Prozesskontrollblock unter Windows

Da Windows zur Gattung der "Closed-Source"-Software gehört, ist der Prozesskontrollblock unter Windows nicht offiziell veröffentlicht.

Russinovich et.al. 2012 (P1) beschreiben, dass jeder unter Windows erzeugter Prozess durch eine Instanz der Datenstruktur EPROCESS (engl.: executive process structure) repräsentiert wird. Sie geben in einer Übersicht auch die wichtigsten Felder dieser Datenstruktur an, ohne jedoch deren komplette Definition offenzulegen.


Quelle
im Web

Microsoft veröffentlicht nur recht allgemein gehaltene Informationen zu EPROCESS:
http://msdn.microsoft.com/en-us/library/windows/hardware/ff544273%28v=vs.85%29.aspx


Debugging Experiment

Interessant ist, dass Russinovich et.al. 2012 (P1) als Experiment vorschlagen, die einzelnen Felder der EPROCESS-Datenstruktur mit Hilfe des Windows Kernel Debuggers (WinDbg) zu identifizieren.

Diese Arbeit gemacht hat sich nach eigener Dokumentation der Software Entwickler Nir Sofer. Für Windows Vista hat er verschiedene Datenstrukturen rekonstruiert.


Quelle
im Web



Diese Seite steht unter der Creative Commons Namensnennung 3.0 Unported Lizenz 80x15.png