深入研究WINDOWS内部原理笔记（1/16）
win nt架构
主要分成：
用户模式
内核模式
系统文件：
Ntoskrnl.exe:
执行体和内核
主要负责：
1.执行体功能：
进程和线程管理器
虚拟内存管理器
安全引用监视器
I/O管理
即插即用管理器
电源管理器
缓存管理器
其他一些服务组件，例如对象管理器，LPC，一些库函数和支持函数
2.内核功能
提供其他组件使用的低层操作系统原语
线程调度
中断处理
多处理器的同步
Ntkrnlpa.exe:
支持PAE（物理地址扩展）的执行体和内核（在支持大于4G内存的系统上用到）
主要负责：
Hal.dll:标准PC
Halacpi.dll:高级配置和电源接口（ACPI）PC
Halapic.dll：高级可编程中断控制器（APIC）PC
Halaacpi.dll:APIC ACPI PC
Halmps.dll:多处理器PC
Halmacpi.dll：多处理器ACPI PC
硬件抽象层
主要负责
把内核部分根底下的硬件抽象开来，把底层硬件屏蔽开来，使得NT内核可以在不同的硬件环境下保持可移植性
对硬件平台的细节进行了抽象，包括I/O接口，中断控制器
NT架构支持的硬件结构
1.Hal.dll
Win32k.sys:
Win32子系统的内核模式部分
主要负责：
1.窗口管理器
控制窗口显示
管理屏幕输出
收集来自键盘，鼠标和其他设备的输入
把用户消息传递给应用程序
2.图形设备接口GDI
一个针对图形输入设备的函数库，包括画线，文本和各种图形的函数，以及一些用于控制图形操作的函数
Ntdll.dll
内部支持函数和执行体函数的存根函数
（中间层）
主要负责
将用户模式的请求转译成内核模式的服务
在该层，处理器进行环境切换
（context switch）(sysenter/sysexit)
Kernel32,Advapi32,User32,GDI32等DLL
核心的Win32子系统DLL
windows子系统：
1.环境子系统（csrss.exe）:
设计之初是为了兼容运行其他系统例如OS/2 POSIX等系统的程序，但后来由于windows3.0的成功使得windows更专注于对win子系统的支持，使得其兼容支持减弱。
职责:
控制台窗口
创建或删除进程或线程
对16为虚拟DOS机的支持
其他一些支持
2.内核模式驱动程序Win32k.sys
职责：
窗口管理器
图形设备接口GDI
3.子系统DLL
Kernel32.dll, Advapi32.dll, User32.dll和Gdi32.dll等
4.图形设备驱动程序
硬件相关的图形显示器驱动程序，打印机驱动程序和视频微端口驱动程序
系统进程和系统线程
会话管理器（Smss.exe）
登陆管理器WinLogon(Winlogon.exe)
服务控制管理器（Services.exe）
本地安全策略（LSASS.exe）,管理活动目录，SAM服务器，事件记录器，LSA服务器
本笔记绝大多数内容出自technet网络广播之深入研究windows内部原理课程。