Ntoskrnl.exe

3. 구성 요소

Ntoskrnl.exe는 크게 '에그제큐티브(Executive)'와 '커널(Kernel)' 두 가지 주요 계층으로 구성된다. 에그제큐티브는 상위 계층으로, I/O, 객체 관리, 보안, 프로세스 관리, 프로세스 간 통신(IPC), 가상 메모리, 윈도우 및 그래픽 관리 등을 담당한다. 커널은 하위 계층으로, 스레드 스케줄링, 인터럽트 처리, 지연 프로시저 호출(DPC) 등 기본적인 운영 체제 서비스를 제공한다.

4. 함수

Ntoskrnl.exe의 함수들은 헝가리안 표기법을 사용하여 코딩되어 있으며, 함수명은 해당 구성 요소를 나타내는 접두사(prefix)로 정의된다. 예를 들어 `IoCreateDevice`는 I/O 매니저의 함수이고, `ObReferenceObjectByHandle`은 오브젝트 매니저의 함수임을 알 수 있다. 각 함수의 접두사에 따른 의미는 하위 섹션에서 자세히 설명하고 있다.

4. 1. 주요 함수 접두어

5. 인터럽트 처리

Ntoskrnl.exe는 최신 운영 체제에서 입출력 포트 폴링 대신 인터럽트를 사용하여 장치와 정보를 주고받는다. 인터럽트 테이블은 하드웨어 인터럽트, 소프트웨어 인터럽트 및 예외를 위한 핸들러를 포함한다.^[10]

NT의 인터럽트 처리는 우선순위("IRQL"이라고 함)에 따라 인터럽트를 조건부로 마스크하여, 다양한 커널 구성 요소가 주변 장치 및 기타 장치의 서비스를 반드시 차단하지 않고 중요한 작업을 수행할 수 있게 한다.^[10]

IA-32 버전에서 소프트웨어 인터럽트 핸들러의 예로 IDT 테이블 항목 2E₁₆ (16진법) (10진수로는 46)가 있으며, 어셈블리 언어에서 시스템 호출에 대해 `INT 2EH`로 사용된다. 이 항목은 `KiSystemService`라는 내부 서브루틴을 가리킨다. 최신 버전에서는 `SYSENTER` 명령어를 사용하고 x86-64에서는 `SYSCALL` 명령어를 사용하는 다른 메커니즘이 대신 사용된다.^[10]

5. 1. 인터럽트 처리 과정 (x86 아키텍처)

6. 메모리 관리

Ntoskrnl.exe는 윈도우의 가상 메모리 시스템을 관리한다. 물리적 메모리(RAM)는 페이지(보통 4KB) 단위로 나뉘어 관리되며, 각 페이지는 페이지 테이블 항목이라는 구조에 저장되어 운영체제에 의해 관리되고 프로세서 하드웨어에 의해 접근된다. 페이지 테이블은 트리 구조로 구성되며, 최상위 테이블의 물리적 페이지 번호는 제어 레지스터 3(CR3)에 저장된다.^[41]

가상 주소와 물리적 주소 간의 매핑은 페이지 테이블을 통해 이루어진다.

6. 1. 가상 주소 공간

7. 레지스트리

레지스트리는 "하이브"라고 불리는 여러 개의 파일로 디스크에 저장된다. 시스템 하이브는 부팅 과정 초기에 로드되어 필요한 설정 정보를 제공한다.^[42] 소프트웨어 및 사용자 관련 정보를 제공하는 추가적인 레지스트리 하이브는 시스템 초기화 이후, 그리고 사용자 로그인 이후에 각각 로드된다.

8. 드라이버

장치 드라이버 목록은 `SYSTEM` 레지스트리 하이브 내의 현재 제어 집합 키의 `Services` 키에서 가져온다.^[1] 이 키는 장치 드라이버, 커널 프로세스 및 사용자 프로세스를 저장하며, 이들은 모두 "서비스"라고 불리며 같은 위치에 함께 저장된다.^[1]

초기화 과정이나 드라이버 로드 요청 시 커널은 커널 서비스로 태그된 서비스를 찾기 위해 해당 트리를 탐색한다.^[1]

9. 보안

윈도우 서버 2003 SP1 이후의 64비트 버전 윈도우에는 커널 패치 보호(PatchGuard)라는, 몇 분마다 커널 등의 시스템 구조에 대한 변경을 검사하는 기능이 있다.^[28][29] 변경이 감지되면 윈도우는 블루 스크린으로 전환되어 시스템을 정지시킨다. 그러나 멀웨어 중에는 커널 시작 전에 로드되는 프로그램(부트 섹터 등)에 감염되어 이 보호 기능을 회피하고 커널을 변조하는 부트 키트(Bootkit)라고 불리는 종류가 존재한다.^[30] 이러한 취약점에 대해서는 UEFI의 보안 부팅과 TPM을 이용하여 Root of Trust|신뢰의 근간^영어를 확립하는 것이 유효하다.^[31]

참조

_[1] 웹사이트 Systems Internals Tips and Trivia https://web.archive.[...] SysInternals Information
_[2] 웹사이트 Cache Manager Routines http://msdn.microsof[...] Microsoft Corporation 2009-06-13
_[3] 웹사이트 File System Runtime Library Routines http://msdn.microsof[...] Microsoft Corporation 2009-06-13
_[4] 웹사이트 I/O Manager Routines http://msdn.microsof[...] Microsoft Corporation 2009-06-13
_[5] 웹사이트 Core Kernel Library Support Routines http://msdn.microsof[...] Microsoft Corporation 2009-06-13
_[6] 웹사이트 Power Manager Routines http://msdn.microsof[...] Microsoft Corporation 2009-06-13
_[7] 간행물 Nt vs. Zw - Clearing Confusion On The Native API http://www.osronline[...] OSR Open Systems Resources 2013-09-16
_[8] 웹사이트 struct LOADER_PARAMETER_BLOCK http://www.nirsoft.n[...]
_[9] 서적 Practical Reverse Engineering Using X86, X64, Arm, Windows Kernel, and Reversing Tools. John Wiley & Sons Inc 2014
_[10] 웹사이트 What is IRQL and why is it important? {{!}} Ask the Performance Team Blog https://blogs.techne[...] Microsoft Corporation 2018-11-11
_[11] 서적 Modern operating systems Pearson Prentice Hall 2008
_[12] Wayback Microsoft TechNet : Systems Internals Tips and Trivia http://technet.micro[...] 20080408141752
_[13] 웹사이트 Deeper into Windows Architecture https://blogs.msdn.m[...] マイクロソフト 2007-02-25
_[14] 웹사이트 Cache Manager Routines http://msdn.microsof[...] マイクロソフト 2009-06-13
_[15] 웹사이트 CmRegisterCallbackEx routine (Windows Drivers) https://msdn.microso[...] マイクロソフト 2016-07-10
_[16] 웹사이트 Executive Library Support Routines (Windows Drivers) https://msdn.microso[...] マイクロソフト 2016-07-10
_[17] 웹사이트 File System Runtime Library Routines http://msdn.microsof[...] マイクロソフト 2009-06-13
_[18] 문서 Windows Internals
_[19] 웹사이트 I/O Manager Routines http://msdn.microsof[...] マイクロソフト 2009-06-13
_[20] 웹사이트 Core Kernel Library Support Routines http://msdn.microsof[...] マイクロソフト 2009-06-13
_[21] 웹사이트 Power Manager Routines http://msdn.microsof[...] マイクロソフト 2009-06-13
_[22] 간행물 Nt vs. Zw - Clearing Confusion On The Native API http://www.osronline[...] OSR Open Systems Resources 2013-09-16
_[23] 웹사이트 The Old New Thing : What does the "Zw" prefix mean? http://blogs.msdn.co[...] マイクロソフト 2009-06-13
_[24] 웹사이트 struct LOADER_PARAMETER_BLOCK http://www.nirsoft.n[...] NirSoft 2016-07-10
_[25] 문서 Windows Internals
_[26] 문서 Windows Internals
_[27] 문서 Windows Internals
_[28] 문서 The Rootkit Arsenal
_[29] 웹사이트 Assessment of Windows Vista Kernel-Mode Security https://www.symantec[...] シマンテック 2006-08-09
_[30] 웹사이트 ファイア・アイ、検出が困難で危険なブートキットによりカード決済情報を狙う脅威グループを確認 - FireEye https://www.fireeye.[...] FireEye, Inc. 2015-12-10
_[31] 웹사이트 Modern Bootkit Trends: Bypassing Kernel-Mode Signing Policy http://go.eset.com/u[...] ESET 2016-07-09
_[32] 웹사이트 Systems Internals Tips and Trivia https://web.archive.[...] SysInternals Information
_[33] 웹인용 Cache Manager Routines http://msdn.microsof[...] 마이크로소프트 2016-02-11
_[34] 웹인용 File System Runtime Library Routines http://msdn.microsof[...] 마이크로소프트 2016-02-11
_[35] 웹인용 I/O Manager Routines http://msdn.microsof[...] 마이크로소프트 2016-02-11
_[36] 웹인용 Core Kernel Library Support Routines http://msdn.microsof[...] 마이크로소프트 2016-02-11
_[37] 웹인용 Power Manager Routines http://msdn.microsof[...] 마이크로소프트 2016-02-11
_[38] 저널 Nt vs. Zw - Clearing Confusion On The Native API http://www.osronline[...] OSR Open Systems Resources 2003-08-27
_[39] 웹인용 The Old New Thing : What does the "Zw" prefix mean? http://blogs.msdn.co[...] 마이크로소프트 2016-02-11
_[40] 웹사이트 http://www.nirsoft.n[...]
_[41] 서적 Practical Reverse Engineering Using X86, X64, Arm, Windows Kernel, and Reversing Tools. John Wiley & Sons Inc 2014
_[42] 서적 Modern operating systems Pearson Prentice Hall 2008