ntoskrnl.exe

ntoskrnl.exe (윈도우 NT 운영 체제 커널(Windows NT operating system kernel)의 준말)은 kernel image라고도 알려져 있으며, 윈도 NT 커널 공간의 커널과 익스큐티브 계층을 제공한다. 그리고 하드웨어 가상화나 프로세스 그리고 메모리 관리같은 다양한 시스템 서비스를 관리함으로써 시스템의 기본적인 부분이 되고 있다. 이것은 캐시 매니저, 익스큐티브, 커널, 보안 참조 보니터, 메모리 관리자, 스케줄러를 포함한다.^[1]

개요

이 시스템 바이너리는 네이티브 애플리케이션 (in that it is not linked against ntdll.dll)이 아니라, 표준 '시작' 엔트리 포인트 즉, 컴퓨터 구조에 독립된 커널 초기 함수를 호출하는 함수를 포함한 것이다. ntoskrnl.exe는 ntdll.dll이 아니라, bootvid.dll, hal.dll 그리고 kdcom.dll에 링크되어 있다. 의존하는 C 런타임 객체들의 정적인 복사본을 요구하기 때문에 실행 파일은 보통 2MB 크기이다.

전체적으로, 4개의 커널 이미지 파일들이 있다. 멀티프로세서 또는 uniprocessor 파일들은 설치 시에 선택되며 PAE 또는 non-PAE 파일들은 프로세서의 특징에 따라 boot.ini 또는 BCD 옵션에 따라 선택된다.

커널 이미지 파일이름
파일 이름	지원 SMP	지원 PAE
NTOSKRNL.EXE	아니요	아니요
NTKRNLMP.EXE	예	아니요
NTKRNLPA.EXE	아니요	예
NTKRPAMP.EXE	예	예

윈도우 커널 코딩은 보통 타입 네임으로 (변수 네임이 아니라) Hungarian notation를 사용한다.

ntoskrnl의 루틴들은 이름에 그들이 정의된 ntoskrnl의 구성 요소를 가리키는 접두어를 사용한다. 아래의 테이블은 몇몇을 나열한 것이다.

NT 함수 접두어
Prefix	Meaning
Cc	파일 시스템 캐시^[2]
Csr	Win32 하위 시스템 프로세스(csrss)와 통신할 때 사용되는 함수들
Dbg	소프트웨어 브레이크포인트 같이 디버깅을 지원하는 함수들
Ex	Ntoskrnl.exe의 외부 층인 윈도우 익스큐티브
Exp	전용 윈도우 익스큐티브 : 밖으로 내보내지지 않는 익스큐티브 층 내부의 루틴들 (p = private)
FsRtl	파일 시스템 런타임 라이브러리^[3]
Io	입출력 관리자^[4]
Ke	핵심 커널 루틴들^[5]
Ki	커널 외부에로 내보내어지지 않는 커널 내부의 루틴들 (i = internal)
Ks	커널 스트리밍
Ldr	PE 파일 관리를 위한 로더 함수들
Lpc	로컬 프로시저 호출 (내부의 문서화되지 않은, 그리고 프로세스사이 또는 사용자/커널 메시지 교환 메커니즘에 사용되는)
Lsa	로컬 보안 인증
Mi	메모리 관리자에 의한 호출을 위해 내보내지지 않은 메모리 관리 함수들
Mm	메모리 관리
Nls	네이티브 언어 지원
Ob	객체 관리자
Pfx	접두어 관리
Po	P&P와 전력 관리^[6]
Ps	프로세스와 스레드 관리
Rtl	런타임 라이브러리. 이것은 네이티브 응용 프로그램에서 사용될 수 있는 많은 유틸리티 함수들을 포함한다. 하지만 직접적으로 커널 지원하지는 않는다.
Se	보안
Vf	드라이버 확인 프로그램
Vi	드라이버 확인 프로그램에 의한 호출을 위해 내보내지지 않는 드라이버 확인 루틴들
Zw	Nt 또는 Zw는 ntdll.dll과 ntoskrnl..exe에서 정의된 시스템 호출이다. 사용자 모드의 ntdll.dll에서 호출될 경우, 여기에 속한 함수들은 거의 똑같은 행동을 한다. 커널 모드로 들어가 SSDT를 통해 ntoskrnl.exe의 대응되는 함수를 호출한다. ntoskrnl.exe에서 직접적으로 호출될 경우(커널 모드에서만 가능), Zw는 커널 모드라는 것을 보장하는 반면, Nt는 아니다.^[7] Zw는 다른 뜻을 의미하지는 않는다.^[8]

초기화

커널이 제어를 받는 경우, 파라미터로 구조체에 대한 포인터를 받게 된다. 이 구조체는 부트로더에 의해 배달되며, 이것은 하드웨어에 대한 정보(레지스트리 파일의 경로, 커널 파라미터, 부트로더에 의해 담겨진 파일들의 경로, 부팅 선호 옵션 등)를 담고 있다.^[9] 이 구조체의 정의는 커널 디버거에 의해 검색될 수 있다.^[10]

X86에서 커널은 (보호 모드) GDT, IDT 그리고 TSS 준비와 함께 시스템을 받는다. 그러나 각각의 주소를 모르기 때문에 PCR 구조를 채우기 위해서는 하나씩 로드해야 한다.

ntoskrnl.exe의 메인 엔트리포인트는 시스템에 의존적인 초기화를 수행하고, 시스템 독립적인 호출한 후에 유휴(idle) 루프에 빠진다.

인터럽트 핸들링

현대의 운영 체제들은 입출력 포트 폴링 대신 인터럽트를 사용한다.

x86에서, 인터럽트들은 인터럽트 디스패치 테이블 (IDT)에 의해 관리된다. 장치가 인터럽트를 유발시키면, 플래그 레지스터의 interrupt flag (IF)가 세팅되며, 프로세서의 하드웨어는 테이블 엔트리가 인터럽트 번호(IRQ)와 일치하는 인터럽트 핸들러를 찾는다. 인터럽트 핸들러는 인터럽트를 조작하고 복구하기 전에 보통 모든 또는 몇몇 레지스터의 상태들 저장한다.

인터럽트 테이블은 하드웨어 인터럽트, 소프트웨어 인터럽트 그리고 예외를 위한 핸들러를 포함한다. 예를 들어 소프트웨어 인터럽트 핸들러는 테이블 엔트리가 0x2e이다. 이것은 KiSystemService를 가리킨다.

메모리 관리자

마이크로소프트 윈도우는 가상 주소 공간을 두 영역으로 나눈다. 낮은 부분은 0부터 시작하며, 각각의 프로세스 마다 독립적으로 초기화되고, 사용자 모드와 유저 모드 모두에서 접근할 수 있다. 프로세스에서 돌아가는 응용 프로그램은 사용자 모드에서 돌아가는 코드를 제공한다. 높은 부분은 몇몇 예외적인 경우를 제외하고는 커널 모드에서만 접근할 수 있으며 시스템 전체적으로 한 번만 초기화 된다. Ntoskrnl.exe는 다른 커널 모드 구성요소들과 같이 이 영역에 매핑된다. 이 영역은 또한 커널 모드 코드(커널 모드 힙과 파일 시스템 캐시)에서 사용되는 데이터도 포함한다.

접근 권한에 따른 시작 그리고 끝 세그먼트^[10]
Arch	MmHighestUserAddress	MmSystemRangeStart
x86	0x7fffffff	0x80000000
ARM	0x7fffffff	0x80000000
x86-64	0x000007ff'ffffffff	0xffff8000'00000000

물리 메모리(RAM) 주소 범위 전체는 수많은 작은(보통 4KB) 단위로 쪼개진다. 소수의 몇몇 블록들은 페이지 테이블 엔트리라고 불리는 구조체에 저장되는데, 이것은 OS에 의해 관리되며, 프로세서의 하드웨어에 의해 접근된다. 페이지 테이블들은 트리 구조로 조직되며 top-level 테이블의 물리 페이지 번호는 컨트롤 레지스터 3(CR3)에 저장된다.

레지스트리

윈도우 레지스트리는 운영 체제와 응용 프로그램들의 설정 정보를 담고 있는 저장소이다. 이것은 작은 파일들로 최적화 된 파일시스템이라고 생각하면 된다.^[11] 그러나 의미론적으로 파일시스템 같이 접근할 수는 없고, 커널 모드에서 구현되며 사용자 모드에 노출된 전문화된 API들을 통해서 접근할 수 있다.

레지스트리는 "하이브"라고 불리는 여러 다른 파일들로서 디스크에 저장된다. 시스템 하이브의 경우 부팅 과정 때부터 로드되어 그 때 필요한 설정 정보를 제공한다. 소프트웨어와 사용자관련 정보를 제공하는 추가적인 레지스트리 하이브들은 시스템 초기화 이후, 그리고 사용자 로그인 이후에 각각 로드된다.

드라이버

디스크에서 로드되는 드라이버들의 목록은 SYSTEM 레지스트리 하이브 내의 Serveices 키에서 검색된다. 이 키는 디바이스 드라이버와 커널 프로세스들 그리고 유저 프로세스들을 저장한다. 이것들은 전체적으로 "services"라고 불리며, 같은 공간에 저장되어 있다.

같이 보기

각주

↑ Russinovich, M: Systems Internals Tips and Trivia, SysInternals Information
↑ Microsoft Corporation (2009). “Cache Manager Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.
↑ Microsoft Corporation (2009). “File System Runtime Library Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.
↑ Microsoft Corporation (2009). “I/O Manager Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.
↑ Microsoft Corporation (2009). “Core Kernel Library Support Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.
↑ Microsoft Corporation (2009). “Power Manager Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.
↑ The NT Insider (2003년 8월 27일). “Nt vs. Zw - Clearing Confusion On The Native API”. 《OSR Online》 (OSR Open Systems Resources) 10 (4). 2016년 2월 11일에 확인함.
↑ Raymond Chen (2009). “The Old New Thing : What does the "Zw" prefix mean?”. 마이크로소프트. 2016년 2월 11일에 확인함.
↑ http://www.nirsoft.net/kernel_struct/vista/LOADER_PARAMETER_BLOCK.html
↑ ^가 ^나 《Practical Reverse Engineering Using X86, X64, Arm, Windows Kernel, and Reversing Tools.》. John Wiley & Sons Inc. 2014. ISBN 978-1118787311.
↑ Tanenbaum, Andrew S. (2008). 《Modern operating systems》 3판. Upper Saddle River, N.J.: Pearson Prentice Hall. 829쪽. ISBN 978-0136006633.

읽어보기

Tanenbaum, Andrew. Modern Operating Systems (3rd Edition). 978-0136006633
Practical reverse engineering. 978-1118787311

외부 링크

[sysinternals-1] Russinovich, M: Systems Internals Tips and Trivia, SysInternals Information

[2] Microsoft Corporation (2009). “Cache Manager Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.

[3] Microsoft Corporation (2009). “File System Runtime Library Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.

[4] Microsoft Corporation (2009). “I/O Manager Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.

[5] Microsoft Corporation (2009). “Core Kernel Library Support Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.

[6] Microsoft Corporation (2009). “Power Manager Routines”. 마이크로소프트. 2016년 2월 11일에 확인함.

[7] The NT Insider (2003년 8월 27일). “Nt vs. Zw - Clearing Confusion On The Native API”. 《OSR Online》 (OSR Open Systems Resources) 10 (4). 2016년 2월 11일에 확인함.

[oldnewthing_zw-8] Raymond Chen (2009). “The Old New Thing : What does the "Zw" prefix mean?”. 마이크로소프트. 2016년 2월 11일에 확인함.

[9] ttp://www.nirsoft.net/kernel_struct/vista/LOADER_PARAMETER_BLOCK.html

[practical_rev_eng-10] 가 ^나 《Practical Reverse Engineering Using X86, X64, Arm, Windows Kernel, and Reversing Tools.》. John Wiley & Sons Inc. 2014. ISBN 978-1118787311.

[11] Tanenbaum, Andrew S. (2008). 《Modern operating systems》 3판. Upper Saddle River, N.J.: Pearson Prentice Hall. 829쪽. ISBN 978-0136006633.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

v t e 마이크로소프트 윈도우 구성 요소
핵심 기능	에어로 자동 실행 클리어타입 데스크톱 창 관리자 DirectX 탐색기 작업 표시줄 시작 메뉴 셸 이름 공간 특수 폴더 파일 연결 알림 센터 검색 저장 검색 iFilter 그래픽 장치 인터페이스 WIM 닷넷 프레임워크 서버 메시지 블록 XML 문서 규격 액티브 스크립팅 WSH VB스크립트 J스크립트 DCOM OLE OLE 자동화 액티브X 액티브X 문서 COM Structured storage 트랜잭션 서버 이전 버전 Win32 콘솔
관리 도구	백업 및 복원 cmd.exe 제어판 (애플릿) 장치 관리자 디스크 정리 드라이브 최적화 드라이버 확인 프로그램 이벤트 뷰어 관리 콘솔 Netsh 윈도우 오류 보고 Sysprep 시스템 정책 편집기 시스템 구성 작업 관리자 시스템 파일 검사기(SFC) 시스템 복원 윈도우 관리 도구 윈도우 인스톨러 윈도우 파워셸 윈도우 업데이트 WAIK WinSAT 윈도우 사용자 환경 전송
응용 프로그램	계산기 일정 문자표 연락처 DVD 메이커 팩스 및 스캔 인터넷 익스플로러 엣지 저널 메일 돋보기 미디어 센터 윈도우 미디어 플레이어 미팅 스페이스 모바일 장치 센터 모바일 센터 무비 메이커 내레이터 메모장 그림판 사진 갤러리 사용자 정의 문자 편집기 원격 지원 윈도우 데스크톱 가젯 캡처 도구(스니핑 툴) 음성 녹음기 윈도우 음성 인식 윈도우 스토어 워드패드
게임	체스 타이탄스 프리셀 하트 Hold 'Em 구슬 넣기 마이크로소프트 마종 지뢰 찾기 핀볼 퍼블 플레이스 카드놀이 스파이더 카드놀이 팅커
커널	Ntoskrnl.exe hal.dll 시스템 유휴 프로세스 svchost.exe 레지스트리 윈도우 서비스 서비스 제어 관리자 DLL EXE NTLDR / 시동 관리자 윈로그온 복구 콘솔 입출력 WinRE WinPE 커널 패치 보호
서비스	BITS 작업 스케줄러 무선 제로 구성 섀도 복사본 윈도우 오류 보고 멀티미디어 클래스 스케줄러 CLFS
파일 시스템	NTFS 하드 링크 정션 포인트 마운트 포인트 리파스 포인트 심볼 링크 TxF EFS FAT32·FAT16·FAT12 exFAT CDFS UDF DFS IFS ReFS
서버	도메인 액티브 디렉터리 DNS 그룹 정책 로밍 사용자 프로파일 폴더 리다이렉션 MSDTC MSMQ 윈도우 미디어 서비스 권한 관리 서비스 IIS 터미널 서비스 WSUS 윈도우 셰어포인트 서비스 네트워크 액세스 보호 PWS DFS 복제 원격 차등 압축 유닉스 인쇄 서비스 원격 설치 서비스 윈도우 배포 서비스 윈도우 시스템 리소스 관리자 하이퍼-V
구조	NT 시리즈 아키텍처 시작 프로세스 (비스타/7) 입출력 요청 패킷 커널 트랜잭션 관리자 논리 디스크 관리자 보안 계정 관리자 윈도우 파일 보호 / 윈도우 리소스 보호 윈도우 라이브러리 파일 LSASS CSRSS SMSS MinWin
보안	UAC 비트로커 디펜더 DEP 마이크로소프트 시큐리티 에센셜 보호 미디어 경로 Mandatory Integrity Control UIPI 윈도우 방화벽 보안 및 유지 관리 Syskey
호환성	유닉스 하위 시스템 마이크로소프트 POSIX 인테릭스 가상 도스 머신 COMMAND.COM 윈도우 온 윈도우 WoW64 윈도우 XP 모드 리눅스용 윈도우 하위 시스템