内核与系统中的 Windows 进程

Question

我有几个与内核态和用户态的 Windows 进程相关的问题。

如果我有一个 hello world 应用程序和一个暴露新系统调用 foo() 的 hello world 驱动程序，我很好奇在内核模式下我能做什么和不能做什么。

对于初学者来说，当我编写新的 hello world 应用程序时，我得到了一个新进程，这意味着我有自己的用户模式 ​​VM 空间(让我们保持简单，32 位窗口)。所以我有 2GB 的空间，我“拥有”，我可以戳和偷看，直到我心满意足。但是，我受制于我的过程。我不能(还不能将共享内存引入其中)触及任何其他人的内存。

如果我编写这个 hello world 驱动程序，并从我的用户应用程序调用它，我(驱动程序代码)现在处于内核模式。

首先澄清/问题:我仍然在与用户模式应用程序相同的进程中，对吗？仍然有相同的 PID？

内存问题:内存作为 VM 提供给我的进程，即使我有 1GB 的 RAM，我仍然可以访问 4GB 的内存(2GB 用户/2GB 内核 - 不关心服务器上开关的细节或细节，这里只是一个一般假设).作为用户进程，我无法查看任何内核模式内存地址，但我可以对用户空间做任何我想做的事情，对吗？

如果我从驱动程序代码调用我的 hello world 驱动程序，我是否仍然拥有相同的用户模式内存 View ？但是现在我也可以在内核模式下访问任何内存？

这个内核模式内存是共享的吗(不像用户模式，它是我自己的进程副本)？也就是说，编写驱动程序更像是为作为操作系统的单个进程编写线程应用程序(抛开调度？)

下一个问题。作为司机，我可以改变我正在运行的流程吗？比方说，我知道另一个应用程序(比如说，一个用户模式网络服务器)，并为该进程加载 VM，更改它的指令指针、堆栈，或者甚至将不同的代码加载到该进程中，然后切换回我自己的应用程序？ (我不想在这里做任何邪恶的事情，我只是好奇它真正在内核模式下意味着什么)？

此外，一旦进入内核模式，我可以防止操作系统抢占我吗？我认为(在 Windows 中)您可以设置 IRQL 级别来执行此操作，但我并不完全理解这一点，即使在阅读了 Solomons 的书(Inside Windows...)之后也是如此。我会问另一个与 IRQL/DPC 直接相关的问题，但现在，我很想知道内核驱动程序是否有能力将 IRQL 设置为高并接管系统。

还有更多内容，但这些问题的答案会有所帮助。

Answer 1

每个进程都有一个“上下文”，其中包含特定于该进程的 VM 映射(在 32 位模式下通常小于 2 GB)。当在用户模式下执行的线程进入内核模式时(例如，从系统调用或 IO 请求)，同一个线程仍在进程中执行，具有相同的上下文。 PsGetCurrentProcessId此时将返回与 GetCurrentProcessID 相同的内容就在用户模式之前(与线程 ID 相同)。

上下文附带的用户内存映射在进入内核模式时仍然存在:您可以直接从内核模式访问用户内存。为了安全起见，需要做一些特殊的事情:Using Neither Buffered Nor Direct I/O .特别是，用户空间范围内的无效地址访问尝试将引发需要捕获的 SEH 异常，并且由于该进程中另一个线程的操作，用户内存的内容可能随时更改。访问内核地址范围内的无效地址会导致错误检查。在用户模式下执行的线程不能访问任何内核内存。

内核地址空间不是进程上下文的一部分，因此在所有进程之间映射相同。然而，任意数量的线程在任何时候都可能在内核模式下处于事件状态，因此它不像单线程应用程序。通常，线程在进入内核模式时为它们自己的系统调用服务(而不是让专门的内核工作线程来处理所有请求)。

保存线程和进程状态的底层结构在内核模式下都是可用的。映射另一个进程的 VM 最好从另一个进程提前完成，方法是从该进程创建 MDL 并将其映射到系统地址空间。如果你只是想改变另一个线程的上下文，这完全可以从 user mode 完成。 .请注意，必须挂起线程才能在没有竞争条件的情况下更改其上下文。从内核模式将模块加载到进程中是不明智的；所有加载程序 API 都设计为仅在用户模式下使用。

每个 CPU 当前都有一个 IRQL它正在运行。它决定了哪些事情可以中断 CPU 当前正在做的事情。只有来自更高 IRQL 的事件才能抢占 CPU 的当前事件。

• PASSIVE_LEVEL 是所有用户代码和大多数内核代码执行的地方。许多内核 API 要求 IRQL 为 PASSIVE_LEVEL
• APC_LEVEL 用于内核 APC
• DISPATCH_LEVEL 用于调度程序事件(在 NT 术语中称为调度程序)。在此级别运行将防止您被调度程序抢占。请注意，在此级别出现任何类型的页面错误都是不安全的；内存管理器试图检索页面时可能会出现死锁。如果内核在 DISPATCH_LEVEL 或更高级别出现页面错误，它将立即进行错误检查。这意味着您无法安全地访问分页池、分页代码段或任何未锁定(即通过 MDL)的用户内存。
• 在此之上是连接到硬件设备中断级别的级别，称为 DIRQL。
• 最高级别是HIGH_LEVEL。没有什么可以抢占这个级别。内核在错误检查期间使用它来停止系统。

我推荐阅读 Scheduling, Thread Context, and IRQL