Windows APC机制深入解析

1. APC机制概述

APC(Asynchronous Procedure Call, 异步过程调用)是Windows系统中的一种机制，用于将要在特定线程上下文中完成的作业排队。APC的核心思想是：线程不能被外部直接"杀掉"或"挂起"，而是通过提供函数让线程自己调用。

1.1 基本概念

• 线程控制原理：线程在执行时自己占据CPU，外部无法直接控制。APC通过让线程自己调用指定函数来改变其行为。
• APC队列：每个线程都有两个APC队列(用户APC和内核APC)，存储在_KTHREAD结构的ApcState成员中。

2. APC队列结构

2.1 _KTHREAD相关结构

dt _KTHREAD
nt!_KTHREAD
...
+0x034 ApcState : _KAPC_STATE  // APC状态
+0x138 ApcStatePointer : [2] Ptr32 _KAPC_STATE  // APC状态指针数组
+0x14c SavedApcState : _KAPC_STATE  // 备用APC状态
+0x165 ApcStateIndex : UChar  // APC状态索引
+0x166 ApcQueueable : UChar  // 是否可插入APC

2.2 _KAPC_STATE结构

dt _KAPC_STATE
nt!_KAPC_STATE
+0x000 ApcListHead  // 2个APC队列(用户APC和内核APC)
+0x010 Process  // 线程所属或挂靠的进程
+0x014 KernelApcInProgress  // 内核APC是否正在执行
+0x015 KernelApcPending  // 是否有等待执行的内核APC
+0x016 UserApcPending  // 是否有等待执行的用户APC

3. APC类型

3.1 用户APC与内核APC

• 用户APC：

  • APC函数地址位于用户空间
  • 在用户空间执行
  • 通过QueueUserAPC函数插入

• 内核APC：

  • APC函数地址位于内核空间
  • 在内核空间执行

3.2 APC执行时机

• KiServiceExit函数：系统调用、异常或中断返回用户空间的必经之路
• KiDeliverApc函数：负责执行APC函数

4. 用户APC示例代码

#include <iostream>
#include <Windows.h>

DWORD WINAPI MyThread(LPVOID) {
    int i = 0;
    while(true) {
        SleepEx(300, TRUE);  // Alertable=TRUE允许APC执行
        printf("%d\n", i++);
    }
}

void __stdcall MyApcFunction(LPVOID) {
    printf("Run APCFuntion\n");
    printf("APCFunction done\n");
}

int main(int argc, char* argv[]) {
    HANDLE hThread = CreateThread(0, 0, MyThread, 0, 0, 0);
    Sleep(1000);
    
    if(!QueueUserAPC((PAPCFUNC)MyApcFunction, hThread, NULL)) {
        printf("QueueUserAPC error: %d\n", GetLastError());
    }
    
    getchar();
    return 0;
}

5. APC插入流程

5.1 用户层调用路径

1. QueueUserAPC调用ntdll.dll的NtQueueApcThread
2. 通过系统调用(0xB4)进入ring0
3. 内核函数NtQueueApcThread处理请求
4. 调用KeInitializeApc和KeInsertQueueApc实现APC效果

5.2 KeInitializeApc函数

VOID KeInitializeApc(
    IN PKAPC Apc,               // KAPC指针
    IN PKTHREAD Thread,         // 目标线程
    IN KAPC_ENVIRONMENT TargetEnvironment,  // 0 1 2 3四种状态
    IN PKKERNEL_ROUTINE KernelRoutine,      // 销毁KAPC的函数地址
    IN PKRUNDOWN_ROUTINE RundownRoutine OPTIONAL,
    IN PKNORMAL_ROUTINE NormalRoutine,      // 用户APC总入口或内核APC函数
    IN KPROCESSOR_MODE Mode,                // 用户APC队列或内核APC队列
    IN PVOID Context                        // 内核APC:NULL 用户APC:真正的APC函数
);

5.3 TargetEnvironment参数

6. 备用APC机制

6.1 备用APC的作用

当线程挂靠到其他进程时，为避免APC访问错误的内存空间，系统会将原APC状态保存到SavedApcState中。

• 正常情况：

  • ApcStatePointer[0]指向ApcState
  • ApcStatePointer[1]指向SavedApcState

• 挂靠情况：

  • ApcStatePointer[0]指向SavedApcState
  • ApcStatePointer[1]指向ApcState

6.2 ApcStateIndex寻址

无论什么环境下，ApcStatePointer[ApcStateIndex]指向的都是ApcState，即线程当前使用的APC状态。

7. KAPC数据结构

dt _KAPC
nt!_KAPC
+0x000 Type           // 类型(APC类型为0x12)
+0x002 Size           // 结构体大小(0x30)
+0x004 Spare0         // 未使用
+0x008 Thread         // 目标线程
+0x00c ApcListEntry   // APC队列挂载点
+0x014 KernelRoutine  // 指向释放APC的函数
+0x018 RundownRoutine // 略
+0x01c NormalRoutine  // 用户APC总入口或真正的内核APC函数
+0x020 NormalContext  // 内核APC:NULL 用户APC:真正的APC函数
+0x024 SystemArgument1 // APC函数参数
+0x028 SystemArgument2 // APC函数参数
+0x02c ApcStateIndex  // 挂载队列(0 1 2 3)
+0x02d ApcMode        // 内核APC或用户APC
+0x02e Inserted       // APC是否已挂入队列(0:未挂入 1:已挂入)

8. APC插入流程详解

8.1 KiInsertQueueApc函数流程

1. 根据KAPC结构中的ApcStateIndex找到对应的APC队列
2. 根据KAPC结构中的ApcMode确定是用户队列还是内核队列
3. 将KAPC挂到对应的队列中(挂到KAPC的ApcListEntry处)
4. 将KAPC结构中的Inserted置1，标识已插入状态
5. 修改KAPC_STATE结构中的KernelApcPending/UserApcPending

8.2 APC执行条件

• Alertable=0：插入的APC函数可能不会立即执行(UserApcPending=0)
• Alertable=1：APC会立即执行(UserApcPending=1)，并唤醒目标线程

8.3 不同场景下的APC执行

1. 自身线程插入特殊内核APC：立即触发软中断执行
2. 当前线程插入其他线程的用户APC：
   • 若目标线程处于等待状态，尝试唤醒线程执行APC
   • 否则不立即执行(UserOrNormalKernel=0)
3. 当前线程插入其他线程的内核APC：
   • 若目标线程正在运行，直接触发软中断执行
   • 若目标线程处于等待状态，尝试唤醒线程执行
   • 其他状态不立即执行

9. 总结

APC机制是Windows系统中实现异步操作的核心机制，通过理解其数据结构和执行流程，可以深入掌握Windows线程调度和异步操作处理的原理。关键点包括：

1. 每个线程维护两个APC队列(用户和内核)
2. 线程挂靠时使用备用APC队列保存原APC状态
3. APC插入流程涉及多个内核函数协作
4. APC执行依赖于线程状态和Alertable标志
5. 用户APC和内核APC有不同的执行环境和权限级别