windows系统结构

Posted 2023-04-23

参考技术A 分类: 电脑/网络
问题描述:

我很想知道windows内部的各文件几文件夹各有什么，有何作用，他们有什么结构，我该看什么书呢？给小弟推荐几本吧？

解析:

一、文件夹篇

All Users 这里记录的是Window的用户以及这些用户个人设定的开始菜单及桌面等信息。

Command 在这个目录下有着许多的DOS的常用命令，例如debug，

format 等。可别小看这些老廉颇呀，在许多关键时刻还得靠他们哟。

Config 用于存放Windows中硬件配制文件。

Cursors 这是存放Windows光标的目录。

Desktop 除了"我的电脑"、"我的文档"这几个系统图标外其它由程序和文档建立的桌面

快捷方式都会在这里面找到。如果在这里删除某个图标，相应的就会删除桌面上的图标。如

果你在桌面上存放文件得话，实 际也就是存放在这个文件夹。

Downloaded Program Files 该目录存放上网下载东东时的临时文件。

Favorites 存放收藏夹的内容。

Fonts 这是存放 Windows的字体文件的目录。要安装某种字体只需将字体文件直接复制

到该目录下即可。

Help 存放Windows帮助文件。

History 默认状态时可以保留你近二十天来的IE操作记录。

Media 这里存放着Windows系统的声音文件，像Windows启动结束时发出的微软招牌音乐

Microsoft Sound等都存放于此。

Offline Web Pages 这里存放着用于离线浏览的文件。

Recent 这是对应开始菜单中文档菜单下的文档调用历史记录。 它会把你最近打开的文

档和图片的路径记录下来，方便用户快速打开最近使用的文档。

SendTo 这个目录对应的是对文件使用"发送到"命令时的"目的地"。 你可以在里面为常

用的文件夹添加快捷方式，以后再复制文件时就不必抓着鼠标到处找了。

Start Menu 对应Windows的开始菜单，可以直接在改目录对开始菜单进行管理。

Start Menu\Programs 开始菜单的程序。

Start Menu\Programs\启动 自动运行。

INF INF驱动程序脚本文件夹。

OTHER INF其它驱动程序脚本文件夹。

Wallpaper 网页背景文件夹。

SYSBCKUP 系统文件备份文件夹。

System和System32 这是两个很重要的系统文件夹，存放Windows的系统文件和硬件驱动

程序等重要信息。

Tasks 这里对应的 Windows的计划任务，添加的任务都会在这里面找得到。

Temp 主要用于存放执行解压缩、安装程序等操作时产生的临时文件的目录。要注意清理，避免临时文件长期占用硬盘空间。

Temporary Inter Files 也是存放临文件的目录，不同的是它存放的是浏览网页时产生的临时文件。它可以加快网页的浏览速度，但太多很占空间的，要定期清理。

Web 这是存放一些与Web相关的东西。在资源管理器中按Web查看时浏览栏中的蓝天白云的图片，屏幕保护程序中的频道屏幕保护程序，以及IE浏览中找不到服务器时的Web页等都存放在这里。

Application Data 应用程序数据目录。

二、文件篇

Arp.exe TCP/IP地址解析工具。

Asd.exe 自动跳过驱动程序 。利用该程序 可以检查系统在启动过程中的错误并能提供相应的解决方案。在系统出现严重问题时，可检测引发故障的原因，并能选择是否跳过其认为是"罪魁祸首"的驱动程序。

Calc.exe 计算器。

Cdplayer.exe Windows自带的CD播放器。

Charmap.exe 字符映射表。如果想在"记事本"中输入类似"①"的 符号，利用字符映射表就可以方便解决。

Cleanmgr.exe 磁盘清理程序。当你的磁盘空间不够时，用该程序可以帮助你快速地清除磁盘上的垃圾文件。

Clipbrd.exe 剪贴板查看程序。如果剪贴板上的内容过大过多，则会占用大量的内存。利用该程序可以查看和删除剪贴板中的内容。

Clspack.exe Windows的打包软件。用此工具可以将文件进行压缩。

Control.exe 调用〔控制面板〕程序。使用时不带参数可起动〔控制面板〕，若利用命令行在其后跟上某个控制项目文件名（.cpl类型，在System目录中能找到），将打开具体的控制项，如果再空一格并加上以逗号开头的数字代码，则可直接进入具体控制项的某一栏（控制项首栏数字代码是0)。例：在〔运行〕命令行输入Control desk.cpl ,3后，将调出〔显示〕属性/设置〕 窗口。有了它，在编写自己的程序时，哪怕是最简单的批处理程序，都能轻松地打开〔控制面板〕完成系统设置的调整。这比起晦涩难懂的RunDll32.exe来，要容易得多。

Cvtaplog.exe 磁盘碎片整理助手。

Defrag.exe 碎片整理程序。运行该程序可以消除选定分区中的磁盘碎片。

Dialer.exe电话拨号程序。运行该程序可打开"电话拨号程序"窗口。

Directcc.exe直接电缆连接程序。使用直接电缆连接，可以方便快捷地在两台计算机之间直接利用串口和并口连接。

Drvspace.exe磁盘空间管理程序。运行该程序可对磁盘进行压缩和解压缩操作。

Drwatson.exe 华生医生(Dr.Watson)，每当发生系统错误时能对系统拍取快照进行诊断，并可截获软件错误和提供详细的错误原因说明，还可就诊断的问题提出操作建议。这是 Win98自带的系统诊断程序，设计该程序的初衷，主要是为了帮助微软技术人员，远程为你维护系统。运行它后，任务栏右下角出现了"医生"的图标（就是那个头带听诊器，装腔作势的"老外"），"狠击"它两下，立刻会跳出个忙碌的窗口，为你的"爱姬"检查身体。很快一张报告出来了，这便是当前时刻你的系统快照。其中包含有正在运行的任务、驱动程序、已加载的16位模块三类软件环境信息，实际上是〔系统信息〕（Msinfo32.exe）所提供资料的简化版。它的优势在于方便迅速，并能存为日志文件（.wlg扩展名），有利于前后对比查验系统存在的问题。

DVDPLAY.EXE DVD播放程序

DXDIAG.EXE DirectX 诊断工具程序。

Emm386.exe 扩展内存管理程序。

Explorer.exe 资源管理器。运行该程序将启动"资源管理器"。

Extrac32.exe CAB文件包释放程序。用此文件，可以将CAB文件包中的文件释放出来。

Fontview.exe 字体查看程序。利用该程序，可以查看指定的Windows中安装的字体文件。命令行中跟上字体文件名（FON或TTF类型），可查看各种字体的样式范例。系统中所有字体文件的打开都是默认与它关联的。

Freecell.exe 空当接龙游戏。

Ftp.exe 文件传输程序。

Grpconv.exe 组文件转换工具。可把Win3X下的组文件（GRP扩展名），转换成Win98〔开始〕菜单中〔程序〕项下的文件夹，各个组项目也改头换面，成了文件夹中的快捷方式。

Hh.exe 帮助查看程序。

Ieshwiz.exe 自定义文件夹向导。Win98中你可对每个文件夹都设置其特有的外观式样，编辑文件夹的背景图案、文字颜色等内容，丰富自己系统的个性特征。它与资源管理器〔查看〕菜单中的〔自定义文件夹...〕项是对应的。

IMEGEN.EXE 具输入法生成器

Internat.exe 输入法切换程序。该程序常驻内存，运行后会在任务栏右下角出现熟悉的输入法字样。

Ipconfig.exe DOS环境下的TCP/IP配置程序。可以在DOS环境下查看和修改TCP/IP的配置情况。

IsUninst.exe 卸载程序。执行该程序，可以安全卸载Windows中的程序和与其相关的组件。

Kodakimg.exe Windows中的图像查看程序，运行该程序可以浏览多种格式的图形文件。

Mem.exe DOS内存状况查看程序。运行此程序可以在MS－DOS窗口中查看当前运行的程序占用物理内存的情况。

Mplayer.exe 媒体播放机。运行该程序可以打开媒体播放器对话框，

播放VCD或AVI等程序。

Mkpat.exe 强制兼容程序。微软设计Win9X时，考虑最多的问题恐怕就是兼容性了，以至于宁可牺牲部分32位程序性能，也要保证对传统软件最大限度的兼容。现在想想，这个程序之所以没有被放在明处，也许是微软非常自信系统的兼容性，觉得此东西用不着了吧！该工具的用法是：当某个以前版本的Windows程序（主要是Win3X下的16位程序）无法运行或运行不稳定时，能提供众多可选项，用来调整其运行方式和运行环境，使之可正常使用，当然这是以放弃不少先进特性为代价的。

MSCONFIG.EXE 系统启动配置程序。这是个非常有用的"好东东"，建议有基础的朋友为它在开始菜单中设个快捷方式。通过它，在Autoexec. bat、Config.sys、System.ini、Win.ini四个重要文件中，你可直接修改乃至创建新内容，而且对这些文件中的每一行，以及在注册表里注册为启动时运行的每一项，都能逐个选择是否禁止；该程序还为更高级用户准备了12个选项，可用于解决一些软、硬件兼容性问题。这个工具的另一大优点是，能方便地备份和还原启动配置，对被用户禁止的内容也不删除，只是加上特定标记暂且停用，以利于日后恢复，安全性很高。

Mshearts.exe 网上红心大战游戏。

msimn.exe Outlook Express 程序。

Net.exe 利用此工具可以查看本机的有关网络配置。

NETCONN.EXE 家庭网络向导

Notepad.exe 记事本。运行该程序进入"记事本"编辑窗口。

Pbrush.exe 画图程序。利用该程序可进入"画图"编辑窗口进行绘画操作。

Progman.exe 程序管理器。运行该程序可编辑已存在的程序组或创建新的程序组。

Ping.exe DOS工作方式的IP地址查寻工具。除能检测指定IP地址是否可连接外，还有一个用处是：当登录服务器后，长时间无数据传输，为防止因超时而被对方断线，可不停地"Ping"它，达到强制连接某个主机的目的。此程序用法能在DOS窗口中查看到。

Regedit.exe 注册表编辑器。使用该程序可对Windows注册表进行查看和修改。

Rsrcmtr.exe 资源状况工具。利用此工具可以监视程序目前使用的系统资源。

Scandskw.exe 磁盘扫描程序，可以发现并修复磁盘表面和磁盘上的 数据错误。

Scanregw.exe 注册表检查与备份程序。执行该程序，可以检查注册 表中的错误，如检查正确，将提示用户对注册表进行备份。是Windows\Command目录下Scanreg.exe的32位版本，可用于检查和备份注册表。修改Scanreg.ini文件中关键字Backup与Optimize的值，可决定是否备份与优化注册表（1为是；0为否）；修改MaxBackupCopies的值，可选择保留备份的个数，备份的CAB压缩包同时还保存System.ini和Win.ini两文件）；修改BackupDirectory的值，可指定备份压缩包存放的路径；用"Files= 〔目录代码，〕文件名1，文件名2，..."的形式能添加需备份的文件，其中"目录代码"有10、11、30等，分别对应Windows目录、System目录 及启动盘根目录。请最好加上"目录代码"，否则可能会因找不到目标，只有放几个空文件进压缩包。这个程序可用"/autorun"参数使其在后台最小化运行，可用"/backup"参数使其在后台自动备份。

Setver.exe MS－DOS版本设置程序，用于查看程序的 DOS版本号并能删除指定的DOS版本。

Smartdrv.exe 虚拟缓存设置程序，可以把内存设置为虚拟缓存，从而提高数据的读写速度。

Sndrec32.exe 录音机。在连接了音频设备的前提下，使用该程序可 以进行录音操作，录下的文件(.wav)可以在录音机和媒体播放器中播放。

Sndvol32.exe 音量调节程序。执行该程序，可以调节声音的大小和 均衡。

Sol.exe 纸牌游戏。

Sy *** on.exe 系统监视器。运行该程序，可以监测系统当前的资源使用状况，如CPU的占用率、内存的使用情况等系统数据。

SYSEDIT.EXE 系统配置编辑程序。专门用来编辑Autoexec.bat、Config .sys、System.ini、Win.ini及Protocol.ini五个系统文件。

Systray.exe 音频控制常驻内存程序。运行它就会出现大家熟悉的任务栏小喇叭图标，能用来调整音量和打开音频属性对话框。

Taskman.exe 任务工具，可用于查看当前正在运行的程序，也可运行

需要执行的程序。

Taskmon.exe 任务监视器，它的功能是监视程序的执行情况并随时报告。能够监测所有在任务栏中以窗口方式运行的程序，可打开和结束程序，还可直接调出关闭系统对话框。

Tel.exe 该程序主要用于连接远程计算机。

TLOCMGR.EXE 电话语音位置管理员。常驻内存程序，运行后有任务栏小图标，可方便的启动电话拨号程序和调整拨号属性。

Tour98.exe 漫游Windows me程序。这是一个 Windows me的学习程序，初学者不妨用用。

Tuneup.exe 维护向导程序。维护向导调整你的计算机进入最佳状态，通过它可以设置定期执行"磁盘扫描程序"、"磁盘整理程序"和"磁盘清理程序" 等来维护计算机。

wab.exe 通讯簿管理程序。

wabmig.exe 通讯簿导入程序。

Wele.exe 欢迎进入Windows的程序，能完成注册、连接Inter、维护计算机等功能，并可以设置为每次开机后显示。

Winfile.exe 文件管理器。运行该程序可以查找、查看文件和文件夹，显示文件信息，并对文件和文件夹的操作等。

Winhelp.exe Windows的帮助信息。

Wininit.exe 软件安装处理程序。它只能在实模式下运行，系统每次启动时都会运行它，用于检查Windows目录中是否有 Wininit.ini文件(该文件是新装软件为了删除或替换一些在保护模式下无法修改的内存驻留程 序，而建立的信息文件)。 若有，则通过其中记录的内容，系统能自动完成软件的最后安装。Wininit.ini处理完后会被更名为Wininit.bak，用记事本打开，你可很容易了解到新装软件更动了哪些系统驻留文件（如：DLL、EXE、DRV等）。

Winipcfg.exe与Ipconfig.exe 网络IP配置查询器的32位与16位版本。可检测本机当前的如IP地址、子网掩码等网络配置方面的详细信息。

Winmine.exe 扫雷游戏。

Winrep.exe Windows报告工具。主要用于向Microsoft公司报告Windows 故障等情况。它能自动收集系统中一些相关信息，引导你写出规范的"情况汇报"，交给微软技术人员，使他们远程为你解决实际问题，当然这也是为完善和改进Windows系统收集资料。

Winver.exe Windows版本信息。

Write.exe 写字板。

EUDCEDIT.EXE 造字程序

RSTRUI.EXE 系统还原

MSINFO32.EXE 系统信息

PINBALL.EXE 桌上弹球游戏

SPIDER.EXE 蜘蛛纸牌

HRTZZM.EXE Inter 红心后

RVSEZM.EXE Inter 翻转棋

SHVLZM.EXE Inter 黑桃王

BCKGZM.EXE Inter 双陆棋

CHKRZM.EXE Inter 跳棋

(注：以上这些文件分布在c:\windows,c:\windows\mand,c:\winwows\systemc:\,C:\Program Files\等不同的目录下，如不清楚其位置，可用搜索命令查找。)

三 启动篇

别忘了，在安装系统时系统提示过制作一张启动盘．这里都有些啥呢？平常用不着，在关键时可特管用。 安装时没制作也不要紧，可按以下步骤制作：a) 在桌面上点击"开 始"

，选择"设置"，并打开"控制面板"；b) 双击"添加/删除程序"；c) 你会看到上方有3个标签，最右面的一个写着"启动盘"。点击这个标签，然后你会看到一个建立启动盘的按钮。你需要一张软盘储存在建立启动盘过程中的一切重要文件；d) 把一张空白的软盘放进软驱，然后单击该按钮。现在已经完成了，你可以看到1.44MB的磁盘空间已经使用了1.15 MB。

ASPICD.SYS SCSI光驱的的ASPI驱动程序。（必须先运行aspi_dos驱动程序，这个文件只对于那些使用SCSI的用户有用）

Autoexec.bat 系统启动时自动运行的批处理文件。

CDSETUP.exe DOS声卡驱动程序带的旧文件。

COMMAND.COM 系统启动所必须的文件。（不要删除）

CONFIG.SYS 用于载入设备驱动程序的配置文件。

DEFRAG.EXE 用于DOS下清楚碎片的文件。

DELTREE.EXE 删除目录的命令。

DISCOPY.COM 磁盘复制的命令。

DRVSPACE.BIN 当你制作启动盘的时候，Windows自动生成的文件。

EDIT.COM 用于在DOS下进行编辑的命令文件。

FDISK.EXE 用于硬盘分区的命令文件。

FIND.EXE 在文件、路径或者是驱动器中查找字符的命令。

formAT.COM 用于格式化的文件。（例如：format c:，该命令有很多参数。）

IO.SYS 启动时必须的系统文件。（不要删除）

MORE.COM 列出更多的参数。(例如：dir | more，"|"在这里叫管道。)

MOUSE.COM 鼠标驱动程序文件。（我并不使用该文件，但保留着以防万一要用上）

MSCDEX.EXE 光驱的DOS文件。

MSDOS.SYS 当你制作启动盘的时候，Windows自动生成的文件。

SBCD.SYS 通用的DOS光驱驱动程序。（我是从我的Creative光驱得到的，它适用于大部分光驱。）

SBIDE.SYS 旧款声卡的DOS CD驱动程序。（不会有用）

SCANDISK.EXE 用于硬盘扫描的命令。

SCANDISK.INI 执行SCANDISK.EXE所需要的文件。 SGIDECE.SYSDOS的CD文件。（你不会用上）

XCOPY32.EXE 把文件从一个位置复制到另一个位置的命令。

其中文件ERD.cab，在启动时自动解压到虚拟盘中，它们是DOS最经典

最常用的外部命令，这里就不用解释了。

ATTRIB.EXE

CHKDSK.EXE

DEBUG.EXE

EDIT.COM

EXT.EXE

formAT.COM

HELP.BAT

MSCDEX.EXE

SCANDISK.EXE

SCANDISK.INI

SYS.COM

上面文件笔者认为有一定实用价值的可执行程序，它们大多数是不请不出山的"隐士"，虽然也有一些被集成在其它工具中，但对号的具体程序名却鲜为人知。找到了它们，就会减少一份对Win me 系统的神秘感；就能在自己的软件里方便自如地调用有些系统功能。对广大初学编程的朋友来说，这绝对是种十分惬意的感觉。

四、开始→运行→命令集锦

gpedit.msc-----组策略 sndrec32-------录音机

Nslookup-------IP地址侦测器 explorer-------打开资源管理器

logoff---------注销命令 tsshutdn-------60秒倒计时关机命令

lusrmgr.msc----本机用户和组 services.msc---本地服务设置

oobe/msoobe /a----检查XP是否激活 notepad--------打开记事本

cleanmgr-------垃圾整理 start messenger----开始信使服务

pmgmt.msc---计算机管理 stop messenger-----停止信使服务

conf-----------启动 meeting dvdplay--------DVD播放器

charmap--------启动字符映射表 diskmgmt.msc---磁盘管理实用程序

calc-----------启动计算器 dfrg.msc-------磁盘碎片整理程序

cdsk.exe-----Cdsk磁盘检查 devmgmt.msc--- 设备管理器

regsvr32 /u *.dll----停止dll文件运行 drwtsn32------ 系统医生

rononce -p ----15秒关机 dxdiag---------检查DirectX信息

regedt32-------注册表编辑器 Msconfig.exe---系统配置实用程序

rsop.msc-------组策略结果集 mem.exe--------显示内存使用情况

regedit.exe----注册表 winchat--------XP自带局域网聊天

progman--------程序管理器 winmsd---------系统信息

perfmon.msc----计算机性能监测程序 winver---------检查Windows版本

sfc /scannow-----扫描错误并复原 taskmgr-----任务管理器（2000／xp／2003）

五、系统进程篇

注意:系统的进程列表 新手的重点~

进程名 描述最基本的系统进程（也就是说，这些进程是系统运行的基本条件，有了这些

进程，系统就能正常运行）

*** ss.exe Session Manager

csrss.exe 子系统服务器进程

winlogon.exe 管理用户登录

services.exe 包含很多系统服务

lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安

全驱动程序。(系统服务)

产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务)

svchost.exe 包含很多系统服务

svchost.exe

SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务)

explorer.exe 资源管理器

internat.exe 托盘区的拼音图标

附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少）

mstask.exe 允许程序在指定时间运行。(系统服务)

regsvc.exe 允许远程注册表操作。(系统服务)

winmgmt.exe 提供系统管理信息(系统服务)。

iinfo.exe 通过 Inter 信息服务的管理单元提供 FTP 连接和管理。(系统服务)

tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台程序。(系统服务)

允许通过 Inter 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务)

tftpd.exe 实现 TFTP Inter 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务)

termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000

Professional 桌面会话以及运行在服务器上的基于 Windows 的程序。(系统服务)

dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务)

以下服务很少会用到，上面的服务都对安全有害，如果不是必要的应该关掉

tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows

2000 Professional 的能力。(系统服务)

支持以下 TCP/IP 服务：Character Generator, Daytime, Discard,

Echo, 以及 Quote of the Day。(系统服务)

i *** serv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务)

ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务)

wins.exe 为注册和解析 NetBios 型名称的 TCP/IP 客户提供 NetBIOS

名称服务。(系统服务)

llssrv.exe License Logging Service(system service)

ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务)

RsSub.exe 控制用来远程储存数据的媒体。(系统服务)

locator.exe 管理 RPC 名称服务数据库。(系统服务)

lserver.exe 注册客户端许可证。(系统服务)

dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务)

clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。(系统服务)

msdexe 并列事务，是分布于两个以上的数据库，消息队列，文件系统，

或其它事务保护资源管理器。(系统服务)

faxsvc.exe 帮助您发送和接收传真。(系统服务)

cisvc.exe Indexing Service(system service)

dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务)

mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务)

dde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务)

*** logsvc.exe 配置性能日志和警报。(系统服务)

rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地

通信控制安装功能。(系统服务)

RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务)

RsFsa.exe 管理远程储存的文件的操作。(系统服务)

grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务)

SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务)

snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务)

snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将

消息传递到运行在这台计算机上 SNMP 管理程序。(系统服务)

UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务)

msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务)

windows系统的对象管理

windows中的对象和高级编程语言中所说的对象还欧区别，准确来讲，windows中的对象其实指的是一种数据结构并且是一种带着“对象头（object head）” 的数据结构！

 所以windows中的对象可以基本分为三个部分：对象头、基本对象结构、可选部分！

 对象数据结构 可以如图所示  

objectheader结构定义

 1 lkd> dt _object_header
 2 nt!_OBJECT_HEADER
 3 +0x000 PointerCount : Int4B
 4 +0x004 HandleCount : Int4B
 5 +0x004 NextToFree : Ptr32 Void
 6 +0x008 Lock : _EX_PUSH_LOCK
 7 +0x00c TypeIndex : UChar
 8 +0x00d TraceFlags : UChar
 9 +0x00e InfoMask : UChar
10 +0x00f Flags : UChar
11 +0x010 ObjectCreateInfo : Ptr32 _OBJECT_CREATE_INFORMATION
12 +0x010 QuotaBlockCharged : Ptr32 Void
13 +0x014 SecurityDescriptor : Ptr32 Void
14 +0x018 Body : _QUAD

                                          

而创建对象后就会返回句柄，相关进程可以通过句柄来使用此对象，所以对象可以有名和可以无名。

但是大部分情况，对象还是需要名字的，有名对象的组织就成了一个问题！

在windows中通过OBJECT_DIRECTORY目录对项来管理！

我们看下OBJECT_DIRECTORY结构：

1 lkd> dt _object_directory
2 nt!_OBJECT_DIRECTORY
3 +0x000 HashBuckets : [37] Ptr32 _OBJECT_DIRECTORY_ENTRY
4 +0x094 Lock : _EX_PUSH_LOCK
5 +0x098 DeviceMap : Ptr32 _DEVICE_MAP
6 +0x09c SessionId : Uint4B
7 +0x0a0 NamespaceEntry : Ptr32 Void
8 +0x0a4 Flags : Uint4B

对象目录是由多个节点连接而成的树状结构（不考虑符号连接），树的根是一个目录对象，且树中的每个节点都是对象。除根节点之外，所有的中间节点都必须是目录对象或者符号链接对象（OBJECT_SYMBOLIC_LINK对象），普通的对象只能成为叶节点

看OBJECT_DIRECTORY结构中的第一个元素，是一个OBJECT_DIRECTORY_ENTRY结构指针数组，灭个指针用来维系一个目录项结构的队列，注意，除根节点外，每一个对象都需要借助于目录项结构才能插入目录！

1 lkd> dt nt!_object_directory_entry
2 +0x000 ChainLink : Ptr32 _OBJECT_DIRECTORY_ENTRY
3 +0x004 Object : Ptr32 Void
4 +0x008 HashValue : Uint4B

 

第一个元素仍然指向一个object_directory_entry结构，Object是其连接的对象。

                

 

由上图可以看到目录项可以和具体的普通对象结合插入对象目录，也可以和目录节点对象结合又形成一个目录。

分析下上面的图：

根节点是一个目录对象，主体是一个HASH表，这里只表现了其中的两个队列，每一个队列上的目录项（对象）具有相同的HASH值，结合具体的文件便可以轻松理解！