CC BY
30Столыпинский вестник №4/2022
Научная статья Original article УДК 004.424
Столыпинский
вестник
АРХИТЕКТУРА WINDOWS NT
WINDOWS NT ARCHITECTURE
Багдасаров Даниэль Михайлович, студент бакалавр, Донской государственный технический университет, г. Ростов-на-Дону (344003 Россия г. Ростов-на-Дону, Гагарина 1), baggggdass@rambler.ru
Bagdasarov Daniel Mikhailovich, bachelor student, Don State Technical University, Rostov-on-Don (344003 Russia, Rostov-on-Don, Gagarina 1), baggggdass@rambler.ru
Аннотации: В данной статье рассматривается архитектура семейства Windows NT. Понимание требований, которые предъявлялись к операционной системе на этапе ее проектирования, поможет легче ориентироваться в особенностях ее реализации.
Annotations: This article discusses the architecture of the Windows NT family. Understanding the requirements that were imposed on the operating system at the design stage will help you navigate the features of its implementation more easily.
Ключевые слова: Windows NT, операционная система, архитектура ПК
Keywords: Windows NT, operating system, PC architecture
1924
Вытесняющая многозадачность
Раньше (до Windows NT, первая ОС линейки Windows NT была выпущена в 1993 году) ответственность за то, что программа завершится или передаст управление другой программе ложилась на плечи программистов. То есть текущая задача должна была явно объявить о своей готовности передать процессорное время другим задачам. Такой подход называется «кооперативная многозадачность». В семействе ОС Windows NT появилась вытесняющая многозадачность. Был реализован планировщик - и ОС стала сама распределять процессорное время между процессами. При этом важно отметить, что время выделяется согласно приоритетам. Кстати, приоритет процесса можно посмотреть в диспетчере задач.
Поддержка разных аппаратных архитектур. Это требование означает, что операционная система должна быть в состоянии работать на разных процессорах. Например, процессоры Intel поддерживают 4 кольца защиты, а ARM-процессоры - только 2. Поэтому в силу требования о поддержке разных аппаратных архитектур Windows NT спроектирована так, чтобы работать только с двумя кольцами защиты (кольца с номерами 0 и 3). Совместимость с «железом» решается на уровне абстракций HAL (Hardware Abstraction Layer) - низкоуровневый уровень абстракции операционной системы.
Поддержка спецификации POSIX. Изначально спецификация POSIX предназначалась для того, чтобы унифицировать программные продукты. В идеале, чтобы их можно было запускать на любых операционных системах. Начиная с Windows 7, Microsoft прекратила поддержку POSIX в ОС линейки Windows NT.
Совместимость. Это требование означает, что программы, написанные для более старых версий операционной системы, могут выполняться также на более новых версиях ОС.
1925
Архитектура Windows NT состоит из двух основных уровней: режим пользователя; режим ядра, режим пользователя
Подсистемы среды
Системные
Пользовательские
Процессы служб
DLL подсистем
Оконная система и графика
Исполнительная система
Драйверы устройств I Драйверы устройств
Слой абстракции оборудования HAL
Гипервизор Hyper-V
Рисунок 1 - Упрощенная архитектура Windows NT В режиме пользователя можно выделить следующие блоки: системные процессы; подсистемы среды; процессы служб; пользовательские процессы.
Также на схеме архитектуры Windows между режимом пользователя и режимом ядра изображена прослойка (NTDLL.DLL). NTDLL - это библиотека, которая подгружается в адресное пространство любого процесса режима пользователя и обеспечивает возможность переключения потока в режим ядра. Существуют также другие высокоуровневые прослойки, например, Kernel32, или различные библиотеки, предоставляющие API-функции.
Режим ядра
Рисунок 2 - Компоненты режима ядра ОС Windows
1926
Согласно вышеприведенной схеме, режим ядра ОС Windows NT включает в себя следующие основные компоненты: исполнительная система, само ядро Windows, драйверы, HAL и графическая подсистема.
Графическую подсистему разместили в ядре в целях повышения производительности ОС. Но у этого решения есть и свои недостатки, связанные с обеспечением безопасности ОС. Если посмотреть описание TOP-10 эксплойтов, которые направлены на повышение привилегий в ядре Windows, то основная часть используемых ими багов будет относиться как раз к графической подсистеме.
Под управлением Windows NT можно запускать приложения, написанные для различных операционных систем, с использованием соответствующих API. С этой целью различные подсистемы среды реализуются в ОС Windows NT, а затем все унифицируется. Так что приложения различных типов могут работать под управлением одной и той же графической оболочки ОС Windows. Таким образом, основная задача подсистем среды - сконвертировать функции подсистем в вызовы внутренних функций ОС Windows, реализованных в NTDLL. Мы уже обсуждали, что это необходимо для переключения потока в режим ядра.
В ОС Windows NT реализованы подсистемы сред Win32, POSIX, OS/2, виртуальные машины MS-DOS и Win16.
Файловая система
Сектор - минимальная единица работы с диском. Размер сектора равен 512 байт.
Кластер - совокупность секторов. Сколько секторов сгруппировано в кластер - зависит от настроек. Один файл состоит из какого-то количества кластеров. Кластеры необязательно должны располагаться друг за другом. Чтобы прочитать файл, необходимо получить цепочку (карту расположения) кластеров файла. В зависимости от файловой системы получение цепочки кластеров файла различается.
1927
Каждый раздел диска должен быть отформатирован под определенную файловую систему для того, чтобы операционная система могла работать с этим разделом.
FAT32
Структуру раздела FAT32 можно представить так: Boot sector, таблица размещения файлов FAT1/FAT2, каталог и сами данные. На любом разделе диска Boot sector располагается самым первым. Его размер равен 512 байтам. Начинается он с команды перехода на подпрограмму, загружающую операционную систему. Также Boot sector содержит более общую информацию, такую как имя и версия операционной системы и блок параметров BIOS (BPB). Заканчивается Boot sector сигнатурой 0x55AA.
Стоит отметить, что BPB в FAT32 занимает больше места и называется Big FAT BPB. Вместе с ним загрузочный сектор может занимать три физических сектора. Но есть еще и дополнительные три, которые размещаются в 7, 8 и 9-м физическом секторе.
Говоря о загрузочной записи FAT32, стоит указать на то, что существует также структура данных FSInfo, используемая для хранения числа свободных кластеров тома. Создадим для примера образ диска с файловой системой FAT размером в 50 MB.
1928
:~/Oeskt $ sudo fdisk test.img
Welcome to fdisk (util-linux 2.35.2).
Changes will remain in memory only, until you decide to write them. Be careful before using the write command.
Device does not contain a recognized partition table. Created a new DOS disklabel with disk identifier 0«95blcl48.
Command (m for help): o
Created a new DOS disklabel with disk identifier 0»6ell7cfb.
Command (m for help): n Partition type
p primary (0 primary, 0 extended, 4 free) e extended (container for logical partitions) Select (default p):
Using default response p.
Partition number (1-4, default 1):
First sector (2048-102399, default 2048):
Last sector, +/-sectors or +/-size{K,M,G,T,P} (2048-102399, default 102399):
Created a new partition 1 of type 'Linux' and of size 49 MiB.
Command (m for help): t
Selected partition 1
Hex code (type L to list all codes): c
Changed type of partition 'Linux' to 'W95 FAT32 (LBA)'.
Command (m for help): w
The partition table has been altered.
Syncing disks.
Рисунок 4 - Пример работы После чего у нас будет файл test.img, который представляет из себя образ тома диска. Его можно примонтировать и использовать: sudo mount test.img /mnt/test
Итак, создадим в этом образе тестовый файл - myfile.txt - и запишем в него данные. После чего размонтируем диск и начнем исследовать файл-образ. Чтобы размонтировать: sudo umount /mnt/test
Для удобства можно его примонтировать и в ОС Windows 10, используя утилиту MountImg.exe из пакета ImDisk. После этого откроем WinHex и выберем Tools->Open Disk. Открываем наш примонтированный FAT-диск. Мы увидим в удобном формате структуру файловой системы.
1929
DnveF; 1
n ago 1.1» 5= 7 files. 1 d«
NameA Ext Size Created Modified Record changed Atlr. 1st sector
(Root directory) 16,0 KB 204
myfile.txt.swp swp OB 10.08.2020 08:52:24 10.08-2020 08:52:24 A
_] myfiletxt tot 25 В 10.08.2020 06:52:32 10.082020 08:52:32 A 248
_Boot sector 2.0 KB 0
_jFAT1 50,0 KB 4
J FAT 2 50,0 KB 104
J Free space i«t) 49,9 MB
_idle space ?
Offset 0 13 3 4 5 6 7 8 9 10 11 12 13 14 15 ✓ I ANSI ASCII Л Drive F- 100% free FAT16
00000000 ЕВ 3C 90 6D 6B 66 73 2E 66 61 74 00 02 04 04 00 €< mkfs.fat File system:
00000016 02 00 02 00 00 F8 64 00 20 00 40 00 00 00 00 00 ed 3
00000032 00 90 01 00 80 00 29 E9 E9 OE A4 4E 4F 20 4E 41 e )вNO NA Default Edit Mode
00000048 4D 45 20 20 20 20 46 41 54 31 36 20 20 20 OE IF ME FAT16 State: original
00000064 BE SB 7C AC 22 CO 74 OB 56 B4 OE BB 07 00 CD 10 H( |-."Ac v- » i Undo level Undo reverses: 0
00000090 5E ЕВ Г0 32 E4 CD 16 CD 19 EB FE 54 68 69 73 20 ~«82«1 t efciThis n/a
00000096 69 73 20 6E 6F 74 20 61 20 62 6F 6F 74 61 62 6C is not a bootabl
00000X12 65 20 64 69 73 6B 2E 20 20 50 6C 65 61 73 65 20 e disk. Please Alloc, of visible dnve space:
00000128 69 6E 73 65 72 74 20 61 20 62 6F 6F 74 61 62 6C inaerc a bootabl Cluster No.: n/a
00000144 65 20 66 6C 6F 70 70 79 20 61 6E 64 OD OA 70 72 e floppy and pr
00000160 65 73 73 20 61 6E 79 20 6B 65 79 20 74 6F 20 74 ess any key to t Boot sector
00000176 72 79 20 61 67 61 69 £E 20 2E 2E 2E 20 OD OA 00 ry again ...
00000192 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Snapshot taken 7 min. ago
00000208 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 2.0KB
00000224 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Used space:
00000240 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 2 048 bytes
00000256 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Free space 49,9 MB
00000272 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 52 305 920 bytes
00000288 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Total capacity: 50,0 MB
00000304 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 52 428 800 bytes
00000320 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00000336 00 00 00 00 00 00 00 00 00 00 00 00 §0 00 00 00 ■ Bytes per cluster 2 048
00000352 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Free dusters: 25 540
00000368 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Total clusters 25 541
00000384 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Bytes per sector 512
00000400 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Usable sectors: 102164
00000416 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 First data sector 236
00000432 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00000448 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Display time rone original
00000464 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Mode Text
00000480 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Offsets: decimal
00000496 00 00 00 00 00 00 00 00 00 00 00 00 00 00 55 AA 0* Bytes per page 37x16= 592
00000512 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Window «: 1
00000528 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 win
00000544 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00000560 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00000576 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 v
Рисунок 5 - Структура файловой системы
В таблице FAT хранятся цепочки кластеров размещения файлов. Для номера кластера в FAT32 отводится 4 байта. Поэтому и возникает ограничение на размер каждого файла в 4 GB. Размер же тома ограничен до 16 TB.
NTFS
Из-за ограничений файловой системы FAT32 была разработана принципиально новая файловая система - NTFS. В ней максимальный размер одного файла составляет 256 TB.
Таблица 1
Размер кластера Самый крупный том Самый крупный файл
4 КБ (размер по умолчанию) 16 ТБ 16 ТБ
8 КБ 32 ТБ 32 ТБ
16 КБ 64 ТБ 64 ТБ
1930
32 КБ 128 ТБ 128 ТБ
64 КБ (максимальный размер) 256 ТБ 256 ТБ
Помимо этого в NTFS поддерживается система управления доступом (ACL) для файлов и папок. Т.е. есть возможность указывать группы пользователей, чей доступ требуется ограничить или разрешить. Также присутствует возможность шифрования диска - BitLocker.
Система NTFS является журналируемой, все действия с файлами заносятся в специальный журнал. Исследование этого журнала - один из этапов криминалистической экспертизы.
Структуру файловой системы NTFS можно разделить на три части: MFT (Master File Table - главная таблица файлов), копия части данных MFT и сами данные. MFT составляет примерно 12% от всего объема тома. Каждая запись в MFT соответствует какому-либо файлу и занимает около 1 КБ. Шифровальщик Petya шифровал именно эту часть диска. Первые 16 файлов в MFT содержат служебную информацию и не доступны даже операционной системе. Это метафайлы. Копия первых трех метафайлов располагается в середине диска. Обычно, кроме метафайлов, в MFT ничего не хранится. Но когда место на диске заканчивается - зона MFT уменьшается. Если же места становится достаточно, то зона MFT увеличивается. Каждый метафайл отвечает за свою область работы. Имена метафайлов начинаются с символа $.
1931
JSAttrDef jjSBadClus _JSBitmap 3$Boot
JSlogFile JSMFT JSMFTMirr jSSecure jJSUpCase □ SVolume Offset OOOOOOOOOO 0000000010 0000000020 0000000030 0000000040 0000000050 0000000060 0000000070 0000000080 0000000090 00000000A0 OOOOOOOOBO OOOOOOOOCO OOOOOOOODO OOOOOOOOEO OOOOOOOOFO 0000000100 0000000110 0000000120 0000000130
1 2 3 4 5 6
§= 52 90 4E 00 00 00 00 00 00 00 00 04 00 00 00 F6 00 00 00 00 00 00 00 IF IE 68 66
54 46 53 75
55 AA 75 06 18 68 1A 00 9F 83 C4 18 OF 00 CI 2E 66 FF 06 11 40 00 2B C8 66 81 FB 54 68 07 BB 16 55 16 16 16 90 90 66 60 66 68 00 00 B4 42 ЗА 16
54 46 53 20
00 F8 00 00 80 00 80 00 00 00 00 00
01 00 00 00 FA 33 CO 8E 00 CB 88 16 15 B4 41 BB F7 CI 01 00 B4 48 8A 16 9E 58 IF 72 OF 00 04 IE 00 03 16 OF 77 EF B8 00 43 50 41 75 68 70 OE 16 68 B8 01 66 IE 06 66 Al 00 00 66 50 OE 00 16 IF
2,5 KB 09.072013 10:54:42 09.072013 10:54:42 09.07.2013 10:54:42 SH 36 804 608
OB 48
29,1 MB 09.07.2013 10:54:42 09.072013 10:54:42 09.07.2013 10:54:42 SH 244190264
8,0 KB 09.072013 10:54:42 09.072013 10:54:42 09.072013 10:54:42 SH 0
64,0 MB 09.072013 10:54:42 09.072013 10:54:42 09.07.2013 10:54:42 SH 976 760 832
630 MB SH 32
4,0 KB 09.072013 10:54:42 09 .072013 10:54:42 09.07.2013 10:54:42 SH 976760 824
OB 09.072013 10:54:42 09.072013 10:54:42 09.07.2013 10:54:42 SH
128 KB 09.072013 10:54:42 09.072013 10:54:42 09.07.2013 10:54:42 SH 20378 096
OB 09.072013 10:54:42 09.072013 10:54:42 09.07.2013 10:54:42 ISH 38
5 A В С I E F ' 1 ANSI ASCII A Drive D: File system: Volume label: 56% free NTFS BackUp
20 00 5F 20 FF 70 00 00 74 02 00 00 08 08 00 00 00 00 00 00 00 §R NTFS 0 ? у € € 9_pt
05 47 07 00 00 00 00 9 G Default Edit Mode
57 F6 5B B4 CA 93 66 ö *Wö['t"f State original
ВС 00 55 00 66 CD 7C 81 13 FB 3E 72 68 03 ОС CO 00 81 07 4E FB ü3AfS4 |ühA hf £- f > N TFSu 'A»*Ui r Ü Undo level: Undo reverses: 0 n/a
03 E5 D2 00 IE 83 EC 0*u -i-A u ¿6 /i Alloc, of visible drive space:
00 8B F4 16 IF CD 13 h HS <6 I Cluster Noj
3B 06 OB 00 75 DB A3 YfA zX rä; uD£ SBoot \
33 DB B9 00 20 2B C8 A. Z3Ü» +t
8E C2 FF 06 16 00 E8 fy tk у ё
CD 1A 66 23 CO 75 2D в +£wi, »t f#Au- Snapshot taken 65 min. ago
81 F9 02 01 72 IE 16 f GTCPAuS li r Logical sector No.: 0
09 00 66 53 66 53 66 h » hp h fSfSf Physical sector No.: 2048
OE 07 CD 1A E9 6A 01 D h, fa i ¿j
00 66 03 06 1С 00 IE f • f i f Used space: 411 GB
53 68 01 00 68 10 00 fh fP Sh h 441 334 611« >68 bytes
F4 CD 13 66 59 5B 5A BS <6i fY[Z v Free space: 520 GB
Рисунок 6 -Пример метафайла NTFS Еще одной особенностью NTFS является то, что самих файлов как таковых нет, а есть потоки. Любая единица информации имеет несколько потоков. Один поток (главный поток) представляет собой сами данные файла, другой поток - атрибуты. К любому файлу можно прикрепить любой другой поток. Также особенностью NTFS являются транзакции. Транзакция - это действие, которое должно быть выполнено либо целиком, либо никак. На основе транзакций работает техника Process Doppelgänging, которая осуществляет внедрение кода.
Литература
1. Большаков Т.В. Операционные системы: учеб. пособие/Д.В. Иртегов; НГУ.- Новосибирск:, 2005 -136с.
2. Гордеев А.В. Операционные системы: учеб, для вузов по напр. «Информатика и вычисл. техн»/А.В. Гордеев -2-е изд. -СПБ.: Питер, 2004 -415с.
3. Свиридова М.Ю. Операционная система Windows XP.: учеб. пособие для нач. проф. образования /М.Ю. Свиридова. -М.: Академия, 2006. -189с.
4. Информатика. Базовый курс : учебное пособие для вузов / С.В.Симонович, Г.А.Евсеев,В.И.Мураховский,С.И.Бобровский ; Под ред. С.В.Симоновича. - СПб : Питер, 2004. - 640 с.
1932
5. Операционные системы: MS DOS, Windows. Операционная оболочка FAR Manager. Стандартные приложения : сборник / М-во образования и науки РФ [и др.] ; [отв. за вып. Т. В. Немчинова]. - Улан-Удэ : Изд-во БГУ, 2005. - 39 с.
6. Матвеев, М.Д. Самоучитель Microsoft Windows XP: Все об использовании и настройках : методический материал / М. Д. Матвеев, М.В. Юдин, А.В. Куприянова; [под ред. М.В. Финкова] . - СПб. : Наука и техника, 2005. -620 с.
7. Таненбаум, Э. Современные операционные системы / Эндрю Таненбаум.
- 2-е изд СПб. : Питер, 2005, 2006. - 1038 с.
8. Леонтьев, В.П. Осваиваем Windows XP быстро и увлекательно: справочное издание/ В.П. Леонтьев. - М. : ОЛМА-ПРЕСС, 2005. - 219 с.
9. Глушаков С.В. Windows Vista [Текст] : основные возможности / С. В. Глушаков, Т.С. Хачиров. - М. : АСТ : Хранитель, 2008. - 350, [1] с. : ил ; 17 см.
10. Журавлев, А.В. Microsoft Windows Vista. Просто как дважды два [Текст] / А.В. Журавлев. - М. : Эксмо, 2008. - 348 с. :
11. Острейковский, В.А. Информатика: учебник для вузов / В.А. Острейковский. - М. : Высшая школа, 2004. - 511 с.
12. Гаевский А.Ю. Информатика : учебное пособие / А.Ю. Гаевский. - 2-е изд., доп. - М. : Гамма Пресс, 2004. - 536 с.
13. Степанов А.Н. Информатика [Текст] : учебное пособие для вузов / А.Н. Степанов. - 4-е изд. - СПб. : Питер , 2005. - 684 с.
References
1. Bolshakov T.V. Operating systems: textbook. allowance / D.V. Irtegov; NSU.
- Novosibirsk:, 2005 -136s.
2. Gordeev A.V. Operating systems: studies, for universities, for example. «Informatics and Computing. techn./A.V. Gordeev -2nd ed. - St. Petersburg: Peter, 2004 -415s.
1933
3. Sviridova M.Yu. Operating system Windows XP.: textbook. allowance for the beginning prof. education /M.Yu. Sviridov. -M.: Academy, 2006. -189s.
4. Computer science. Basic course: textbook for universities / S.V. Simonovich, G.A. Evseev, V.I. Murakhovsky, S.I. Bobrovsky; Ed. S.V.Simonovich. - St. Petersburg: Peter, 2004. - 640 p.
5. Operating systems: MS DOS, Windows. Operating shell FAR Manager. Standard applications: collection / Ministry of Education and Science of the Russian Federation [and others]; [res. for issue T. V. Nemchinova]. - Ulan-Ude: BSU Publishing House, 2005. - 39 p.
6. Matveev, M.D. Microsoft Windows XP tutorial: All about using and settings: methodological material / M.D. Matveev, M.V. Yudin, A.V. Kupriyanov; [ed. M.V. Finkov] . - St. Petersburg. : Science and technology, 2005. - 620 p.
7. Tanenbaum, E. Modern operating systems / Andrew Tanenbaum. - 2nd ed. St. Petersburg. : Peter, 2005, 2006. - 1038 p.
8. Leontiev, V.P. Mastering Windows XP quickly and excitingly: reference edition / V.P. Leontiev. - M. : OLMA-PRESS, 2005. - 219 p.
9. Glushakov S.V. Windows Vista [Text]: main features / S.V. Glushakov, T.S. Khachirov. - M. : AST : Keeper, 2008. - 350, [1] p. : il; 17 cm
10. Zhuravlev, A.V. Microsoft Windows Vista. Just like twice two [Text] / A.V. Zhuravlev. - M. : Eksmo, 2008. - 348 p. :
11. Ostreykovsky, V.A. Informatics: a textbook for universities / V.A. Ostreikovskiy. - M. : Higher school, 2004. - 511 p.
12. Gaevsky A.Yu. Informatics: textbook / A.Yu. Gaevsky. - 2nd ed., add. - M. : Gamma Press, 2004. - 536 p.
13. Stepanov A.N. Informatics [Text]: textbook for universities / A.N. Stepanov. -
4th ed. - St. Petersburg. : Peter, 2005. - 684 p.
© Багдасаров Д.М., 2022 Научный сетевой журнал «Столыпинский вестник», номер 4/2022.
Для цитирования: Багдасаров Д.М. АРХИТЕКТУРА WINDOWS NT // Научный сетевой журнал «Столыпинский вестник», номер 4/2022.
1934
