Thema: Wie Windows arbeitet ...

[Homix]

hi,
ich wollt mal fragen, ob ihr wisst wie Windows so arbeitet oder dazu Dokus, Tutorials, Texte, usw.. habt ?
ich würd gerne mir mal so nen groben Überblick schaffen, wie Windows es realisiert (gewisse probleme ect ...).
auch wäre das .EXE PE Format oder Treiber interesant !

cu,
stefan2005

[elfish_rider]

Generell ist es so, dass Microsoft nix Windows-internes verrät, schon nur wegen der wirtschaftlichen Situation, auf die ich hier nicht näher eingehen möchte.

http://www.nondot.org/sabre/os/files/Executables/PE.pdf

Da wird das (etwas komische und komplizierte) PE-Format ziemlich ausführlich behandelt.

[Netmaster]

Die beste Quelle für alle Infos rund um Windows sind in der MSDN enthalten, dort wird auch PE-Format beschrieben allerdings in English. Ich weiß nicht ob meine Frage hier passt, aber kennt jemand von euch MenuetOS? ich habe sehr viele Ähnlichkeiten zwischen MenuetOS-Kernel und dem Linuxkernel festgestellt, ich meine allgemeines Design. Kann das sein?
 

[DarkThing]

Ich kenn mich nicht mit MenuetOS aus, aber möglich wärs.

In Windows wird alles irgendwie getrennt: Für Port-Zugriffe und andere direkte Hardware-Zugriffe gibt es einen eigenen Teil (HAL - Hardware Abstraction Layer) usw. In wieweit das sinnvoll ist ist natürlich fraglich. Aber man muss eigenltich zwischen Win95/98/Me und Windows NT/200/XP/2003 trennen (Windows 1.0 - 3.11 lass ich mal weg). Die ersten basieren ja noch mehr oder weniger auf Dos und das ist das Design noch völlig anders.

[Netmaster]

Auf der Seite wird eine große Zahl an Dateiformaten dargestellt und erläutert. (Headerinfos, Formatierungen usw...)

http://www.wotsit.org/

[Legend]

Warum ein HAL sinnvoll lässt sich ganz einfach erklären - nur so hat ein und der selbe Treiber überhaupt eine Chance Veränderungen im Kernel zu überdauern ohne ständig angepasst werden zu müssen und zwischen verschiedenen Architekturen doch noch portabel zu sein.

[DarkThing]

Den Grund hab ich wohl übersehen   Aber wie macht das Windows? Werden da auch Messages gesendet oder werden die Funktionen direkt aufegrufen. Also hal.dll hab ich mal näher betrachtet und sie beinhaltet unter anderem diese Funktionen:
READ_PORT_BUFFER_UCHAR
READ_PORT_BUFFER_ULONG
READ_PORT_BUFFER_USHORT
READ_PORT_UCHAR
READ_PORT_ULONG
READ_PORT_USHORT
WRITE_PORT_BUFFER_UCHAR
WRITE_PORT_BUFFER_ULONG
WRITE_PORT_BUFFER_USHORT
WRITE_PORT_UCHAR
WRITE_PORT_ULONG
WRITE_PORT_USHORT
Werden die direkt vom Treiber aufgerufen? Und könnte man die aus einem eigenen Programm aufrufen oder würde Win das stoppen?

[crashmakerMX]

Den Grund hab ich wohl übersehen   Aber wie macht das Windows? Werden da auch Messages gesendet oder werden die Funktionen direkt aufegrufen. Also hal.dll hab ich mal näher betrachtet und sie beinhaltet unter anderem diese Funktionen:
READ_PORT_BUFFER_UCHAR
READ_PORT_BUFFER_ULONG
READ_PORT_BUFFER_USHORT
READ_PORT_UCHAR
READ_PORT_ULONG
READ_PORT_USHORT
WRITE_PORT_BUFFER_UCHAR
WRITE_PORT_BUFFER_ULONG
WRITE_PORT_BUFFER_USHORT
WRITE_PORT_UCHAR
WRITE_PORT_ULONG
WRITE_PORT_USHORT
Werden die direkt vom Treiber aufgerufen? Und könnte man die aus einem eigenen Programm aufrufen oder würde Win das stoppen?

ich denke mal das ein treiber die aufrufen kann, ein programm aber nicht

[DarkThing]

Werds mal testen ^^. Vielleicht gehts über rundll32.exe. Das ist ein kleiner Teil von Windows und man kann mit dem Ding Funktionen aus einer DLL aufrufen ohne extra ein Tool zu schreiben. Per Parameter gibt man den Dateinamen und die Funktion an und das wars. Wie das mit Parametern für die Funktion oder dem Rückgabewert aussieht weiß ich aber noch nicht.
Ansonsten könnte das DDK interessant sein.

[Legend]

Wenns ne DLL ist kann dein Programm die bestimmt in seinen Addressraum laden - auf Ring 3, um dann beim ersten Auftreten von in/out Instruktionen gekillt zu werden!

[crashmakerMX]

Werds mal testen ^^. Vielleicht gehts über rundll32.exe. Das ist ein kleiner Teil von Windows und man kann mit dem Ding Funktionen aus einer DLL aufrufen ohne extra ein Tool zu schreiben. Per Parameter gibt man den Dateinamen und die Funktion an und das wars. Wie das mit Parametern für die Funktion oder dem Rückgabewert aussieht weiß ich aber noch nicht.
Ansonsten könnte das DDK interessant sein.

http://www.wintotal.de/Tipps/Eintrag.php?RBID=2&TID=184&URBID=7

der seite nach werden parameter nach einem leerzeichen angehängt und durch kommas getrennt

[Jidder]

hi mit rundll32 wirds nicht klappen. das tool kann nur spezielle dlls und da auch nur spezielle funktionen ausführen. (schnickschnack wie systemsteuerung öffnen, webseite öffnen, netzwerkumgebung öffnen etc...) IO-Funktionen werden wohl nicht dazu gehören. Außerdem ist rundll32 auch kein godlike tool. es wird genau wie jedes andere programm, dass versucht ohne berechtigung auf die io-ports (sei es nun mit oder ohne dll) gekillt werden. so wie legend es beschrieben hat, wird es rundll32 auch ergehen.

[DarkThing]

Ok. Ich habs getestet: Wenn ichs so starte: C:\WINDOWS\system32\rundll32.exe HAL.dll,READ_PORT_UCHAR krieg ich den Fehler "Fehler beim Laden von HAL.dll Unzulässiger Zugriff auf einen Speicherbereich". Also so gehts nicht.

[mysticforce]

wäre es möglich das ganze betriebssystem(Windows) zu deassembeln?

[JensFZ]

Hiho

Also Theoretisch ist es möglich. Mir fällt da spontan ein Programm namens SoftICE ein. Das ist ein Runtime Debugger der sich auf den Ring 0 aufschaltet. Keine Ahnung wie das Programm das genau macht aber es funzt. Somit könntest du alle ASM befehle sehen, die z.B. ein API aufruf auf den Prozessor los lässt. aber glaube mir. Das ist nicht lustig.

[Homix]

hi,
es ist ja sogar möglich Windows auf Bochs laufen zu lassen (installieren)
dauert halt nur gewaltig lange, vlt kann man so auch Assemblerbefehle sehen.

cu,
stefan2005

[The-Programmerfish]

Geht viel einfacher

Win2k Source beim Esel (eMule) ziehen ^^

[Legend]

Das ist aber garantiert illegal ...

[Jidder]

... genauso wie das disassemblieren

[Legend]

In den USA ist Reverse Engineering unter sehr bestimmten Vorraussetzungen sogar legal. Wie das in Deutschland ist, da weiss ich jedoch nichts.