深入解析Windows操作系统

　　《深入解析：Windows操作系统》（第4版）是著名的操作系统内核专家MarkRussinovich和DavidSolomon撰写的Windows操作系统原理的最新版著作，全面和深入地阐述了Windows操作系统的整体结构以及内部工作细节。本书针对WindowsServer2003、WindowsXP和Windows2000做了全面更新，通过许多练习实验让你直接感受到Windows的内部行为。另外，本书还介绍了一些高级诊断技术，以便使你的系统运行得更加平稳和高效。无论你是开发人员还是系统管理员，你都可以在本书中找到一些关键的、有关体系结构方面的知识，通过这些知识你可以更好地做系统设计、调试，以及性能优化。

《深入解析：Windows操作系统》（第4版）全书内容丰富、信息全面，主要包括的Windows操作系统深度知识有：理解Windows的关键机制，包括系统服务分发和调度机制、启动和停机，以及注册表；挖掘Windows的安全模型，包括访问控制、特权和审计；利用内核调试器和其他的工具来检查内部系统结构；检查与进程、线程和作业相关的数据结构和算法；观察Windows如何管理虚拟内存和物理内存；理解NTFS的操作和格式，诊断文件系统访问问题；从上往下查看Windows的网络栈，包括映射、API、名称解析和协议驱动程序；诊断引导问题，执行崩溃分析。

《深入解析：Windows操作系统》（第4版）适合广大Windows平台开发人员、IT专业从业人员等参考使用。

　　潘爱民，浙江海宁人，获得了南开大学数学学士学位，清华大学工学硕士学位，以及北京大学计算机科学博士学位。他从中学时代开始接触计算机编程，经历了从DOS到Windows各种版本的发展历程。潘爱民曾经长期从事软件技术的研究和开发工作，撰写了大量软件技术文章，1999年曾经是《微电脑世界》杂志社的合作专家。他著写了《COM原理与应用》（1999年出版），翻译了多部经典名作，如《VisualC++技术内幕》（第四、六版）、《C++Primer中文版》（第三版）、《COM本质论》、《计算机网络》（第四版）等。从2001年开始，潘爱民在北京大学计算机科学技术系承担研究生课程教学，共讲授了三门课程：《组件技术》、《网络与信息安全》和《程序开发环境分析与实践》，深受学生欢迎。2006年秋季在清华大学软件科学实验班讲授《程序设计与算法基础》课程。潘爱民获得了2001年微软亚洲研究院“微软学者”称号，2002年度北京大学优秀教学奖。他现在微软亚洲研究院从事系统与安全方向的研究工作。

第1章概念和工具1
1.1Windows操作系统的版本1
1.2基础概念和术语3
WindowsAPI3
服务、函数和例程5
进程、线程和作业6
虚拟内存14
内核模式和用户模式16
终端服务及多个会话21
对象和句柄22
安全性23
注册表24
Unicode25
1.3挖掘Windows内部机理25
性能工具27
Windows支持工具箱27
Windows资源工具箱27
内核调试28
PlatformSDK33
DDK（设备驱动程序开发工具）34
Sysinternals工具34
1.4本章总结34
第2章系统结构35
2.1需求和设计目标35
2.2操作系统模型36
2.3总体结构37
可移植性40
对称多处理41
可伸缩性46
客户和服务器版本之间的差异47
检查版本49
2.4关键的系统组件51
环境子系统和子系统DLL53
硬件抽象层（HAL）67
设备驱动程序69
系统进程75
2.5本章总结84
第3章系统机制85
3.1陷阱分发85
中断分发87
异常分发109
系统服务分发119
3.2对象管理器124
执行体对象126
对象结构128
3.3同步149
高IRQL的同步151
低IRQL的同步155
3.4系统辅助线程166
3.5Windows全局标志168
3.6本地过程调用（LPC）171
3.7内核事件追踪175
3.8Wow64178
Wow64进程地址空间布局结构179
系统调用179
异常分发179
用户回调179
文件系统重定向180
注册表的重定向和反射180
I/O控制请求181
16位安装器应用程序182
打印182
一些限制182
3.9本章总结182
第4章管理机制183
4.1注册表183
查看和修改注册表183
注册表用法184
注册表数据类型185
注册表逻辑结构186
注册表问题的诊断192
注册表的内部机理197
4.2服务211
服务应用212
服务账户217
服务控制管理器223
服务启动225
启动错误229
接受当前引导和“最后已知的好控制集”230
服务失败231
服务停机232
共享的服务进程233
服务控制程序236
4.3Windows管理规范237
WMI体系结构237
提供者239
公共信息模型（CIM）和可管理对象的格式语言240
WMI名字空间243
类关联244
WMI实现247
WMI安全性248
4.4本章总结249
第5章启动和停机251
5.1引导过程251
x86和x64引导准备251
x86/x64引导扇区和Ntldr255
IA64引导过程264
初始化内核和执行体子系统266
Smss、Csrss和Winlogon269
自动启动的映像文件273
5.2引导和启动问题的故障检查274
最后已知的好配置274
安全模式274
安全模式下的驱动程序加载275
恢复控制台（RecoveryConsole）279
解决常见的引导问题281
5.3停机286
5.4本章总结288
第6章进程、线程和作业289
6.1进程的内部机理289
数据结构289
内核变量297
性能计数器297
有关的函数298
6.2CreateProcess的流程300
阶段1：打开将要被执行的映像302
阶段2：创建Windows执行体进程对象304
阶段3：创建初始线程，以及它的栈和执行环境308
阶段4：将新进程通知Windows子系统309
阶段5：启动初始线程的执行310
阶段6：在新进程环境下执行进程初始化310
6.3线程的内部机理313
数据结构313
内核变量320
性能计数器321
有关的函数322
一个线程的产生322
6.4检查线程活动323
6.5线程调度325
Windows调度的概述326
优先级别327
Windows调度API330
有关的工具331
实时优先级333
线程状态334
分发器数据库338
时限340
调度情形345
环境切换347
空闲（Idle）线程348
优先级提升348
多处理器系统357
多处理器的线程调度算法366
6.6作业对象369
6.7本章总结374
第7章内存管理375
7.1内存管理器简介375
内存管理器组件376
内部同步377
配置内存管理器378
检查内存的使用情况378
7.2内存管理器提供的服务382
大页面和小页面382
保留的和提交的页面384
锁住内存385
分配粒度385
共享内存和映射文件386
保护内存388
“不可执行”页面保护390
写时复制392
堆管理器394
地址窗口扩展399
7.3系统内存池401
配置内存池的大小401
监视内存池的使用404
预读列表（Look-AsideList）408
驱动程序检验器（DriverVerifier）409
7.4虚拟地址空间的布局结构413
x86用户地址空间的布局结构415
x86系统地址空间的布局结构417
x86会话空间418
系统页表项（PTE，PageTableEntry）421
64位地址空间布局结构422
7.5地址转译425
x86虚拟地址转译425
地址转译快查缓冲区434
物理地址扩展（PAE）435
IA-64虚拟地址转译437
x64虚拟地址转译438
7.6页面错误处理439
无效PTE440
原型PTE441
页面换入I/O443
冲突的页面错误444
页面文件444
7.7虚拟地址描述符448
7.8内存区对象450
7.9工作集457
按需换页458
7.10逻辑预取器458
放置策略462
工作集管理463
平衡集管理器和交换器466
系统工作集467
7.11页面帧编号数据库469
页面列表的动态变化472
已修改页面写出器475
PFN数据结构476
低内存通知和高内存通知479
7.12本章总结483
第8章安全性485
8.1安全系统组件488
8.2保护对象492
访问检查493
安全描述符和访问控制506
8.3账户权限和特权516
账户权限517
特权518
超级特权523
8.4安全审计524
8.5登录（Logon）526
Winlogon初始化528
用户登录步骤529
8.6软件限制策略533
8.7本章总结535
第9章I/O系统537
9.1I/O系统组件537
I/O管理器539
典型的I/O处理过程540
9.2设备驱动程序541
设备驱动程序的类型541
驱动程序的结构548
驱动程序对象和设备对象550
打开设备555
9.3I/O处理561
I/O类型561
映射文件I/O和文件缓存564
I/O请求包564
针对单层驱动程序的I/O请求569
针对分层的驱动程序的I/O请求577
I/O完成端口585
驱动程序检验器（DriverVerifier）589
9.4即插即用（PnP）管理器590
即插即用支持的级别591
驱动程序对于即插即用的支持592
驱动程序加载、初始化和安装594
驱动程序安装603
9.5电源管理器607
电源管理器的操作609
驱动程序的电源操作610
驱动程序对于设备电源的控制613
9.6本章总结613
第10章存储管理615
10.1有关存储的术语615
10.2磁盘驱动程序616
Ntldr616
磁盘类、端口和小端口驱动程序617
磁盘设备对象620
分区管理器622
10.3卷的管理622
基本磁盘624
动态磁盘626
多分区卷的管理632
卷名字空间638
卷的I/O操作646
虚拟磁盘服务648
卷影像（shadow）拷贝服务649
10.4本章总结654
第11章缓存管理器655
11.1缓存管理器的关键特性655
单个中心化的系统缓存656
内存管理器656
缓存一致性656
虚拟块缓存658
流式缓存机制658
对可恢复文件系统的支持658
11.2缓存的虚拟内存管理660
11.3缓存的大小662
LargeSystemCache662
缓存的虚拟大小663
缓存的工作集大小665
缓存的物理大小667
11.4缓存的数据结构668
系统范围的缓存数据结构669
针对每个文件的缓存数据结构670
11.5文件系统接口674
从缓存中来回拷贝数据676
通过映射和锁定接口进行缓存677
通过直接内存访问接口进行缓存678
11.6快速I/O679
11.7预读（ReadAhead）和滞后写（WriteBehind）682
智能预读682
回写缓存（Write-BackCaching）和延迟写（LazyWriting）683
写节流（WriteThrottling）686
系统线程687
11.8本章总结688
第12章文件系统689
12.1Windows文件系统格式690
CDFS690
UDF691
FAT12、FAT16和FAT32691
NTFS694
12.2文件系统驱动程序总体结构694
本地FSD695
远程FSD696
文件系统操作700
文件系统过滤型驱动程序705
12.3诊断文件系统的问题711
Filemon的基本和高级模式711
Filemon诊断技巧712
12.4NTFS设计目标和特性717
高端（High-End）文件系统的需求717
NTFS的高级特性719
12.5NTFS文件系统驱动程序729
12.6NTFS在磁盘上的结构732
卷（volume）732
簇（cluster）732
主文件表（MFT）733
文件引用号739
文件纪录740
文件名742
驻留的和非驻留的属性744
数据压缩和稀疏文件747
变化日志文件752
索引753
对象ID754
配额跟踪755
统一的安全性756
重解析点758
12.7NTFS的恢复支持758
文件系统设计的演变759
日志记录761
恢复767
NTFS的坏簇恢复771
12.8加密文件系统（EFS）安全性775
第一次加密一个文件778
解密过程783
加密文件的备份784
12.9本章总结785
第13章网络787
13.1Windows的网络总体结构787
OSI参考模型787
Windows网络组件789
13.2网络API791
Windows套接字（WindowsSockets）791
远过程调用798
Web访问API803
命名管道和邮件槽804
NetBIOS811
NetBIOS的操作812
其他的网络API813
13.3多重定向器支持815
多提供者转发器816
多UNC提供者818
13.4名称解析820
域名系统820
WindowsInternet名称服务820
13.5协议驱动程序821
TCP/IP的扩展824
13.6NDIS驱动程序828
NDIS小端口的变化形式832
面向连接的NDIS832
外接NDIS（RemoteNDIS）835
QOS836
13.7绑定838
13.8分层的网络服务839
远程访问（RemoteAccess）839
活动目录840
网络负载平衡841
文件复制服务843
分布式文件系统843
13.9本章总结844
第14章崩溃转储分析845
14.1Windows为什么会崩溃845
14.2蓝屏846
14.3崩溃转储文件849
崩溃转储的生成852
14.4Windows错误报告853
14.5在线崩溃分析854
14.6基本的崩溃转储分析855
Notmyfault855
基本的崩溃转储分析856
详细的分析858
14.7使用崩溃诊断工具860
缓冲区溢出和特殊内存池861
代码改写和系统代码写保护863
14.8高级的崩溃转储分析864
栈破坏865
挂起的系统或无响应的系统866
当没有崩溃转储时869
术语表871
术语对照表895
索引901