搜索

[21903] 2021-04-23_恶意样本分析手册–特殊方法篇

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-04-23_恶意样本分析手册–特殊方法篇 恶 意 样 本 分 析 手 册 – 特 殊 方 法 篇 L e m o n S e c   2 0 2 1 - 0 4 - 2 3 上 一 篇 ： 恶 意 样 本 分 析 手 册 – 溯 源 篇 w i n d o w s 服 务 是 由 三 个 组 件 构 成 的 ： 服 务 应 用 ， 服 务 控 制 程 序 S C P ， 以 及 服 务 控 制 管 理 器 S C M ， 当 S C M 启 动 一 个 服 务 进 程 时 ， 该 进 程 必 须 立 即 调 用 S t a r t S e r v i c e C t r l D i s p a t c h e r 函 数 。 S t a r t S e r v i c e C t r l D i s p a t c h e r 函 数 接 受 一 个 入 口 点 列 表 ， 每 个 入 口 点 对 应 于 该 进 程 中 的 一 个 服 务 。 调 试 服 务 程 序 服 务 简 介 w i n d o w s 服 务 是 由 三 个 组 件 构 成 的 ： 服 务 应 用 ， 服 务 控 制 程 序 S C P ， 以 及 服 务 控 制 管 理 器 S C M ， 当 S C M 启 动 一 个 服 务 进 程 时 ， 该 进 程 必 须 立 即 调 用 S t a r t S e r v i c e C t r l D i s p a t c h e r 函 数 。 S t a r t S e r v i c e C t r l D i s p a t c h e r 函 数 接 受 一 个 入 口 点 列 表 ， 每 个 入 口 点 对 应 于 该 进 程 中 的 一 个 服 务 。 每 个 入 口 点 是 由 它 所 对 应 的 服 务 的 名 称 来 标 识 的 。 S t a r t S e r v i c e C t r l D i s p a t c h e r 创 建 了 一 个 命 名 管 道 来 跟 S C M 进 行 通 信 ， 在 建 立 了 该 通 信 管 道 以 后 ， 它 等 待 S C M 通 过 该 管 道 发 送 过 来 的 命 令 。 每 次 S C M 启 动 一 个 属 于 该 进 程 的 服 务 时 ， 它 发 送 一 个 “ 服 务 启 动 ” 命 令 。 S t a r t S e r v i c e C t r l D i s p a t c h e r 函 数 对 于 所 接 收 到 的 每 个 启 动 命 令 ， 创 建 一 个 线 程 （ 服 务 线 程 ） ， 由 该 线 程 调 用 所 启 动 服 务 的 入 口 点 函 数 ， 并 实 现 该 服 务 的 命 令 循 环 。 S t a r t S e r v i c e C t r l D i s p a t c h e r 一 直 在 等 待 来 自 S C M 的 命 令 ， 只 有 当 该 进 程 的 所 有 服 务 都 停 止 时 ， 它 才 会 将 控 制 返 回 至 该 进 程 的 m a i n 函 数 ， 以 便 服 务 进 程 在 退 出 以 前 做 一 些 资 源 清 理 工 作 。 当 S C M 要 启 动 一 个 服 务 时 ， 它 就 调 用 S c S t a r t S e r v i c e ， 当 S c S t a r t S e r v i c e 启 动 一 个 w i n d o w s 服 务 时 ， 它 首 先 读 取 该 服 务 的 注 册 表 键 中 I m a g e P a t h 值 ， 以 确 定 该 服 务 进 程 的 映 像 文 件 名 。 然 后 ， 它 检 查 该 服 务 的 T y p e 值 ， 如 果 此 值 是 S E R V I C E _ W I N D O W S _ S H A R E _ P R O C E S S ( 0 x 2 0 ) 那 么 ， S C M 保 证 该 服 务 运 行 所 在 的 进 程 （ 如 果 已 经 启 动 了 的 话 ） ， 其 登 录 的 账 户 一 定 与 服 务 的 指 定 启 动 账 户 相 同 。 S C M 在 一 个 称 为 映 像 数 据 库 的 内 部 数 据 库 中 ， 检 查 是 否 有 针 对 该 服 务 的 I m a g e P a t h 值 的 条 目 ， 以 便 验 证 该 服 务 的 进 程 尚 未 在 其 他 账 户 下 被 启 动 起 来 。 如 果 在 映 像 数 据 库 中 没 有 找 到 该 I m a g e P a t h 值 的 条 目 ， 则 S C M 创 建 一 个 这 样 的 条 目 。 当 S C M 创 建 一 个 新 的 条 目 时 ， 它 还 将 该 账 户 的 登 录 账 户 名 ， 以 及 该 服 务 的 I m a g e P a t h 值 中 的 数 据 也 存 储 起 来 。 如 果 S C M 在 映 像 数 据 库 中 找 到 了 一 个 与 该 服 务 的 I m a g e P a t h 数 据 相 匹 配 的 条 目 ， 那 么 ， 必 须 保 证 当 前 正 在 启 动 的 服 务 的 用 户 账 户 信 息 与 数 据 库 条 目 中 存 储 的 信 息 是 相 同 的 。 一 个 进 程 只 能 以 一 个 账 户 的 身 份 来 登 录 ， 所 以 ， 当 一 个 服 务 指 定 的 账 户 名 与 同 一 个 进 程 中 已 经 启 动 起 来 的 其 他 服 务 的 账 户 名 不 相 同 时 ， S C M 会 报 告 一 个 错 误 。 S C M 调 用 S c L o g o n A n d S t a r t I m a g e 来 登 录 一 个 服 务 ， 并 启 动 该 服 务 的 进 程 。 S C M 通 过 调 用 l s a s s 函 数 L o g o n U s e r E x 来 登 录 那 些 并 非 运 行 在 系 统 账 户 下 的 服 务 。 当 S C M 配 置 一 个 服 务 的 登 录 信 息 时 ， S C M 利 用 L s a S t o r e P r i v a t e D a t a 函 数 来 指 示 l s a s s 将 一 个 登 录 口 令 保 存 到 S e c r e t s 子 键 下 。 在 登 陆 成 功 后 ， L o g o n U s e r E x 给 调 用 者 返 回 一 个 句 柄 ， 指 向 一 个 访 问 令 牌 。 W i n d o w s 使 用   访 问 令 牌 来 代 表 一 个 用 户 的 安 全 环 境 ， 以 后 S C M 将 该 访 问 令 牌 与 实 现 此 服 务 的 进 程 关 联 起 来 。 下 一 个 步 骤 是 ， 如 果 该 服 务 的 进 程 尚 未 被 启 动 （ 例 如 ， 为 了 另 一 个 服 务 ） ， 则 S c l o g o n A n d S t a r t I m a g e 为 该 服 务 激 发 一 个 进 程 。 S C M 通 过 w i n d o w s 函 数 C r e a t e P r o d c e s s A s U s e r 来 启 动 此 进 程 ， 并 且 将 该 进 程 的 状 态 设 置 为 挂 起 状 态 。 接 下 来 S C M 创 建 一 个 命 名 管 道 ， 以 后 通 过 该 管 道 与 服 务 进 程 进 行 通 信 ， 分 配 给 管 道 的 名 称 为 P i p e N e t N t C o n t r o l P i p e X ， 其 中 X 是 一 个 数 字 ， 每 次 S C M 创 建 一 个 管 道 ， 该 数 字 就 会 递 增 。 然 后 ， S C M 通 过 R e s u m e T h r e a d 函 数 来 恢 复 服 务 进 程 的 执 行 ， 并 且 等 待 该 服 务 连 接 到 它 的 S C M 管 道 上 。 如 果 注 册 表 值 H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e r v i c e s P i p e T i m e o u t 存 在 的 话 ， 则 它 决 定 了 S C M 等 待 又 给 服 务 调 用 S t a r t S e r v i c e C t r l D i s p a t c h e r 并 连 接 过 来 的 时 间 长 度 ， 如 果 在 这 么 长 时 间 里 没 有 等 到 ， 则 S C M 就 会 放 弃 ， 终 止 该 进 程 ， 并 得 出 结 论 ： 该 服 务 未 能 启 动 。 如 果 S e r v i c e s P i p e T i m e o u t 不 存 在 ， 则 S C M 使 用 默 认 的 3 0 秒 作 为 超 时 间 隔 值 。 S C M 对 于 它 所 有 的 服 务 通 信 都 是 用 同 样 的 超 时 间 隔 值 。 当 一 个 服 务 通 过 它 的 管 道 连 接 到 S C M 时 ， S C M 向 该 服 务 发 送 一 个 启 动 命 令 。 如 果 该 服 务 未 能 在 有 效 时 间 内 响 应 启 动 命 令 ， S C M 就 会 放 弃 ， 转 移 到 启 动 下 一 个 服 务 。 当 一 个 服 务 没 有 对 启 动 请 求 做 出 响 应 时 ， S C M 不 会 像 一 个 服 务 在 指 定 时 间 内 没 有 调 用 S t a r t S e r v i c e C t r l D i s p a t c h e r 的 情 形 一 样 终 止 进 程 ， 相 反 会 在 系 统 的 时 间 日 志 中 记 录 一 个 错 误 ， 指 明 该 服 务 未 能 及 时 启 动 起 来 。 如 果 S C M 调 用 S c S t a r t S e r v i c e 启 动 的 服 务 有 一 个 T y p e 注 册 表 值 为 S E R V I C E _ K E R N E L _ D R I V E R 或 S E R V I C E _ F I L E _ S Y S T E M _ D R I V E R ， 那 么 该 服 务 是 一 个 设 备 驱 动 程 序 ， 所 以 S c S t a r t S e r v i c e 调 用 S c L o a d D e v i c e D r i v e r 来 加 载 该 驱 动 程 序 。 S c L o a d D e v i c e D r i v e r 首 先 使 S C M 进 程 具 有 加 载 驱 动 程 序 的 安 全 特 权 ， 然 后 调 用 内 核 服 务 N t L o a d D r i v e r ， 将 该 驱 动 程 序 的 注 册 表 键 中 的 I m a g e P a t h 值 的 数 据 传 递 过 去 。 与 w i n d o w s 服 务 不 同 的 是 ， 驱 动 程 序 不 需 要 指 定 I m a g e P a t h 值 ； 如 果 该 值 不 存 在 的 话 ， S C M 通 过 将 驱 动 程 序 的 名 称 附 加 在 字 符 串 % S y s t e m R o o t % S y s t e m 3 2 D r i v e r s 的 后 面 就 可 以 构 造 一 个 映 像 文 件 路 径 。 S c A u t o s t a r t S e r v i c e s 继 续 循 环 处 理 同 一 个 组 的 服 务 ， 直 到 所 有 这 些 服 务 要 么 被 启 动 起 来 ， 要 么 产 生 相 依 性 错 误 。 这 种 循 环 处 理 方 式 是 S C M 根 据 一 个 组 中 的 服 务 的 D e p e n d O n S e r v i c e 相 依 性 来 自 动 对 他 们 进 行 顺 序 处 理 的 。 S C M 在 较 早 的 循 环 中 启 动 那 些 被 其 他 服 务 依 赖 的 服 务 ， 跳 过 那 些 依 赖 于 其 他 服 务 的 服 务 ， 而 在 后 续 的 循 环 中 再 启 动 这 些 服 务 。 S C M 在 处 理 了 自 动 启 动 的 服 务 以 后 ， 调 用 S c I n i t D e l a y S t a r t ， 该 函 数 将 一 个 延 迟 的 工 作 项 目 加 入 队 列 中 ， 该 工 作 项 目 与 一 个 专 门 的 辅 助 线 程 相 关 联 ， 它 负 责 处 理 所 有 由 于 被 标 记 为 “ 延 迟 的 自 动 启 动 ” 而 被 S c A u t o S t a r t S e r v i c e s 忽 略 掉 的 服 务 。 此 辅 助 线 程 将 在 一 段 时 间 的 延 迟 之 后 执 行 ， 默 认 的 延 迟 是 1 2 0 秒 ， 但 那 时 可 以 通 过 在 H T M L S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l 中 创 建 一 个 A u t o S t a r t D e l a y 值 ， 可 以 覆 盖 这 一 默 认 值 。 当 S C M 完 成 了 启 动 所 有 这 些 自 动 启 动 的 服 务 和 驱 动 程 序 ， 以 及 设 置 了 延 迟 的 自 动 启 动 的 工 作 项 目 时 ， 发 信 号 通 过 B a s e N a m e O b j e c t s S C _ A u t o s t a r t C o m p l e t e 事 件 完 成 。 这 一 事 件 被 w i n d o w s   s e t u p 程 序 用 于 在 安 装 过 程 中 衡 量 启 动 过 程 。 有 些 恶 意 样 本 会 通 过 创 建 系 统 服 务 来 执 行 自 身 的 恶 意 功 能 ， 通 过 这 种 方 法 可 以 实 现 开 机 启 动 ， 也 可 以 达 到 隐 藏 自 身 的 目 的 ， 对 于 安 全 人 员 来 说 ， 调 试 服 务 程 序 也 比 较 麻 烦 ， 这 里 介 绍 两 种 调 试 的 方 法 。 服 务 启 动 后 附 加 通 过 任 务 管 理 器 找 到 要 调 试 的 服 务 程 序 ， 查 看 目 标 进 程 的 p i d ， 然 后 再 启 动 w i n d b g ， 选 择 f i l e - > A t t a c h   t o   a   P r o c e s s 在 显 示 的 进 程 列 表 中 找 到 目 标 程 序 ， 然 后 点 击 O K 即 可 开 始 调 试 。 （ 关 于 此 工 具 的 详 细 使 用 方 法 ， 请 参 考 工 具 篇 介 绍 ） 。
服 务 启 动 时 附 加 在 服 务 启 动 的 时 候 就 使 用 w i n d b g 进 行 附 加 ， 使 用 这 种 方 法 需 要 进 行 简 单 的 配 置 。 1 .   使 用 管 理 员 启 动 w i n d b g 目 录 下 的 e x e ， 在 “ I m a g e   F i l e ” 标 签 页 中 填 写 I m a g e 名 字 （ 不 需 要 写 全 路 径 ） 。 如 下 图 所 示 ， 服 务 名 称 是 0 1 0 e d i t o r A S ， 可 执 行 路 径 为 C : U s e r s x x x x x A p p D a t a R o a m i n g 0 1 0 e d i t o r A S . e x e 。 按 照 上 图 的 例 子 ， 在 I m a g e 框 中 填 写 0 1 0 e d i t o r A S . e x e ， 在 下 面 的 D e b u g g e r 框 中 填 写 w i n d b g 的 全 路 径 。 2 .   设 置 服 务 的 属 性 ， 允 许 服 务 以 交 互 形 式 启 动 。
3 .   设 置 结 束 后 ， 就 可 以 启 动 服 务 了 ， 系 统 会 显 示 交 互 式 服 务 检 测 ， 点 击 查 看 消 息 后 ， 便 会 中 断 在 w i n d b g 中 。 但 是 这 种 方 法 有 个 问 题 ， 就 是 只 能 断 下 来 3 0 秒 ， 过 了 这 个 时 间 就 无 法 进 行 调 试 了 。 上 文 中 提 到 了 这 个 问 题 ， 查 找 网 上 的 资 料 说 ， 在 注 册 表 H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l 下 新 建 一 个 值 S e r v i c e s P i p e T i m e o u t ， 这 个 值 表 示 超 时 时 间 ， 但 是 经 过 实 践 发 现 并 没 有 什 么 效 果 。 另 外 一 种 方 法 是 在 服 务 的 入 口 加 i n t 3 断 点 ， 这 样 就 能 在 超 时 间 隔 内 使 程 序 执 行 完 S t a r t S e r v i c e C t r l D i s p a t c h e r 函 数 ， 不 至 于 使 服 务 管 理 器 因 为 长 时 间 收 不 到 来 自 服 务 的 消 息 而 终 止 服 务 的 运 行 。 进 程 间 通 信 随 着 人 们 对 应 用 程 序 的 要 求 越 来 越 高 ， 单 进 程 应 用 在 许 多 场 合 已 不 能 满 足 人 们 的 要 求 ， 编 写 多 进 程 / 多 线 程 程 序 成 为 现 代 程 序 设 计 的 一 个 重 要 特 点 ， 恶 意 软 件 也 跟 随 时 代 的 脚 步 ， 通 过 多 进 程 来 相 互 保 护 。 而 多 进 程 之 间 想 “ 交 流 ” ， 那 么 肯 定 少 不 了 进 程 间 通 信 的 技 术 ， 如 果 我 们 熟 悉 进 程 间 通 信 技 术 ， 就 可 以 轻 松 自 如 的 调 试 多 进 程 的 恶 意 样 本 。 文 件 映 射 文 件 映 射 ( M e m o r y - M a p p e d   F i l e s ) 能 使 进 程 把 文 件 内 容 当 作 进 程 地 址 区 间 一 块 内 存 那 样 来 对 待 。 因 此 ， 进 程 不 必 使 用 文 件 I / O 操 作 ， 只 需 简 单 的 指 针 操 作 就 可 读 取 和 修 改 文 件 的 内 容 。 W i n 3 2   A P I 允 许 多 个 进 程 访 问 同 一 文 件 映 射 对 象 ， 各 个 进 程 在 它 自 己 的 地 址 空 间 里 接 收 内 存 的 指 针 。 通 过 使 用 这 些 指 针 ， 不 同 进 程 就 可 以 读 或 修 改 文 件 的 内 容 ， 实 现 了 对 文 件 中 数 据 的 共 享 。 应 用 程 序 有 三 种 方 法 来 使 多 个 进 程 共 享 一 个 文 件 映 射 对 象 。 ( 1 ) 继 承 ： 第 一 个 进 程 建 立 文 件 映 射 对 象 ， 其 子 进 程 继 承 该 对 象 的 句 柄 。 ( 2 ) 命 名 文 件 映 射 ： 第 一 个 进 程 在 建 立 文 件 映 射 对 象 时 可 以 给 该 对 象 指 定 一 个 名 字 ( 可 与 文 件 名 不 同 ) 。 第 二 个 进 程 可 通 过 这 个 名 字 打 开 此 文 件 映 射 对 象 。 另 外 ， 第 一 个 进 程 也 可 以 通 过 一 些 其 它 I P C 机 制 ( 有 名 管 道 、 邮 件 槽 等 ) 把 名 字 传 给 第 二 个 进 程 。 ( 3 ) 句 柄 复 制 ： 第 一 个 进 程 建 立 文 件 映 射 对 象 ， 然 后 通 过 其 它 I P C 机 制 ( 有 名 管 道 、 邮 件 槽 等 ) 把 对 象 句 柄 传 递 给 第 二 个 进 程 。 第 二 个 进 程 复 制 该 句 柄 就 取 得 对 该 文 件 映 射 对 象 的 访 问 权 限 。 文 件 映 射 是 在 多 个 进 程 间 共 享 数 据 的 非 常 有 效 方 法 ， 有 较 好 的 安 全 性 。 但 文 件 映 射 只 能 用 于 本 地 机 器 的 进 程 之 间 ， 不 能 用 于 网 络 中 ， 而 开 发 者 还 必 须 控 制 进 程 间 的 同 步 。 下 面 的 示 例 代 码 展 示 了 如 何 通 过 文 件 来 进 行 通 信 ： 发 送 方 ： # i n c l u d e   " s t d a f x . h " # i n c l u d e   " w i n d o w s . h " # i n c l u d e   " s t d i o . h " i n t   m a i n ( ) { H A N D L E   h F i l e   =   C r e a t e F i l e ( T E X T ( " c : z j . d a t " ) ,   G E N E R I C _ R E A D   |   G E N E R I C _ W R I T E ,
0 ,   N U L L ,   C R E A T E _ A L W A Y S ,   F I L E _ A T T R I B U T E _ N O R M A L ,   N U L L ) ; i f   ( h F i l e   = =   N U L L ) { p r i n t f ( " c r e a t e   f i l e   e r r o r ! " ) ; r e t u r n   0 ; } / /     H A N D L E   h F i l e   =   ( H A N D L E ) 0 x f f f f f f f f ;   / / 创 建 一 个 进 程 间 共 享 的 对 象 H A N D L E   h M a p   =   C r e a t e F i l e M a p p i n g ( h F i l e ,   N U L L ,   P A G E _ R E A D W R I T E ,   0 ,   1 0 2 4   *   1 0 2 4 ,   T E X T ( " Z J " ) ) ; i n t   r s t   =   G e t L a s t E r r o r ( ) ; i f   ( h M a p   ! =   N U L L   & &   r s t   = =   E R R O R _ A L R E A D Y _ E X I S T S ) { p r i n t f ( " h M a p   e r r o r n " ) ; C l o s e H a n d l e ( h M a p ) ; h M a p   =   N U L L ; r e t u r n   0 ; } C H A R *   p s z T e x t   =   N U L L ; p s z T e x t   =   ( C H A R * ) M a p V i e w O f F i l e ( h M a p ,   F I L E _ M A P _ A L L _ A C C E S S ,   0 ,   0 ,   1 0 2 4   *   1 0 2 4 ) ; i f   ( p s z T e x t   = =   N U L L ) { p r i n t f ( " v i e w   m a p   e r r o r ! " ) ; r e t u r n   0 ; } / / p r i n t f ( " 写 入 数 据 : " ) ; s p r i n t f ( p s z T e x t ,   " h e l l o   m y   f i r s t   m a p p i n g   f i l e ! n " ) ;   / / 其 实 是 向 文 件 中 （ 共 享 内 存 中 ） 写 入 了 p r i n t f ( " 写 入 的 数 据 ： % s " ,   p s z T e x t ) ; w h i l e   ( 1 ) { p r i n t f ( " 读 取 数 据 ： " ) ; p r i n t f ( p s z T e x t ) ; S l e e p ( 3 0 0 0 ) ;
接 收 方 ： } g e t c h a r ( ) ; U n m a p V i e w O f F i l e ( ( L P C V O I D ) p s z T e x t ) ; C l o s e H a n d l e ( h M a p ) ; C l o s e H a n d l e ( h F i l e ) ; r e t u r n   0 ; } # i n c l u d e   " s t d a f x . h " # i n c l u d e   " w i n d o w s . h " # i n c l u d e   " s t d i o . h " i n t   m a i n ( ) { H A N D L E   h M a p   =   O p e n F i l e M a p p i n g ( F I L E _ M A P _ A L L _ A C C E S S ,   T R U E ,   T E X T ( " Z J " ) ) ; i f   ( h M a p   = =   N U L L ) { p r i n t f ( " o p e n   f i l e   m a p   e r r o r ! " ) ; r e t u r n   0 ; }   C H A R *   p s z T e x t   =   N U L L ; p s z T e x t   =   ( C H A R * ) M a p V i e w O f F i l e ( h M a p ,   F I L E _ M A P _ A L L _ A C C E S S ,   0 ,   0 ,   1 0 2 4   *   1 0 2 4 ) ; i f   ( p s z T e x t   = =   N U L L ) { p r i n t f ( " m a p   v i e w   e r r o r ! n " ) ; r e t u r n   0 ; } p r i n t f ( " 读 取 数 据 ： " ) ; p r i n t f ( p s z T e x t ) ;   / / 从 文 件 中 读 ( 共 享 内 存 )
首 先 发 送 方 创 建 一 个 文 件 并 进 行 映 射 ， 然 后 向 映 射 的 内 存 中 写 入 数 据 ， 接 着 再 从 映 射 的 内 存 中 读 取 数 据 ， 接 下 来 运 行 接 收 方 ， 接 收 方 先 是 读 取 数 据 ， 然 后 在 往 里 面 写 入 数 据 ， 所 以 ， 运 行 之 后 会 看 到 发 送 方 读 取 的 数 据 变 化 了 。 使 用 这 种 方 法 进 行 通 信 用 到 的 函 数 主 要 有 C r e a t e F i l e ， C r e a t e F i l e M a p p i n g ， M a p V i e w O f F i l e ， s p r i n t f 。 也 有 一 种 情 况 是 使 用 函 数 W r i t e F i l e 向 文 件 种 写 入 数 据 。 通 过 以 上 代 码 可 以 知 道 这 种 机 制 的 通 信 方 式 ， 然 后 在 上 述 的 函 数 上 设 置 断 点 ， 截 获 程 序 交 互 的 数 据 即 可 。 共 享 内 存 共 享 内 存 主 要 是 通 过 映 射 机 制 实 现 的 。 W i n d o w s 下 进 程 的 地 址 空 间 在 逻 辑 上 是 相 互 隔 离 的 ， 但 是 在 物 理 上 却 是 重 叠 的 。 所 谓 的 重 叠 是 指 同 一 块 内 存 区 域 可 能 被 多 个 进 程 同 时 使 用 。 当 调 用 C r e a t e F i l e M a p p i n g   创 建 命 名 的 内 存 映 射 文 件 对 象 时 ， W i n d o w s   即 在 物 理 内 存 申 请 一 块 指 定 大 小 的 内 存 区 域 ， 返 回 文 件 映 射 对 象 的 句 柄   h M a p 。 为 了 能 够 访 问 这 块 内 存 区 域 必 须 调 用   M a p V i e w O f F i l e   函 数 ， 促 使   W i n d o w s   将 此 内 存 空 间 映 射 到 进 程 的 地 址 空 间 中 。 当 在 其 他 进 程 访 问 这 块 内 存 区 域 时 ， 则 必 须 使 用 O p e n F i l e M a p p i n g   函 数 取 得 对 象 句 柄   h M a p ， 并 调 用   M a p V i e w O f F i l e   函 数 得 到 此 内 存 空 间 的 一 个 映 射 。 这 样 一 来 ， 系 统 就 把 同 一 块 内 存 区 域 映 射 到 了 不 同 进 程 的 地 址 空 间 中 ， 从 而 达 到 共 享 内 存 的 目 的 。 以 下 面 的 代 码 为 例 ， 第 一 次 运 行 时 ， 创 建 一 个 共 享 内 存 ， 写 入 数 据 “ H e l l o W o r l d ” ， 只 要 创 建 共 享 内 存 的 进 程 没 有 关 闭 句 柄 h M a p ， 以 后 运 行 的 程 序 就 会 读 出 共 享 内 存 里 面 的 数 据 ， 并 打 印 出 来 。 知 道 了 共 享 内 存 的 手 法 ， 就 可 以 在 关 键 函 数 处 下 断 点 进 行 调 试 了 。 p r i n t f ( " n 写 入 数 据 ： " ) ; s p r i n t f ( p s z T e x t ,   " s e c o n d   d a t a ! n " ) ;   / / 写 入 p r i n t f ( " % s r n " ,   p s z T e x t ) ; g e t c h a r ( ) ; U n m a p V i e w O f F i l e ( p s z T e x t ) ; C l o s e H a n d l e ( h M a p ) ; h M a p   =   N U L L ; r e t u r n   0 ; } # i n c l u d e   " s t d a f x . h " # i n c l u d e   < w i n d o w s . h > # i n c l u d e   < i o s t r e a m > # i n c l u d e   < s t r i n g > # i n c l u d e   < c s t r i n g > u s i n g   n a m e s p a c e   s t d ; i n t   m a i n ( ) { w c h a r _ t   s t r M a p N a m e [ ] = L " S h a r e M e m o r y " ;                                 / /   内 存 映 射 对 象 名 称 s t r i n g   s t r C o m D a t a ( " H e l l o W o r l d " ) ;                 / /   共 享 内 存 中 的 数 据
连 续 运 行 两 次 程 序 ， 结 果 如 下 图 所 示 ： L P V O I D   p B u f f e r ;                                                                         / /   共 享 内 存 指 针 / /   首 先 试 图 打 开 一 个 命 名 的 内 存 映 射 文 件 对 象 H A N D L E   h M a p   =   : : O p e n F i l e M a p p i n g ( F I L E _ M A P _ A L L _ A C C E S S ,   0 , ( L P C W S T R ) s t r M a p N a m e ) ; i f   ( N U L L   = =   h M a p ) {         / /   打 开 失 败 ， 则 创 建 h M a p   =   : : C r e a t e F i l e M a p p i n g ( I N V A L I D _ H A N D L E _ V A L U E , N U L L , P A G E _ R E A D W R I T E , 0 , s t r C o m D a t a . l e n g t h ( )   +   1 , s t r M a p N a m e ) ; / /   映 射 对 象 的 一 个 视 图 ， 得 到 指 向 共 享 内 存 的 指 针 ， 设 置 里 面 的 数 据 p B u f f e r   =   : : M a p V i e w O f F i l e ( h M a p ,   F I L E _ M A P _ A L L _ A C C E S S ,   0 ,   0 ,   0 ) ; s t r c p y ( ( c h a r * ) p B u f f e r ,   s t r C o m D a t a . c _ s t r ( ) ) ; c o u t   < <   " 写 入 共 享 内 存 数 据 ： "   < <   ( c h a r   * ) p B u f f e r   < <   e n d l ; } e l s e {         / /   打 开 成 功 ， 映 射 对 象 的 一 个 视 图 ， 得 到 指 向 共 享 内 存 的 指 针 ， 显 示 出 里 面 的 数 据 p B u f f e r   =   : : M a p V i e w O f F i l e ( h M a p ,   F I L E _ M A P _ A L L _ A C C E S S ,   0 ,   0 ,   0 ) ; c o u t   < <   " 读 取 共 享 内 存 数 据 ： "   < <   ( c h a r   * ) p B u f f e r   < <   e n d l ; } g e t c h a r ( ) ;                         / /   注 意 ， 进 程 关 闭 后 ， 所 有 句 柄 自 动 关 闭 ， 所 以 要 在 这 里 暂 停 / /   解 除 文 件 映 射 ， 关 闭 内 存 映 射 文 件 对 象 句 柄 : : U n m a p V i e w O f F i l e ( p B u f f e r ) ; : : C l o s e H a n d l e ( h M a p ) ; s y s t e m ( " p a u s e " ) ; r e t u r n   0 ; }
这 种 方 式 和 上 述 介 绍 的 第 一 种 方 式 类 似 ， 用 到 的 函 数 有 O p e n F i l e M a p p i n g ， C r e a t e F i l e M a p p i n g ， M a p V i e w O f F i l e 。 在 调 用 M a p V i e w O f F i l e 后 ， 会 返 回 一 个 地 址 ， 进 程 交 互 的 数 据 就 是 通 过 这 个 地 址 ， 所 以 在 M a p V i e w O f F i l e 函 数 处 设 置 断 点 ， 然 后 在 内 存 种 跟 踪 返 回 地 址 中 的 数 据 即 可 。 匿 名 管 道 匿 名 管 道 是 一 种 未 命 名 的 、 单 向 管 道 ， 通 常 用 来 在 一 个 父 进 程 和 一 个 子 进 程 之 间 传 输 数 据 。 匿 名 的 管 道 只 能 实 现 本 地 机 器 上 两 个 进 程 间 的 通 信 ， 而 不 能 实 现 跨 网 络 的 通 信 。 匿 名 管 道 是 在 父 进 程 和 子 进 程 之 间 ， 或 同 一 父 进 程 的 两 个 子 进 程 之 间 传 输 数 据 的 无 名 字 的 单 向 管 道 。 通 常 由 父 进 程 创 建 管 道 ， 然 后 由 要 通 信 的 子 进 程 继 承 通 道 的 读 端 点 句 柄 或 写 端 点 句 柄 ， 然 后 实 现 通 信 。 父 进 程 还 可 以 建 立 两 个 或 更 多 个 继 承 匿 名 管 道 读 和 写 句 柄 的 子 进 程 。 这 些 子 进 程 可 以 使 用 管 道 直 接 通 信 ， 不 需 要 通 过 父 进 程 。 匿 名 管 道 是 单 机 上 实 现 子 进 程 标 准 I / O 重 定 向 的 有 效 方 法 ， 它 不 能 在 网 上 使 用 ， 也 不 能 用 于 两 个 不 相 关 的 进 程 之 间 。 创 建 匿 名 管 道 的 函 数 为 C r e a t e P i p e ， 对 管 道 进 行 读 写 的 操 作 是 R e a d F i l e 和 W r i t e F i l e 函 数 。 参 考 代 码 如 下 ： # i n c l u d e   " s t d a f x . h " # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < i o s t r e a m > i n t   m a i n ( ) { a u t o   n u m A r g s   =   0 ; C o m m a n d L i n e T o A r g v W ( G e t C o m m a n d L i n e W ( ) ,   & n u m A r g s ) ; i f   ( n u m A r g s   >   1 ) { s t d : : c o u t   < <   " 子 进 程 "   < <   s t d : : e n d l ; C H A R   s z B u f f e r [ 1 6 ] {   0   } ; R e a d F i l e ( G e t S t d H a n d l e ( S T D _ I N P U T _ H A N D L E ) ,   s z B u f f e r ,   s i z e o f ( s z B u f f e r ) ,   n u l l p t r ,   n u l l p t r ) ; s t d : : c o u t   < <   s z B u f f e r   < <   s t d : : e n d l ; } e l s e { s t d : : c o u t   < <   " 父 进 程 "   < <   s t d : : e n d l ; S E C U R I T Y _ A T T R I B U T E S   s a {   0   } ; s a . n L e n g t h   =   s i z e o f ( s a ) ; s a . b I n h e r i t H a n d l e   =   T R U E ; H A N D L E   h R e a d ;
运 行 结 果 如 下 ： 在 父 进 程 创 建 一 个 匿 名 管 道 ， 将 管 道 的 读 句 柄 传 给 子 进 程 ， 并 且 向 管 道 中 写 入 “ H e l l o W o r l d ” ， 子 进 程 启 动 后 ， 通 过 管 道 的 读 句 柄 从 管 道 中 读 取 父 进 程 写 入 的 数 据 ， 这 就 是 简 单 的 匿 名 管 道 通 信 机 制 ， 调 试 的 时 候 ， 如 果 看 到 类 似 的 机 制 ， 可 以 在 W r i t e F i l e 或 者 R e a d F i l e 上 设 置 断 点 来 读 取 程 序 写 入 管 道 的 值 。 在 调 试 的 时 候 ， 遇 到 函 数 C r e a t e P i p e ， 需 要 重 点 关 注 它 的 前 两 个 参 数 ， 这 两 个 参 数 分 别 为 数 据 读 取 句 柄 和 数 据 写 入 句 柄 ， 记 下 这 两 个 值 之 后 ， 在 遇 到 W r i t e F i l e 或 者 R e a d F i l e 函 数 时 ， 如 果 句 柄 值 为 C r e a t e P i p e 函 数 返 回 的 值 ， 那 么 就 需 要 截 获 写 入 或 读 取 的 数 据 。 命 名 管 道 命 名 管 道 ( N a m e d   P i p e ) 是 服 务 器 进 程 和 一 个 或 多 个 客 户 进 程 之 间 通 信 的 单 向 或 双 向 管 道 。 不 同 于 匿 名 管 道 的 是 命 名 管 道 可 以 在 不 相 关 的 进 程 之 间 和 不 同 计 算 机 之 间 使 用 ， 服 务 器 建 立 命 名 管 道 时 给 它 指 定 一 个 名 字 ， 任 何 进 程 都 可 以 通 过 该 名 字 打 开 管 道 的 另 一 端 ， 根 据 给 定 的 权 限 和 服 务 器 进 程 通 信 。 命 名 管 道 提 供 了 相 对 简 单 的 编 程 接 口 ， 使 通 过 网 络 传 输 数 据 并 不 比 同 一 计 算 机 上 两 进 程 之 间 通 信 更 困 难 ， 不 过 如 果 要 同 时 和 多 个 进 程 通 信 就 力 不 从 心 了 。 创 建 匿 名 管 道 的 函 数 为 C r e a t e N a m e d P i p e ， 通 过 W r i t e F i l e 或 R e a d F i l e 向 这 个 管 道 内 写 入 数 据 或 读 取 数 据 ， 此 时 的 客 户 端 用 C r e a t e F i l e 先 打 开 此 命 名 管 道 ， 通 过 R e a d F i l e 读 取 管 道 内 的 数 据 或 用 W r i t e F i l e 向 管 道 内 写 入 数 据 。 参 考 代 码 （ 包 含 服 务 端 和 客 户 端 ） ： 服 务 端 ： H A N D L E   h W r i t e ; C r e a t e P i p e ( & h R e a d ,   & h W r i t e ,   & s a ,   0 ) ; S T A R T U P I N F O W   s i {   0   } ; s i . c b   =   s i z e o f ( s i ) ; s i . h S t d I n p u t   =   h R e a d ; s i . d w F l a g s   =   S T A R T F _ U S E S T D H A N D L E S ; P R O C E S S _ I N F O R M A T I O N   p i {   0   } ; W C H A R   s z C o m m a n d [ 5 1 2 ] {   0   } ; G e t M o d u l e F i l e N a m e W ( n u l l p t r ,   s z C o m m a n d ,   _ c o u n t o f ( s z C o m m a n d ) ) ; w c s c a t ( s z C o m m a n d ,   L "   t e s t " ) ; C r e a t e P r o c e s s W ( n u l l p t r ,   s z C o m m a n d ,   n u l l p t r ,   n u l l p t r ,   T R U E ,   C R E A T E _ N E W _ C O N S O L E ,   n u l l p t r ,   n u l l p t r ,   & s i ,   & p i ) ; W r i t e F i l e ( h W r i t e ,   " H e l l o W o r l d " ,   5 ,   n u l l p t r ,   n u l l p t r ) ; } s y s t e m ( " p a u s e " ) ; r e t u r n   0 ; } # d e f i n e   R E A D _ P I P E       L " . p i p e R e a d P i p e " # d e f i n e   W R I T E _ P I P E     L " . p i p e W r i t e P i p e " t y p e d e f   s t r u c t   _ U S E R _ C O N T E X T _
{ H A N D L E   h P i p e ; H A N D L E   h E v e n t ; } U S E R _ C O N T E X T , * P U S E R _ C O N T E X T ; U S E R _ C O N T E X T     C o n t e x t [ 2 ]   =   { 0 } ; H A N D L E   h T h r e a d [ 2 ]   =   { 0 } ; B O O L     W r i t e P i p e ( ) ; B O O L     R e a d P i p e ( ) ; B O O L     b O k   =   F A L S E ; D W O R D   W I N A P I   W r i t e P i p e T h r e a d ( L P V O I D   L P P a r a m ) ; D W O R D   W I N A P I   R e a d P i p e T h r e a d ( L P V O I D   L P P a r a m ) ; i n t   _ t m a i n ( i n t   a r g c ,   T C H A R *   a r g v [ ] ,   T C H A R *   e n v p [ ] ) { i n t   n R e t C o d e   =   0 ; H A N D L E   h P i p e   =   N U L L ; i f   ( W r i t e P i p e ( ) = = F A L S E ) { r e t u r n   - 1 ; } i f   ( R e a d P i p e ( ) = = F A L S E ) { r e t u r n   - 1 ; } i n t   i I n d e x   =   0 ; w h i l e   ( T R U E ) { i f   ( b O k = = T R U E ) { S e t E v e n t ( C o n t e x t [ 0 ] . h E v e n t ) ; S e t E v e n t ( C o n t e x t [ 1 ] . h E v e n t ) ; S l e e p ( 1 ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理