189 8069 5689
进程(Process)是具有一定独立功能的程序关于某个数据集合上的一次运行活动，是系统进行资源分配和调度的一个独立单位。程序只是一组指令的有序集合，它本身没有任何运行的含义，只是一个静态实体。而进程则不同，它是程序在某个数据集上的执行，是一个动态实体。它因创建而产生，因调度而运行，因等待资源或事件而被处于等待状态，因完成任务而被撤消，反映了一个程序在一定的数据集上运行的全部动态过程。线程(Thread)是进程的一个实体，是CPU调度和分派的基本单位。线程不能够独立执行，必须依存在进程中，由进程提供多个线程执行控制。从内核角度讲线程是活动体对象，而进程只是一组静态的对象集，进程必须至少拥有一个活动线程才能维持运转。当某个应用程序调用一个创建进程的函数比如CreateProcess或者用户执行某一个程序(其实windows下用户执行一般普通程序是由explorer.exe调用CreateProcess来完成)，操作系统把这个过程分成以下步骤来完成：1.打开将要在该进程中执行的映像文件。2.创建Windows执行体进程对象。3.创建初始线程(栈、堆执行环境初始化及执行线程体对象)。4.通知Windows子系统新进程创建了(子系统是操作系统的一部分它是一个协助操作系统内核管理用户态/客户方的一个子系统具体的进程为Csrss.exe)。5.开始执行初始线程(如果创建时候指定了线程的CREATE_SUSPENDED状态则线程暂时挂起不执行)。6.在新进程和线程环境中完成地址空间的初始化(比如加载必须的DLL和库)，然后开始到进程入口执行。到这里操作系统完成一个新进程的创建过程。下面来看下具体每一步操作系统所做的工作：1.打开将要在该进程中执行的映像文件。首先操作系统找到执行的Windows映像然后创建一个内存区对象，以便后面将它映射到新的进程地址空间中。2.创建Windows执行体进程对象。接下来操作系统调用内部的系统函数NtCreateProcess来创建一个Windwos执行体进程对象。具体步骤是：(1)建立EPROCESS*分配并初始化EPROCESS结构块*从父进程处继承得到进程的亲和性掩码*分配进程的最大最小工作集尺(由两个参数决定PsMinimumWorkingSet PsMaximumWorkingSet)*降新进程的配额块设置为父进程配额块地址，并递增父进程配额块的引用计数*继承Windows的设备名字空间*将父进程进程ID保存在新进程对象的InheritedFormUniqueProcessId中*创建该进程的主访问令牌*初始化进程句柄表*将新进程的退出状态设置为STATUS_PENDING(2)创建初始的进程地址空间*在适当的页表中创建页表项，以映射初始页面*从MmresidentAvailablePage算出进程工作集大小*系统空间的非换页部分和系统缓存的页表被映射到进程(3)初始化内核进程块KPROCESS(4)结束进程地址空间的创建过程(5)建立PEB(6)完成执行体进程对象的创建过程3.创建初始线程(栈、堆执行环境初始化及执行线程体对象)。这时候Windows执行体进程对象已经完全建立完成，但它还没有线程所以无法执行，接下来系统调用NtCreateThread来创建一个挂起的新线程它就是进程的主线程体。4.通知Windows子系统新进程创建了(子系统是操作系统的一部分它是一个协助操作系统内核管理用户态/客户方的一个子系统具体的进程为Csrss.exe)。接下来操作系统通过客户态(Kernel32.dll)给Windows子系统(Csrss)发送一个新进程线程创建的数据消息，让子系统建立自己的进程线程管理块。当Csrss接收到该消息时候执行下面的处理：*复制一份该进程和线程句柄*设置进程优先级*分配Csrss进程块*把新进程的异常处理端口绑定到Csrss中，这样当该进程发生异常时，Csrss将会接收到异常消息*分配和初始化Csrss线程块*把线程插入到进程的线程列表中*把进程插入到Csrss的线程列表中*显示进程启动光标5.开始执行初始线程(如果创建时候指定了线程的CREATE_SUSPENDED状态则线程暂时挂起不执行)。到这里进程环境已经建立完毕进程中开始创建的主线程到这里获得执行权开始执行线程。6.在新进程和线程环境中完成地址空间的初始化(比如加载必须的DLL和库)，然后开始到进程入口执行。到这步实质是调用ldrInitializeThunk来初始化加载器，堆管理器NLS表TLS数组以及临界区结构，并且加载任何必须要的DLL并且用DLL_PROCESS_ATTACH功能代码来调用各DLL入口点，最后当加载器初始化例程返回到用户模式APC分发器时进程映像开始在用户模式下执行，然后它调用线程启动函数开始执行。到这里操作系统完成了所有的创建工作，我们写的程序就这样被操作系统调用运行起来了。
成都创新互联公司自2013年创立以来，先为博白等服务建站，博白等地企业，进行企业商务咨询服务。为博白企业网站制作PC+手机+微官网三网同步一站式服务解决您的所有建站问题。
所谓系统调用，就是内核提供的、功能十分强大的一系列的函数。这些系统调用是在内核中实现的，再通过一定的方式把系统调用给用户，一般都通过门(gate)陷入(trap)实现。系统调用是用户程序和内核交互的接口。
整个系统调用的过程可以总结如下：
1． 执行用户程序(如:fork)
2． 根据glibc中的函数实现，取得系统调用号并执行int $0x80产生中断。
3． 进行地址空间的转换和堆栈的切换，执行SAVE_ALL。（进行内核模式）
4． 进行中断处理，根据系统调用表调用内核函数。
5． 执行内核函数。
6． 执行RESTORE_ALL并返回用户模式
下库函数和系统调用的区别：
人们在长期编程中发现使用系统调用有个重大的缺点，那就程序的移植性，比如说：linux系统提供的系统调用的函数和windows就不一样，2者不单单是实现的方式不同，提供给用户的函数名，参数都不同，这个可以理解。因此一个实现好的程序，利用了linux的系统调用譬如说wait4函数，那么他在windows上编译是通不过的。于是人们想了个办法，就是封装了windows和linux系统调用，给大家一个统一的函数（我习惯叫它接口),那么这样程序的移植性问题就解决了。
所以可以这么认为库函数是对系统调用的封装（不是所有的库函数都是），为的是解决一些公共的问题和提供统一的系统调用的接口，他和系统调用的优缺点就是：系统调用速度是明显要快于库函数（并不一定全部是，但绝大部分是），但系统调用缺乏移植性。库函数速度要慢，但解决了移植问题。这些在开发过程中要根据自己的实际情况来决定使用那一个
兼容内核
有两套
系统调用
（syscalls）及其相应的系统调用表（syscall
table）：一套为Windows系统调用，另一套为Linux系统调用。Windows应用程序通过软中断“int
0x2e”访问系统调用表进行Windows系统调用。