CreateProcessW 与 RtlCreateUserProcess：新进程创建的幕后故事

CreateProcessW 中的 STARTUPINFO 如何传递给 RtlCreateUserProcess

在 Windows 操作系统中，新进程的创建是一个关键操作，涉及 CreateProcessW 和 RtlCreateUserProcess 这两个重要函数。深入了解这两个函数如何协同工作以启动新进程对于系统编程和开发人员至关重要。

CreateProcessW：用户模式的新进程创建

CreateProcessW 函数作为 Windows API 的一部分，负责在用户模式下创建新进程。它负责设定新进程的启动参数，包括可执行文件路径、命令行参数、安全属性和启动信息。其中，STARTUPINFO 结构体包含了新进程的启动信息，如进程标题、窗口大小和位置等。

RtlCreateUserProcess：内核模式中的实际创建

RtlCreateUserProcess 函数是 Windows 内核中的一个内部函数，用于实际创建新进程。它在 CreateProcessW 调用 NtCreateUserProcess 系统服务后被调用。RtlCreateUserProcess 利用 STARTUPINFO 结构体中的信息来初始化新进程。

信息传递机制

那么，CreateProcessW 中的 STARTUPINFO 信息是如何传递给 RtlCreateUserProcess 的呢？答案是通过函数调用链。

1. CreateProcessW 调用 NtCreateUserProcess 系统服务。
2. NtCreateUserProcess 系统服务调用 RtlCreateUserProcess 函数。

因此，STARTUPINFO 结构体中的信息通过 NtCreateUserProcess 系统服务从 CreateProcessW 传递给 RtlCreateUserProcess。

RtlCreateUserProcess 如何使用 STARTUPINFO

RtlCreateUserProcess 函数使用 STARTUPINFO 结构体中的信息来初始化新进程，具体包括：

• 设置进程标题
• 设置窗口大小和位置
• 设置显示模式
• 设置环境变量
• 设置标准输入/输出/错误句柄

这些信息对于新进程的正确启动和运行至关重要。

调试验证

如果你想要调试 CreateProcessW 到 RtlCreateUserProcess 的调用链，可以使用以下步骤：

1. 设置一个调试会话，并在 CreateProcessW 和 RtlCreateUserProcess 函数中设置断点。
2. 运行调试会话并创建新进程。
3. 当执行到达断点时，检查 STARTUPINFO 结构体中的信息，以验证它是否已正确传递给 RtlCreateUserProcess。

常见问题解答

• 为什么 STARTUPINFO 信息如此重要？
  STARTUPINFO 信息对于新进程的正确启动和运行至关重要，因为它包含进程标题、窗口大小和位置等关键信息。
• CreateProcessW 和 RtlCreateUserProcess 的区别是什么？
  CreateProcessW 是一个用户模式函数，用于创建新进程并设定启动参数，而 RtlCreateUserProcess 是一个内核模式函数，用于实际创建新进程。
• 如何调试 CreateProcessW 到 RtlCreateUserProcess 的调用链？
  可以使用调试器设置断点并检查 STARTUPINFO 信息来调试调用链。
• RtlCreateUserProcess 如何处理 STARTUPINFO 信息？
  RtlCreateUserProcess 使用 STARTUPINFO 信息来初始化新进程，包括设置进程标题、窗口大小和位置等属性。
• 是否可以在 RtlCreateUserProcess 中修改 STARTUPINFO 信息？
  不，RtlCreateUserProcess 使用传递给它的 STARTUPINFO 信息，无法对其进行修改。