CSRSS 系统分析

CSRSS 系统分析概述CSRSSClient Server Runtime Subsystem客户端/服务器运行时子系统是 ReactOS 中实现Win32 子系统服务器端的关键进程。它通过 LPC本地过程调用接收用户态应用程序的 Win32 API 调用进程/线程管理、控制台、硬错误等并提供相应的服务。1. CSRSS 启动过程1.1 SMSS 启动 CSRSS文件[smsubsys.c#L243](file:///d:/reactos/base/system/smss/smsubsys.c#L243)SMSS → SmpLoadSubSystem(Windows csrss.exe) ├─ 1. SmpExecuteImage(csrss.exe) ← 创建进程 (挂起) ├─ 2. 等待 CSRSS 通过 \SmApiPort 连接 │ └─ SmpHandleConnectionRequest() │ ├─ NtAcceptConnectPort() │ ├─ NtCompleteConnectPort() │ └─ NtConnectPort(SbApiPort) └─ 3. NtResumeThread(CSRSS_Thread) ← 恢复运行由于 CSRSS 是本机映像IMAGE_SUBSYSTEM_NATIVE它可以在 Win32 子系统本身可用之前启动直接在原生模式下运行。1.2 CSRSS 入口点 _main文件[csrss.c#L37](file:///d:/reactos/subsystems/csr/csrss/csrss.c#L37)_main(VOID){// 1. 设置基础优先级NtSetInformationProcess(NtCurrentProcess(),ProcessBasePriority,Priority,sizeof(Priority));// 2. (x86) 授予 IOPL 权限以访问 VGA 寄存器CsrpSetProcessIOPL();// ★ 3. 核心初始化 (CSRSRV)CsrServerInitialization();// 4. 禁用硬错误弹窗CsrpSetDefaultProcessHardErrorMode();// 5. 在会话 0 中标记为关键进程if(SessionId0)RtlSetProcessIsCritical(TRUE);// 6. 主线程退出 —— CSRSS 通过 API 请求线程保持存活NtTerminateThread(NtCurrentThread(),STATUS_SUCCESS);}_main在第 78 行调用CsrServerInitialization()主线程在第 93 行退出。CSRSS 的生命周期由CsrApiRequestThreadLPC 监听线程维持。2. CsrServerInitialization — 核心初始化文件[csrsrv/init.c#L1009](file:///d:/reactos/subsystems/csr/csrsrv/init.c#L1009)这是 CSRSS 最核心的初始化函数顺序执行 11 个步骤CsrServerInitialization() │ ├─ 1. 缓存系统基本信息 (SystemBasicInformation) │ ├─ 2. CsrHeap RtlGetProcessHeap() │ ├─ 3. CsrSetProcessSecurity() ← 保护 CSRSS 进程 │ ├─ 4. CsrInitializeNtSessionList() ← 初始化 NT 会话列表 │ ├─ 5. CsrInitializeProcessStructure() ← 初始化根进程 │ ├─ 分配 CSR 根进程 (CsrRootProcess) │ ├─ 初始化进程锁 │ ├─ 初始化线程哈希表 (0x200 条目) │ └─ 初始化等待锁 │ ├─ 6. CsrParseServerCommandLine() ← ★ 解析注册表命令行 │ 从注册表读取: │ ├─ ObjectDirectory \Windows │ ├─ SubSystemType 0 (Windows) │ ├─ MaxRequestThreads 期望线程数 │ ├─ SharedSection 共享节大小 │ └─ ServerDll 条目 要加载的服务器 DLL │ ├─ basesrv:BaseServerDllInitialization,1 │ ├─ winsrv:UserServerDllInitialization,3 │ └─ winsrv:ConsoleServerDllInitialization,2 │ ├─ 7. CsrInitCsrRootProcess() ← 初始化每个 DLL 的进程数据 │ 对每个 ServerDll: │ ├─ LoadLibrary(ServerDll) │ ├─ 调用初始化入口点 → 注册 DispatchTable │ ├─ 分配每进程数据 │ └─ 调用 NewProcess 回调 │ ├─ ★ 8. CsrApiPortInitialize() ← ★ 创建 LPC API 端口 │ ├─ ★ 9. CsrSbApiPortInitialize() ← ★ 创建 SB 端口 (SMSS 回连) │ ├─ 10. SmConnectToSm() ← ★ 连接到 SMSS │ └─ 11. NtSetDefaultHardErrorPort(CsrApiPort) ← CSRSS 处理硬错误3. CSR API 调度机制3.1 双 LPC 端口架构┌──────────────────┐ ┌──────────────────┐ │ CSRSS │ │ 客户端 │ │ │ │ (app.exe) │ │ \Windows\ApiPort│◄──LPC────┤ kernel32.dll │ │ (CsrApiPort) │ │ CsrClientCall..│ │ │ └──────────────────┘ │ \Windows\SbApiPo│◄──LPC────┤ SMSS │ │ (CsrSbApiPort) │ └──────────────────┘ └──────────────────┘端口用途客户端\Windows\ApiPort接收 Win32 API 调用所有 Win32 进程通过 kernel32/ntdll\Windows\SbApiPort接收 SMSS 的 SB APISMSS3.2 API 消息格式文件[csrmsg.h#L100](file:///d:/reactos/sdk/include/reactos/subsys/csr/csrmsg.h#L100)typedefstruct_CSR_API_MESSAGE{PORT_MESSAGE Header;union{CSR_API_CONNECTINFO ConnectionInfo;struct{PCSR_CAPTURE_BUFFER CsrCaptureData;CSR_API_NUMBER ApiNumber;// ★ API 编号NTSTATUS Status;ULONG Reserved;union{CSR_CLIENT_CONNECT CsrClientConnect;ULONG_PTR ApiMessageData[39];// 数据填充}Data;};};}CSR_API_MESSAGE;3.3 API 编号编码文件[csrmsg.h#L35](file:///d:/reactos/sdk/include/reactos/subsys/csr/csrmsg.h#L35)// API 编号 (ServerId 16) | ApiId#defineCSR_CREATE_API_NUMBER(ServerId,ApiId)\(((ServerId)16)|(ApiId))#defineCSR_API_NUMBER_TO_SERVER_ID(ApiNumber)((ApiNumber)16)#defineCSR_API_NUMBER_TO_API_ID(ApiNumber)((ApiNumber)0xFFFF)编号空间分配API 编号 (32 位): ┌─────────────────┬──────────────────────┐ │ ServerId (16) │ ApiId (16) │ ├─────────────────┼──────────────────────┤ │ 0 CSRSRV │ ApiBase..ApiMax │ │ 1 basesrv │ 0..31 │ │ 2 consrv │ 512..(~110) │ │ 3 usersrv │ 1024..(~10) │ └─────────────────┴──────────────────────┘ServerIdDLLApiBaseAPI 数消息头文件0CSRSRV (内置)05csrmsg.h1basesrv032basemsg.h2consrv512~110conmsg.h3usersrv102410winmsg.h3.4 CsrApiRequestThread — 核心 LPC 循环文件[csrsrv/api.c#L334](file:///d:/reactos/subsystems/csr/csrsrv/api.c#L334)NTSTATUSCsrApiRequestThread(PVOID PortHandle){// 1. 连接到 User32 (循环直到成功)while(!CsrConnectedToUser)CsrConnectToUser();// 2. 主 LPC 循环while(TRUE){StatusNtReplyWaitReceivePort(PortHandle,ClientContext,ReplyMsg-h,RequestMsg.h);switch(RequestMsg.h.u2.s2.Type){caseLPC_CONNECTION_REQUEST:CsrApiHandleConnectionRequest(...);break;caseLPC_CLIENT_DIED:caseLPC_PORT_CLOSED:// 清理 CSR 线程和进程CsrDestroyClientContext(...);break;caseLPC_EXCEPTION:// 终止进程break;caseLPC_ERROR_EVENT:// 硬错误处理: 轮询每个 ServerDll 的 HardErrorCallbackbreak;caseLPC_REQUEST:// ★ API 调用:ServerIdCSR_API_NUMBER_TO_SERVER_ID(RequestMsg.ApiNumber);ApiIdCSR_API_NUMBER_TO_API_ID(RequestMsg.ApiNumber)-ApiBase;ServerDllCsrLoadedServerDll[ServerId];StatusServerDll-DispatchTable[ApiId](RequestMsg,ReplyCode);// 通过客户端端口回复break;caseLPC_DATAGRAM:// 非 CSR 线程的 API 调用 (直接处理, 不回复)CsrApiHandleDatagram(...);break;}}}4. 三台服务器 DLL4.1 Base 服务器basesrv— ServerId 1文件[basesrv/init.c](file:///d:/reactos/subsystems/win/basesrv/init.c)处理底层进程/线程管理和相关 Win32 操作API 编号功能函数0CreateProcessBasepCreateProcess1CreateThreadBasepCreateThread2GetTempFileBasepGetTempFile3ExitProcessBasepExitProcess4DefineDosDeviceBasepDefineDosDevice5GetComputerNameBasepGetComputerName6SetComputerNameBasepSetComputerName7SetUserProcessInfoBasepSetUserProcessInfo8SxsCreateActivationContextBasepSxsCreateActivationContext………关键功能进程创建—BasepCreateProcess通过 LPC 接收创建请求验证参数调用NtCreateUserProcess创建进程。这是kernel32!CreateProcess的服务器端实现。DOS 设备映射—BasepDefineDosDevice管理\??\下的符号链接如\??\COM1。NLS 管理—BasepNlsSetUserInfo设置用户 locale 信息。4.2 控制台服务器consrv— ServerId 2文件[consrv/init.c](file:///d:/reactos/win32ss/user/winsrv/consrv/init.c)处理控制台窗口相关操作约 110 个 APIAPI 编号功能函数512AllocConsoleSrvAllocConsole513FreeConsoleSrvFreeConsole514CreateConsoleScreenBufferSrvCreateConsoleScreenBuffer515GetConsoleModeSrvGetConsoleMode516SetConsoleModeSrvSetConsoleMode517ReadConsoleInputSrvReadConsoleInput518WriteConsoleInputSrvWriteConsoleInput519ReadConsoleOutputSrvReadConsoleOutput520WriteConsoleOutputSrvWriteConsoleOutput524FillConsoleOutputSrvFillConsoleOutput………4.3 用户服务器usersrv— ServerId 3文件[usersrv/init.c](file:///d:/reactos/win32ss/user/winsrv/usersrv/init.c)处理桌面、会话和系统级操作API 编号功能函数1024ExitWindowsExSrvExitWindowsEx1025EndTaskSrvEndTask1026LogonSrvLogon1027RegisterServicesProcessSrvRegisterServicesProcess1028ActivateDebuggerSrvActivateDebugger1029GetThreadConsoleDesktopSrvGetThreadConsoleDesktop1030DeviceEventSrvDeviceEvent1031RegisterLogonProcessSrvRegisterLogonProcess1032CreateSystemThreadsSrvCreateSystemThreads1033RecordShutdownReasonSrvRecordShutdownReason关键 APISrvLogon— WINLOGON 登录完成后调用通知 CSRSS 用户已登录SrvCreateSystemThreads— 创建 RIT原始输入线程和桌面线程SrvExitWindowsEx— 处理关机/重启/注销请求UserClientConnect— 客户端连接回调// usersrv/init.c#L186NTSTATUSUserClientConnect(PCSR_PROCESS Process,PCSR_THREAD Thread){// 保存 CSR API 端口句柄CsrApiPort...;// 通知内核模式 win32k: NtUserProcessConnectNtUserInitialize(CsrApiPort,...);returnSTATUS_SUCCESS;}5. SB API 端口 — 与 SMSS 通信5.1 CsrSbApiPort 创建文件[csrsrv/session.c](file:///d:/reactos/subsystems/csr/csrsrv/session.c)CsrSbApiPortInitialize() └─ NtCreatePort(\Windows\SbApiPort) └─ RtlCreateUserThread(CsrSbApiRequestThread)5.2 CsrSbApiRequestThread接收来自 SMSS 的 SB API 调用PSB_API_HANDLER CsrSbDispatch[]{CsrSbCreateSession,// 创建新会话CsrSbTerminateSession,// 终止会话 (未实现)CsrSbForeignSessionComplete,// 外部会话完成 (未实现)CsrSbCreateProcess,// 创建进程 (未实现)};5.3 CsrSbCreateSession — 创建新会话文件[csrsrv/session.c#L208](file:///d:/reactos/subsystems/csr/csrsrv/session.c#L208)CsrSbCreateSession(SbCreateSessionMsg, ReplyMsg) │ ├─ SmpAllocateSessionId() → SmpNextSessionId ├─ 分配 CSR 进程 (CsrCreateProcess) ├─ 分配 CSR 线程 (CsrCreateThread) ├─ 设置异常端口 ├─ NtSetInformationProcess(ProcessHandle, SessionId) └─ 返回新会话 ID6. 创建系统线程RIT / 桌面线程文件[usersrv/init.c#L113](file:///d:/reactos/win32ss/user/winsrv/usersrv/init.c#L113)SrvCreateSystemThreads() ← CSR API 调用 └─ CsrExecServerThread(CreateSystemThreads, 0) └─ RtlCreateUserThread(NtCurrentProcess(), ...) └─ CreateSystemThreads() ← 新线程入口 └─ NtUserCallOneParam(0, ONEPARAM_ROUTINE_CREATESYSTEMTHREADS) └─ [win32k.sys] ├─ 创建 RIT (Raw Input Thread) ├─ 创建桌面线程 └─ 创建鬼影窗口线程CsrExecServerThread创建线程的调用链CsrExecServerThread(Routine, Parameter) [thredsup.c#L884] ├─ CsrCreateThread(RootProcess, CsrThread) ← 分配 CSR 线程 ├─ RtlCreateUserThread(RootProcess, ... │ Routine, Parameter) ← 创建 NT 线程 ├─ 存入 CSR 线程信息 (句柄, ClientId) ├─ InsertTailList(线程列表) └─ 返回7. 客户端调用路径7.1 客户端 CsrClientCallServer文件[csrlib/connect.c#L364](file:///d:/reactos/subsystems/csr/csrlib/connect.c#L364)app.exe → kernel32!CreateProcess() └─ ntdll!CsrClientCallServer() ├─ 填充 CSR_API_MESSAGE │ ├─ ApiNumber CSR_CREATE_API_NUMBER(1, BasepCreateProcess) │ ├─ CsrCaptureData CsrAllocateCaptureBuffer() │ ├─ CsrCaptureMessageBuffer(命令行参数等) │ └─ 计算 DataLength / TotalLength │ ├─ 转换捕获缓冲区的地址空间 │ (客户端地址 → 服务器地址 via PortMemoryDelta) │ ├─ NtRequestWaitReplyPort(CsrApiPort, Message-h) │ → 阻塞等待 CSRSS 处理 │ ├─ 转换捕获缓冲区的地址空间回客户端视图 │ └─ 返回 CSRSS 的处理结果7.2 进程间地址转换共享内存段SharedSection在客户端和 CSRSS 之间共享。捕获缓冲区CSR_CAPTURE_BUFFER通过PortMemoryDelta客户端地址 - 服务器地址在两者间转换指针。客户端地址空间: CSRSS 地址空间: ┌──────────────┐ ┌──────────────┐ │ SharedSection│ │ SharedSection│ ← 物理上相同的内存 │ (映射视图1) │ │ (映射视图2) │ └──────────────┘ └──────────────┘ PortMemoryDelta View1_Base - View2_Base 服务器转换: ServerPtr ClientPtr - PortMemoryDelta 客户端转换: ClientPtr ServerPtr PortMemoryDelta8. 硬错误处理文件[usersrv/harderror.c#L1082](file:///d:/reactos/win32ss/user/winsrv/usersrv/harderror.c#L1082)当内核调用NtRaiseHardError时错误通过CsrApiPort发送到 CSRSS内核: NtRaiseHardError() └─ LPC 消息 → CSRSS CsrApiRequestThread └─ LPC_ERROR_EVENT 类型 └─ 轮询每个 ServerDll-HardErrorCallback └─ UserServerHardError() ├─ 从消息中捕获字符串参数 ├─ 格式化错误消息 (查找 ntdll 消息表) ├─ 弹窗显示 (MessageBox) └─ 返回用户响应 (重试/忽略/终止)9. 完整架构图用户模式 ┌──────────────────────────────────────────────────────────────────┐ │ │ │ ┌─────────┐ ┌─────────┐ ┌───────────┐ ┌──────────────┐ │ │ │ App.exe │ │ App.exe │ │ WINLOGON │ │ SMSS │ │ │ │ │ │ │ │ │ │ │ │ │ │ Create.. │ │ Alloc.. │ │ Logon │ │ \SmApiPort │ │ │ └────┬─────┘ └────┬─────┘ └─────┬─────┘ └──────┬───────┘ │ │ │ │ │ │ │ │ kernel32.dll │ │ │ │ │ └── CsrClientCallServer │ │ │ │ │ │ │ │ │ │ LPC ──┼─────────────┼──────────────┼────────────────┘ │ │ │ │ │ │ │ ▼ ▼ ▼ │ │ ┌───────────────────────────────────────────────────────────┐ │ │ │ CSRSS │ │ │ │ │ │ │ │ CsrApiRequestThread() │ │ │ │ ├─ LPC_CONNECTION_REQUEST → CsrApiHandleConnectionReq │ │ │ │ ├─ LPC_REQUEST → 分发表 │ │ │ │ │ ├─ basesrv::DispatchTable[1] │ │ │ │ │ │ └─ ServerId1, ApiIdBasepCreateProcess │ │ │ │ │ │ → BasepCreateProcess() │ │ │ │ │ │ → NtCreateUserProcess() │ │ │ │ │ │ │ │ │ │ │ ├─ consrv::DispatchTable[0] │ │ │ │ │ │ └─ ServerId2, ApiIdConsolepAllocConsole │ │ │ │ │ │ → SrvAllocConsole() │ │ │ │ │ │ │ │ │ │ │ └─ usersrv::DispatchTable[2] │ │ │ │ │ └─ ServerId3, ApiIdUserpLogon │ │ │ │ │ → SrvLogon() │ │ │ │ │ │ │ │ │ ├─ LPC_ERROR_EVENT → UserServerHardError() │ │ │ │ │ → 弹窗 │ │ │ │ │ │ │ │ │ └─ LPC_CLIENT_DIED → CsrDestroyClientContext() │ │ │ │ │ │ │ │ CsrSbApiRequestThread() │ │ │ │ └─ CsrSbCreateSession() │ │ │ │ │ │ │ │ 服务器 DLL: │ │ │ │ ├─ CSRSRV (内置) │ │ │ │ ├─ basesrv.dll — 进程/线程/设备 │ │ │ │ ├─ consrv.dll — 控制台管理 │ │ │ │ └─ winsrv.dll — 桌面/系统(含usersrvconsrv) │ │ │ └───────────────────────────────────────────────────────────┘ │ └──────────────────────────────────────────────────────────────────┘10. 关键设计要点概念说明原生模式启动CSRSS 是IMAGE_SUBSYSTEM_NATIVE在 Win32 可用前启动双 LPC 端口\Windows\ApiPort客户端\Windows\SbApiPortSMSS三级 API 编号(ServerId 16) | ApiId分发到 4 个服务器 DLL捕获缓冲区通过CSR_CAPTURE_BUFFERPortMemoryDelta跨进程编组指针CSR 进程/线程对象CSRSRV 维护独立的CSR_PROCESS/CSR_THREAD结构管理客户端硬错误处理CSRSS 通过NtSetDefaultHardErrorPort注册为系统硬错误处理器系统线程创建CsrExecServerThread→ RtlCreateUserThread → win32k 创建 RIT/桌面关键进程保护会话 0 的 CSRSS 标记为RtlSetProcessIsCritical(TRUE)共享内存SharedSection在 CSRSS 和所有 Win32 进程间共享用于快速数据交换