注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

BCB-DG's Blog

...

 
 
 

日志

 
 

WINDOWS 启动和关机流程  

2011-02-22 08:13:30|  分类: Setup |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |
//轉
WINDOWS的启动流程  

第一:NTLDR的作用过程   

1.首先机器POST----BIOS----MBR----BOOT SECTOR----os的引导程序 WINDOWS的引导程序是NTLDR注意这个文件其实是个可执行文件,这里机器主要做的工作是:CPU从16的实模式到32的保护模式,启用CPU的页 机制,如果磁盘是SCSI,则加载Ntbootdd.sys来访问磁盘,否则用INT13来访问。这里假如机器没找到Ntldr这个文件,在FAT文件系 统下,机器显示"BOOT: Couldn't find NTLDRP",而在NTFS下显示"NTLDR is missing"(这个没有具体实验过,是书上这么说的)

2.NTLDR装载后就先CLS屏幕,首先检查根目录下有没有合法的Hiberfil.sys,这个文件的作用是机器休眠的时候把内存中的所有信息保存到 hiberfil.sys这个文件中,这个文件的大小始终和系统的物理内存大小一致。如果希望回收这个空间,请打开“控制面板”下的“电源管理”,选择 “休眠”选项卡,去掉“启用休眠”这一复选项的选中标记,系统会自动消除hiberfil.sys文件。如果有就快速启动到上次机器休眠的状态。

3.接着处理Boot.ini,如果有多个的启动项,那就显示启动菜单(如果只有一个默认的项,那就是我们立即就可以看到WINDOWS的启动状态条 了)  处理BOOT.ini WINDOWS自带的一个工具Bootcfg.exe,可以用这个工具修改,当然也可以自己用记事本打开boot.ini来修改,boot.ini的一些 参数会保存在注册表HKLM\System\CurrentControlSet\Control\SystemStartOptions下。关于 boot.ini里面的参数大家可以去查阅资料。

4.下面就是NTLDR调用执行Ntdetect.com,作用是检测的一些基本设备和配置信息   信息包括:CMOS里的时间日期信息,总线类型,磁盘的大小,类型,数目,输入设备的信息,并口的信息,显卡的类型,这些信息收集后保存在 HKLM\HARDWARE\DESCRIPTION下面。接着就2000版本下显示“Starting Windows”进程条,而在xp,2003下是显示WINDOWS的LOGO

5.在显示进程条的过程中,机器实际上是在加载系统相应的内核和HAL文件,一般是Ntoskrnl.exe 和Hal.dll这2个文件,如果这个过程中发现找不到文件,则会显示"Windows could not start because the following file was missing or corrupt"这个信息。然后读取注册表SYSTEM HIVE(Windows\System32\Config\System),来决定需要加载的设备驱动,这些设备驱动都在 SERVICE_BOOT_START (0)里面

6.然后加载Ntoskrnl.exe,这样NTLDR的使命就结束了。

第二  Ntoskrnl.exe的作用过程这里主要分2个阶段来初始化内核,最后创建the Session Manager subsystem (Smss)进程。

第三  Smss的作用过程

1.创建LPC port对象,为MSDOS定义符号连接,例如COM1、LPT1,假如安装有Terminal Services,则创建\Sessions目录

2.运行注册表里HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute定义的程序,一般默认的是运行Autochk

3.执行HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations表键中的延迟,删除,改名操作

4.加载HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs 初始化paging files和注册表

5.创建系统环境变量,这些定义在HKLM\System\CurrentControlSet\Session Manager\Environment

6.加载和初始化WIN32子系统的内核模块Win32k.sys

7. 创建WIN32子系统服务器进程,包括Csrss, 创建Winlogon进程。   这里的2个进程其中一个出现异常,那系统都会中断

第四  Winlogon Csrss过程  

1.加载GINA模块,默认为Msgina (\Windows\System32\Msgina.dll)  

2.启动服务进程Windows\System32\Services.exe  

3.启动Lsass(the local secyrity authentication subsystem)进程  

4.Gina开始处理交互式登陆,登陆验证成功后,Gina就运行HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon\Userinit,Userinit.exe执行的顺序为:首先处理HKCU\Software \Policies\Microsoft\Windows\System\Scripts 和HKLM\Software\Policies\Microsoft\Windows\System\Scripts这里的脚本,然后处理组策略(假如 有的话,运行\Windows\System32\Proquota.exe),最后运行HKCU\Software\Microsoft \Windows NT\CurrentVersion\Winlogon\Shell里的SHELL(如果不存在就运行HKLM\Software\Microsoft \Windows NT\CurrentVersion\Winlogon\Shell里的,一般这里默认的是EXPLORER.exe),注意这里也是最容易让恶意软件利 用的地方。  

5.最后就是启动其他的启动程序,服务。

WINDOWS的关机流程:

     正常关机都是调用ExitWindowsEx这个函数,Csrss收到这个消息后,先给Winlogon所属的窗口发关机消息,等Winlogon 处理完后,Csrss然后给每个有关机级别的进程发关机消息(2种消息WM_QUERYENDSESSION/WM_ENDSESSION),这里的等待 时间在HKCU\Control Panel\Desktop\HungAppTimeout这里设置,默认是5000 milliseconds,如果在这个时间范围内有线程没处理完,那就会弹出个窗口,让用户来结束,当然也可以设置让系统自动结束,只要设置 HKCU\Control Panel\Desktop\AutoEndTasks 为 1就可以了,对于控制台应用程序,则Csrss发这个CTRL_LOGOFF_EVENT事件(服务进程是发CTRL_SHUTDOWN_ EVENT这个事件),同样的流程,有个等待时间,设置在HKCU\Control Panel\Desktop\WaitToKillAppTimeout (默认为 20,000 milliseconds),接着同样的处理系统进程,处理完后,Winlogon就调用NtShutdownSystem,这个函数在调用 NtSetSystemPowerState来处理驱动和其他的一些子系统。这样整个关机过程就完成了。
  评论这张
 
阅读(681)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017