搜索

[1886] 2021-04-18_内核APC深入理解

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2021-04-18_内核APC深入理解 内 核 A P C 深 入 理 解 M i n i o n s 丶   D a y 1 安 全 团 队   2 0 2 1 - 0 4 - 1 8 本 篇 文 章 主 要 为 笔 者 在 学 习 过 程 中 对 内 核 A P C 源 码 的 一 些 学 习 心 得 的 分 享 ( 文 末 有 彩 蛋 哦 ) 一 、 与 一 、 与 A P C 相 关 的 结 构 相 关 的 结 构 1   ． A P C 属 于 内 核 对 象 ， 所 有 的 内 核 对 象 都 有 一 个 结 构 体 - -   1   :   1   ( 数 据 模 型 ) A P C 内 核 对 象 2   ． A P C 用 于 特 定 的 线 程 ， 一 个 线 程 具 有 多 个 A P C   - -   1   : N 线 程 中 相 关 内 核 重 要 结 构 1   : k d > d t _ K A P C n t ! _ K A P C +   0   x   0 0 0   T y p e   : U C h a r   / / 对 象 类 型 +   0   x   0 0 1   S p a r e B y t e   0   : U C h a r   / / 结 构 体 对 齐   - - 说 明 T y p e 是 u s h o r t +   0   x   0 0 2   S i z e   : U C h a r   / / 内 核 对 象 结 构 体 大 小 ( 对 齐 大 小 ) +   0   x   0 0 3   S p a r e B y t e   1   : U C h a r   / / 结 构 体 对 齐 +   0   x   0 0 4   S p a r e L o n g   0   : U i n t   4   B +   0   x   0 0 8   T h r e a d   : P t r   6 4   _ K T H R E A D / / A P C 所 属 的 线 程 +   0   x   0 1 0   A p c L i s t E n t r y   : _ L I S T _ E N T R Y   / / A P C 挂 载 链 表 +   0   x   0 2 0   K e r n e l R o u t i n e   : P t r   6 4   v o i d   / / 后 续 补 充 +   0   x   0 2 8   R u n d o w n R o u t i n e   : P t r   6 4   v o i d +   0   x   0 3 0   N o r m a l R o u t i n e   : P t r   6 4   v o i d +   0   x   0 3 8   N o r m a l C o n t e x t   : P t r   6 4   V o i d +   0   x   0 4 0   S y s t e m A r g u m e n t   1   : P t r   6 4   V o i d +   0   x   0 4 8   S y s t e m A r g u m e n t   2   : P t r   6 4   V o i d +   0   x   0 5 0   A p c S t a t e I n d e x   : C h a r   / / 指 向 激 活 的 A P C +   0   x   0 5 1   A p c M o d e   : C h a r / / 相 当 于 K e r n e l M o d e +   0   x   0 5 2   I n s e r t e d   : U C h a r / / 标 志 A P C 是 否 插 入 链 表
先 解 释 一 下 ： 什 么 是 激 活 的 A P C ？ 二 、 二 、 A P C 的 类 别 区 分 的 类 别 区 分 由 于 这 篇 不 设 计 用 户 A P C ， 所 以 不 概 述 用 户 A P C 的 特 征 ! 1   : k d > d t _ K T H R E A D n t ! _ K T H R E A D +   0   x   0 5 0   A p c S t a t e   : _ K A P C _ S T A T E   / / 激 活 的 A P C +   0   x   0 8 8   A p c Q u e u e L o c k   : U i n t   8   B   / / A P C 队 列 锁 +   0   x   1 0 0   A p c Q u e u e a b l e   : P o s   5   ,   1   B i t   / / 是 否 开 启 A P C 队 列 +   0   x   1   c   4   K e r n e l A p c D i s a b l e : I n t   2   B   / / 禁 用 内 核 A P C +   0   x   1   c   6   S p e c i a l A p c D i s a b l e : I n t   2   B   / / 禁 用 特 殊 A P C +   0   x   1   f   0   A p c S t a t e I n d e x   : U C h a r / / 指 向 激 活 的 A P C +   0   x   2 3 0   A p c S t a t e P o i n t e r   : [   2   ] P t r   6 4   _ K A P C _ S T A T E   / / A P C 数 组 指 针 +   0   x   2 4 0   S a v e d A p c S t a t e   : _ K A P C _ S T A T E   / / 备 份 A P C 所 用 1   : k d > d t _ K A P C _ S T A T E n t ! _ K A P C _ S T A T E +   0   x   0 0 0   A p c L i s t H e a d   : [   2   ] _ L I S T _ E N T R Y / /   0   表 示 内 核   1   表 示 用 户 +   0   x   0 2 0   P r o c e s s   : P t r   6 4   _ K P R O C E S S / / 当 前 进 程 +   0   x   0 2 8   K e r n e l A p c I n P r o g r e s s : U C h a r / / 内 核 A P C 正 在 处 理 +   0   x   0 2 9   K e r n e l A p c P e n d i n g : U C h a r   / / 有 挂 起 的 内 核 A P C +   0   x   0 2   a U s e r A p c P e n d i n g   : U C h a r / / 有 挂 起 的 内 核 A P C 激 活 的 A P C 是 指 当 前 可 以 被 交 付 的 A P C 。 首 先 A P C 是 属 于 线 程 的 ， 线 程 又 属 于 进 程 ， 但 是 线 程 所 属 的 这 个 进 程 不 一 定 亲 生 的 ， 比 如 挂 靠 到 另 一 个 进 程 中 去 。 如 果 当 一 个 线 程 挂 靠 到 另 一 个 进 程 中 去 ， 那 么 此 时 线 程 一 般 都 不 会 交 付 原 来 进 程 环 境 中 的 A P C ， 那 么 就 要 让 这 个 A P C 进 行 备 份 一 下 。 所 以 ， 在 线 程 挂 靠 到 另 一 个 进 程 中 时 ， 它 首 先 会 将 当 前 +   0   x   0 5 0   A p c S t a t e 保 存 到 +   0   x   2 4 0 S a v e d A p c S t a t e 字 段 中 ， 同 时 A p c S t a t e P o i n t e r [ _ K A P C . A p c S t a t e I n d e x ] 指 向 的 就 是 S a v e d A p c S t a t e 。 K T H R E A D . A p c S t a t e I n d e x 指 向 的 A p c S t a t e 。 谨 记 ： A p c S t a t e 总 是 被 激 活 的 那 一 个 ， 也 就 是 被 执 行 的 那 一 个 。 可 能 比 较 绕 ， 简 而 言 之 K A P C 中 的 A p c S t a t e I n d e x 代 表 的 是 它 所 处 的 环 境 ( 或 者 它 想 要 的 环 境 ) ， 而 K T H R E A D 中 的 A p c S t a t e I n d e x 指 向 的 当 前 线 程 的 环 境 。
普 通 内 核 A P C ： 特 殊 内 核 A P C ： 三 、 与 三 、 与 A P C 相 关 的 函 数 剖 析 相 关 的 函 数 剖 析 K e I n i t i a l i z e A p c ： 初 始 化 内 核 A P C 这 里 剖 析 一 下 E n v i r o n m e n t ： 其 实 O r i g i n a l A p c E n v i r o n m e n t 代 表 的 是 ， 你 想 往 当 前 线 程 插 入 ， 什 么 意 思 呢 ？ N o r m a l R o u t i n e ! =   0   & & A p c M o d e = =   0 N o r m a l R o u t i n e = =   0   & & A p c M o d e = =   0   & & N o r m a l C o n t e x t = =   0   ( 三 无 ) V O I D K e I n i t i a l i z e A p c ( I N P R K A P C A p c ,   / / 得 自 己 分 配 拟 空 间 I N P R K T H R E A D T h r e a d , / / 指 明 线 程 I N K A P C _ E N V I R O N M E N T E n v i r o n m e n t , / / 指 明 K A P C . A p c S t a t e I n d e x I N P K K E R N E L _ R O U T I N E K e r n e l R o u t i n e , I N P K R U N D O W N _ R O U T I N E R u n d o w n R o u t i n e O P T I O N A L , I N P K N O R M A L _ R O U T I N E N o r m a l R o u t i n e O P T I O N A L , I N K P R O C E S S O R _ M O D E A p c M o d e O P T I O N A L , I N P V O I D N o r m a l C o n t e x t O P T I O N A L ) t y p e d e f e n u m _ K A P C _ E N V I R O N M E N T { O r i g i n a l A p c E n v i r o n m e n t , A t t a c h e d A p c E n v i r o n m e n t , C u r r e n t A p c E n v i r o n m e n t , I n s e r t A p c E n v i r o n m e n t } K A P C _ E N V I R O N M E N T ;
以 K i I n s e r t Q u e u e A p c 函 数 为 分 界 线 ， 上 半 部 分 其 实 就 只 做 了 两 件 事 ： 没 有 开 启 A P C 队 列 后 ， 那 么 它 怎 么 结 束 自 己 呢 ？ 或 者 说 是 没 有 办 法 通 过 A P C 结 束 掉 自 己 。 其 实 就 是 “ 嫁 鸡 随 鸡 ， 嫁 狗 随 狗 ” ， 不 管 是 当 前 线 程 是 挂 靠 了 还 是 没 挂 靠 ， 我 都 只 认 现 在 。 而 A t t a c h e d A p c E n v i r o n m e n t 代 表 的 是 往 挂 靠 的 线 程 插 入 ， 它 的 意 思 就 是 我 不 管 你 挂 靠 了 还 没 挂 靠 ， 我 都 认 为 是 你 挂 靠 了 !   - - 这 种 就 承 担 了 一 种 风 险 ， 如 果 它 没 有 挂 靠 ， 那 么 再 也 执 行 不 了 ！ 而 C u r r e n t A p c E n v i r o n m e n t 和 I n s e r t A p c E n v i r o n m e n t ， 它 们 俩 更 像 是 代 表 了 当 前 代 码 所 处 的 阶 段 。 比 如 C u r r e n t A p c E n v i r o n m e n t 代 表 的 就 是 正 在 执 行 K e I n i t i a l i z e A p c 函 数 。 而 I n s e r t A p c E n v i r o n m e n t 代 表 是 正 在 执 行 K i I n s e r t Q u e u e A p c ( 是 K i 不 是 K e ) 。 前 两 种 像 是 天 生 的 ， 后 两 种 就 是 后 生 的 ( 延 迟 ) . . . 一 件 是 ， 提 升 I R Q L ， 只 让 时 钟 中 断 和 I P I （ 核 间 中 断 ） 打 断 它 。 另 一 件 ， 判 断 所 属 的 线 程 是 否 开 启 了 A P C 队 列 。 - - -   这 里 引 出 一 个 问 题 ， 如 果 一 个 线 程
众 人 都 知 K i D e l i v e r A p c 派 发 A P C ， 殊 不 知 我 在 K i I n s e r t Q u e u e A p c 中 已 经 开 始 偷 偷 筹 划 。 接 下 来 就 探 一 探 接 下 来 就 探 一 探 K i I n s e r t Q u e u e A p c 。 。 K i I n s e r t Q u e u e A p c ： 实 际 插 入 ： 实 际 插 入 A P C 的 函 数 的 函 数 V O I D F A S T C A L L K i I n s e r t Q u e u e A p c ( I N P K A P C I n A p c , I N K P R I O R I T Y I n c r e m e n t   )
此 时 我 们 要 考 虑 两 个 问 题 ： 此 时 我 们 要 考 虑 两 个 问 题 ： 第 一 个 问 题 ： 第 一 个 问 题 ：
我 举 一 个 例 子 ： 我 举 一 个 例 子 ： K e E n t e r G u a r d e d R e g i o n T h r e a d 函 数 内 部 会 对 这 个 标 志 进 行 修 改 。 函 数 内 部 会 对 这 个 标 志 进 行 修 改 。 这 就 解 释 了 M S D N 上 所 描 述 A P C 关 于 互 斥 体 的 那 段 。 可 见 S p e c i a l A p c D i s a b l e 体 现 的 也 是 临 界 区 的 用 途 。 第 二 个 问 题 ： 第 二 个 问 题 ： K i D e l i v e r A p c ： 派 发 ： 派 发 A P C S p e c i a l A p c D i s a b l e 为 什 么 会 等 于 F A L S E ？ 其 实 纵 观 之 前 代 码 ， 我 们 发 现 没 有 一 处 修 改 这 里 ， 这 说 明 这 个 变 量 有 可 能 是 别 人 禁 用 A P C 的 标 志 。 K i U n w a i t T h r e a d 只 会 将 线 程 从 等 待 网 上 摘 下 来 ， 并 不 能 立 马 变 为 就 绪 线 程 ， 而 是 延 迟 就 绪 线 程 ， 所 以 并 不 能 去 派 发 A P C ， 那 么 如 何 去 派 发 呢 ？ 这 时 就 要 说 出 K i E x i t D i s p a t c h e r ( L o c k H a n d l e . O l d I r q l ) 的 作 用 了 ， 它 第 一 个 功 能 是 降 低 I R Q L 到 之 前 的 等 级 ， 其 次 万 一 K i I n s e r t Q u e u e A p c 内 核 唤 醒 的 是 等 待 线 程 （ 术 语 ： 延 迟 就 绪 线 程 ） ， 还 会 为 这 个 延 迟 就 绪 的 线 程 选 择 合 适 的 处 理 器 ， 从 而 去 派 发 。 谨 记 ： 此 处 的 派 发 时 通 过 S w a p C o n t e x t ， 切 换 线 程 时 候 的 才 会 有 执 行 K i D e l i v e r A p c 的 时 机 。 V O I D K i D e l i v e r A p c ( I N K P R O C E S S O R _ M O D E P r e v i o u s M o d e , I N P K E X C E P T I O N _ F R A M E E x c e p t i o n F r a m e , I N P K T R A P _ F R A M E T r a p F r a m e )
这 里 是 普 通 内 核 这 里 是 普 通 内 核 A P C 和 特 殊 内 核 和 特 殊 内 核 A P C 的 一 些 区 别 吧 ： 的 一 些 区 别 吧 ： 1 .   特 殊 内 核 A P C 和 普 通 内 核 A P C 的 K e r n e l R o u t i n e 是 执 行 在 A P C _ L E V E L 等 级 ， 也 就 是   操 作 系 统 给 A P C _ L E V E L 的 接 口 。
2 .   普 通 内 核 A P C 的 N o r m a l R o u t i n e 是 执 行 在 P A S S I V E _ L E V E L ， 这 是 操 作 系 统 给 用 于 的   P A S S I V E _ L E V E L 接 口 ， 并 且 在 K e r n e l R o u t i n e 中 可 以 控 制 N o r m a l R o u t i n e 。         但 是 这 里 降 低 I R Q L 会 引 入 一 个 新 的 问 题 ， 那 么 就 是 重 入 问 题 ： 也 就 是 说 可 能 有 多 个 线   程 执 行 到 这 里 。 会 造 成 意 想 不 到 的 问 题 。 所 以 操 作 系 统 在 降 低 I R Q L 之 前 加 了 一 句 。         T h r e a d - > A p c S t a t e . K e r n e l A p c I n P r o g r e s s = T R U E ;   这 就 与 前 面 的 i f 判 断 条 件 想 呼 应 ， 同 时   K e r n e l A p c I n P r o g r e s s 是 每 个 线 程 都 具 备 的 ， 所 以 就 替 你 解 决 了 重 入 问 题 。 在 在 w i n   7   之 后 加 入 了 之 后 加 入 了 G a t e W a i t 机 制 ： 机 制 ：   简 单 的 叙 述 一 下 G a t e W a i t 机 制 ， G a t e W a i t 和 W a i t 都 是 等 待 它 们 的 区 别 是 什 么 呢 ？   文 末 福 利 ： 文 末 福 利 ： 除 了 上 面 的 干 货 之 外 ， 我 们 还 为 大 家 准 备 了 一 些 渗 透 小 技 巧 ， 扫 码 关 注 ， 发 送 资 源 资 源 即 可 领 取 ！ 其 实 G a t e W a i t 是 比 W a i t 更 加 细 化 的 等 待 。 W a i t 模 式 可 以 将 堆 栈 或 者 所 属 的 进 程 被 换 到 内 存 外 去 ， 但 是 G a t e W a i t 就 不 可 以 ， 而 且 G a t e W a i t 一 般 是 以 循 环 的 方 式 消 耗 ， 这 一 点 可 以 看 出 ， G a t e W a i t 就 是 偏 向 于 短 时 间 的 等 待 。
欢 迎 扫 码 关 注
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理