之间的“大洞（big hole）”有不同的用途，如，用于进程模块和设备驱动程序的加载区域，内存池，工作集链表等等。注意，有些内存地址和内存块的大小在不同的系统之间有很大的差异，这取决于物理内存和硬件的配置情况、进程的属性以及其他一些系统变量。因此，这里给出的仅仅是一个草图而已，并不是精确的布局图。

有些物理内存块在线性地址空间中出现的两次或更多次。例如，SharedUserData区域位于线性地址0xFFDF0000，并且并镜像到0x7FFE0000。这两个地址都指向物理内存中的同一个页，这意味着，如果向0xFFDF0000+n处写入一个字节，那么0x7FFE0000+n处的值也会随之改变。这是一个虚拟内存的世界----一个物理地址可以被映射到线性地址空间中的任何地方，即使一个物理地址在同一时间映射到多个线性地址也是可以的。回忆一下图4-3和图4-4，它们清楚地展示了线性地址的这种“虚假行为”。它们的目录和表位域正确的指向用来确定数据实际位置的结构体。如果两个PTE的PFN恰好是相同的，那么它们对应的线性地址将指向物理内存相同位置。

表4-9.  进程地址空间中的可确认的内存区域

……………….本章完………………

相关软件：