实验一观察进程线程的相关数据结构

实验一
观察进程线程的相关数据结构
（实验指导）
广州中医药大学
操作系统课程组
目录：
一、二、三、四、五、六、观察执行体进程块(EPROCESS) (3)
观察内核进程块(KPROCESS) (4)
观察系统中的正在运行的进程 (5)
观察进程的相关信息 (7)
观察线程的相关信息 (9)
观察某个未知的对象 (10)
Windows NT 的内核模式组件体现了基本的面向对象设计原则。

例如，它们通常并不会直接进入另一个组件的数据结构来访问该组件所维护的信息。

相反，它们利用正式的接口来传递参数，以及访问或修改相应的数据结构。

虽然Windows 内部普遍地使用了对象来表达共享的系统资源，但是，从严格意义上讲，Windows 并不是一个面向对象的系统。

为了移植性的考虑，Windows 操作系统的大多数代码是用 C 语言编写的，只有那些需要直接与系统硬件进行通信的部分（比如中断陷阱处理器——Interrupt trap handler），或者对性能极端敏感的操作系统部分（比如环境切换——Context switching），才是用汇编语言编写的。

不过C 语言并不直接支持面向对象的概念，比如数据类型的动态绑定、多态函数或者类继承等。

因此，Windows 中C 语言版本的对象实现只是借用了（但并不依赖于）特定面向对象语言的特性。

Windows NT 是基于对象的操作系统，它将进程和线程也作为对象来管理。

下面我们就通过WinDbg 来观察进程、线程的一些相关数据结构。

一、观察执行体进程块(EPROCESS)
Windows 进程线程的相关数据结构如下图所示：
每个Windows 进程都有一个执行体进程块(EPROCESS)，它位于系统空间中，记录着与进
程相关的很多信息。

实验步骤：
1) 启动WinDbg 到内核调试模式。

(参见“WinDbg 简介/启动kernel mode 调试”)。

2) 在调试器命令窗口(Debugger Command window)底行命令输入行(以“kd>”为前缀,下面
简称“底行命令行”)键入命令“dt _eprocess”或“dt _EPROCESS”（命令dt _eprocess 功
能是显示_eprocess 结构的详细信息，详细用法参见WinDbg 帮助文档），输出如下(由于EPROCESS 结构中包含的内容过多，在此仅列出一小部分)：
我们可以观察到在显示的信息中，最左边一列是十六进制数，表示EPROCESS 结构中的变量（结构体，指针等）相对与起始地址的偏移量，中间一列为EPROCESS 结构中的变量名，最右边为变量的类型。

例如：第一行中的+0x000 表示Pcb，即EPROCESS 结构的起始地址，_KPROCESS 为Pcb 的类型。

+0x094 处的UniqueProcessId 就是平时我们说的PID，它为一个32 位系统指针。

关于EPROCESS 结构的详细定义可在源文件
“..\base\ntos\inc\ps.h”中找到。

二、观察内核进程块(KPROCESS)
在查看执行体进程块(EPROCESS) 时我们看到其中的第一个变量是Pcb ，其类型为
_KPROCESS。

我们可以通过dt 命令观察_KPROCESS 中的内容。

实验步骤：
在底行命令行键入命令“ dt _kprocess ”或“dt _KPROCESS”，输出如下（未列出全部内容）：
关于KPROCESS 结构的详细定义可在源文件“..\base\ntos\inc\ke.h”中找到。

通过观察源文件我们可以看出，KPROCESS 的结构跟上图中我们利用WinDbg 观察到的结果是一致
的。

三、观察系统中的正在运行的进程
实验步骤：
1）在底行命令行键入命令“!process 0 0”，可以显示出当前系统中所有进程的基本信息。

如
下图：
进程地址进程Cid 号父进程Cid 号
进程映像名会话ID进程Peb 结构地址
Cid 在内核中是Client id 的意思，其实就是进程的Pid 号，这里Cid 号是以十六进制来表
示的。

以上图最后一个进程(Image:explorer.exe)为例，我们可以用命令“ .for mats ”将它转换为十
进制，在底行命令行键入命令“ .formats 0x0464 ”,显示结果如下：
2）在底行命令行键入命令“g”，或者点击菜单“Debug->Go”，使虚拟机恢复运行，打开虚
拟机中windows 系统任务管理器观察进程的信息，如下图：
从任务管理器中可以看到，进程(Image Name: explorer.exe)的PID 值为1124（十进制），正
好对应了从WinDbg 中看到的Cid：0464（十六进制）。

3）点击WinDbg 菜单“Debug->Brea k”使虚拟机暂停执行。

四、观察进程的相关信息
我们仍以进程(Image: explorer.exe)为例来观察。

实验步骤：
1）在底行命令行键入命令“!process 813b6770 1”(813b6770 是被观察进程的地址，不同的
机器中这一地址会不同，也可以将进程地址换为进程的PID，即“!process04641”，命令中最后的1 表示显示信息的详细程度，可以取值0—7)，显示信息如下图(未列出全部信息)：
上图中标记的是当前进程的内存使用量，可以看出和任务管理器中看到的结果一致。

3）用命令“dt _eprocess 813b6770”观察EPROCESS 结构中的详细信息，如下：
4）用命令“dt _kprocess 813b6770“进一步观察Pcb 中的内容（图略）。

可以看出此时显示的是具体数据结构的值而不是其定义(区别于命令“dt _EPROCESS”和“dt _KPROCESS”)
五、观察线程的相关信息
实验步骤：
1）键入命令“!process 0 0 ”，显示出系统中所有进程信息。

2）选取一个进程(Image: explorer.exe”，在底行命令行输入命令“!process 0464 2”(0464 为进程PID，不同的机器会有所不同)，显示信息如下：
4）随便选取其中的一个线程，这里选择了最后一个，先后键入命令“!thread 81221db 0”和“!thread 81221db0 6”（81221db0 为选取的线程地址），显示该线程的信息，可以看出显示的详细程度不同。

5）在底行命令行输入命令“ dt _ethread 81221db0 ”观察该线程ETHREAD 详细内容(图略)。

6）输入命令“dt _kthread81221db0”观察Tcb（KTHREAD）中的内容，(图略)。

六、观察某个未知的对象
如果不知道某个对象或者变量是什么，可以用“!Object address”来观察此地址的对象信息。

例如下图：
红线之上是用命令“ !process 0 0 ” 获得的一个进程信息，红线之下是用“ !object 813c5c50 ”来观察它的信息，可知它是一个进程。

当然，在使用这个命令有时候会出现如下图所示的错误，这个说明输入的地址不是一个对象(因为你输入的地址可以是任意的)。