UEFI下windows启动过程

Posted 2020-10-26 Fatt

引导文件 
在UEFI安装完操作系统后，Windows至少使用两个分区，一个叫做ESP分区（EFI SYSTEM PARTITION），用于存放启动文件，另一个则是Bios下正常的系统分区，不同的是，BIOS下引导文件是winload.exe，UEFI下引导文件式winload.efi，两者都是pecoff格式的，但UEFI用的是各种固件接口，而BIOS使用的是中断。有时还会有一个MSR分区，不过这个分区并不重要，实验可以删除。 
安装完成后，Windows还会将自己的启动管理器的信息写入固件的优先启动项中，这样在BDS阶段，固件会默认引导Windows启动管理器。默认情况下，UEFI固件加载的启动文件式EFI\BOOT\bootx64.efi(bootia32.efi)，而Windows强制写入的启动项则会加载EFI\MICROSOFT\BOOT\bootmgfw.efi，这两个文件其实是一模一样的文件。 
注册表项 
系统安装完成后，安装程序会将引导信息保存在ESP中的BCD文件中，路径为EFI\microsoft\boot\BCD，BCD文件是一个注册表巢文件，反应到注册表里就是LOCAL_MACHINE下的BCD00000000，一般情况下hivelist是不导入这个文件的，我们可以在regedit中手工导入这个文件来查看。现在可以通过BOOTICE和REGEDIT一起看来理解这个文件。在Object下面是所有的启动ENTRY，每个ENTRY用一个GUID值标识。 
 
每个ENTRY下有一个Description和Elements，其中Description就是这个ENTRY的描述信息，而Elements则是一系列键值对，其中键用一个数字表示，比如12000004就是引导名称，而1100001则是引导位置信息，这个键值对在BOOTICE中就表现位右边那一栏。 
 
 
引导定位 
现在分析这个1100001，选择完要启动的操作系统后，启动管理器就是从这个键值对来确定加载哪个分区的winload.efi。打开DiskGenius，点击系统分区，看它的分区GUID，可以看出0x20处的16字节是分区GUID，而0X38开始的16字节则是硬盘GUID。 
在UEFI系统中，各种设备使用设备路径来标识，比如分区的路径可能就是pcicontroller()/pci(0,1)/sata(0,0,0)/hd(2，分区GUID，起始地址，结束地址)。 
 
而对于Windows的loader来说，它只需要一个满足这样条件的设备路径就可以从那个设备启动：倒数第二个设备安装有EFI_BLOCK_IO_PROTOCOL，这样它就可以读取磁盘GUID来和0x38处的值进行比较，而倒数第一个设备是个分区设备（MSG_DP_TYPE），loader会通过这个设备的GUID和注册表中的进行比较来确定启动分区，这两个都匹配，那么Windows便会加载一个小型的NTFS文件系统，然后尝试着从那个分区设备中加载12000002也就是BOOTICE中ApplicationPath指定的引导文件。 
启动过程 
启动管理器（bootxxx.efi）会首先加载BCD文件，从BCD中读取所有启动项，如果有多个启动项并且没有默认启动项就会有一个菜单来显示，当用户选中其中某个启动项后，启动管理器就会从对应的分区（通过分区GUID）中读取winload.efi，如果这时找不到winload.efi，或者winload.efi签名校验失败，就会蓝屏0xc000000e，即找不到引导文件，加载完winload.efi后，控制权就正式交给winload.efi。 
Winload.efi做的第一件事就是通过BootService的GetMemoryMap提供的物理内存信息来构造页表以及PFN数据库，然后将ntoskrnl，hal以及SYSTEM\Service下的所有Boot型驱动以及他们需要的导入库读取加载到内存中，因为此时还是保护模式下，所以需要页表中建立这些文件的映射信息。（在IA32e下的UEFI开机后是会默认开启分页的，但是虚拟内存和物理内存是1：1映射的，所以进了Windows内核后不可能还用原来的地址）读取完成后，会对这些文件进行签名校验，如果校验失败，那么会蓝屏INACCESSIBLE_BOOT_DEVICE，即启动设备无效。这一步完成后，Windows会进一步初始化GDT和IDT，然后在页表中分配内核堆栈，初始化SystemPTE。最后调用ExitBootService退出引导阶段，调用SetVirtualAddress将EFI部分固件内存映射到虚拟内存，然后把页表基址载入CR3寄存器，开启分页并跳转到ntoskrnl的KiSytemStartup进入内核。