《Undocumented Windows 2000 Secrets》翻译 --- 第二章（2）

第二章  The Windows 2000 Native API

翻译：Kendiv

更新：Friday, February 04, 2005

Windows 2000运行时库

Nt*()和Zw*()函数构成了Native API的基本部分，但并不是主要部分，还有一部分代码位于ntdll.dll中。该DLL至少导出了1179个符号。其中的249和248个分别属于Nt*()和Zw*()函数集，剩余的682个函数并不通过INT 2eh中断进行调用。显然，这一大组函数并不依赖Windows 2000内核。那提供它们的目的何在呢？让我们继续往下看。

C运行时库

如果你研究过位于ntdll.dll导出节（export section）的符号，你会发现很多在C程序员看来很熟悉的小写的函数名称。这些都是众所周知的名子，如memcpy()、sprintf()和qsort()，这些C运行时库中的函数都合并到了ntdll.dll中。对于ntoskrnl.exe也是如此，它同样提供了一组与C运行时函数十分相像的函数，虽然这两组函数并不相同。附录B的表B-3列出了这两组函数，并指出了每个函数分别属于哪个模块。

你可以简单的将ntdll.lib（来自Windows 2000 DDK）添加到导入库列表（链接器在解析符号期间将扫描该列表）中，就可以链接到这些函数。如果你更喜欢对话框，你可以选择Visual C/C++的工程菜单中的Settings子菜单，然后单击Linke页，选择Category General，然后将ntdll.dll添加到Object/Library模块列表中。还有一种方法：在源文件中，添加如下的内容：

    #pragma comment(linker,”/defaultlib:ntdll.lib”)

这同样有效，好处是，其他开发人员可以使用Visual C/C++的默认设置来rebuild你的工程。

反编译这些与C运行时函数类似的函数（来自ntdll.dll和ntoskrnl.exe），会发现ntdll.dll并不依赖于ntoskrnl.exe，这和ndll.dll中的Native API不一样。事实上，这两个模块分别实现了这些函数。本节出现的其他函数也是如此。注意，表B-3中的一些函数并不使用其导出的名称。例如，如果在内核模式的驱动程序中针对一个64位的LARGE_INTEGER使用移位操作符<<和>>，编译器和链接器会自动导入ntoskrnl.exe的_allshr()和_allshl()。

扩展的运行时函数

随同标准的C运行时函数，Windows 2000还提供了一组扩展的运行时函数。在次强调，ntdll.dll和ntoskrnl.exe分别实现了它们。并且其中有些函数是重叠的。这些扩展函数的名字都有一个共同的前缀Rtl（for Runtime Library）。附录B的表B-4列出了所有这些扩展函数。Windows 2000提供的这些运行时函数还包含用于普通任务的助手函数（helper function），这些任务都超过了C运行时函数的能力范围。例如，其中的某些用于管理安全性，另一些用于操作Windows 2000特有的数据结构，还有一些对内存管理提供支持。很难理解为什么微软仅在Windows 2000 DDK中提供了其中115个函数的文档，而扔掉了其余406个非常有用的函数。

浮点模拟器（The Floating-Point Emulator）

让我用ntdll.dll提供的另一组函数集合来结束这次API函数汇展。表2-1列出了这些函数的名称，这些名称可能对于汇编程序员有些眼熟。去了名称前的__e前缀，你就会得到i386系列CPU中的FPU（Floating-Point Unit）汇编助记符。事实上，从表2-1中列出的函数来看，ntdll.dll包含了一个完整的浮点模拟器。这再次证明了这个DLL是一个庞大的代码仓库，这吸引了众多的System Spelunker去反编译它。

表2-1.  ntdll.dll的浮点模拟器接口

有关浮点指令集的更多信息，请参考Intel 80386 CPU的原始文档。可以从Intel官方网站：http://developer.intel.com/design/pentium/manuals/来下载PDF格式的Pentium手册。讲解这些机器码指令集的手册是：Intel Architecture SoftWare Developer’s Manual. Volume 2：Instruction Set Reference（Intel 1999b）。

其它的API函数

除附录B和表2-1列出的函数外，ntdll.dll和ntoskrnl.exe还为多个内核组件导出了为数众多的函数。为了避免更长的表格，我这里仅列出可用函数的名称前缀及其所属类别（表2-2）。

表2-2   函数名前缀及其所属分类