Windows 创建过程详解-CSDN博客

本文链接：https://blog.csdn.net/hadstj/article/details/53522937

本文详细介绍了Windows创建过程中涉及的关键函数，包括CreateNewWindows、CreateNewPseudoWindows及其相关函数。这些函数负责创建目录、注册表键，并通过调用来实现离线映像的挂载与卸载，确保系统操作的正确执行。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

创建 Windows

CreateNewWindows，这是一个导出函数，在isolation.h 中有定义：

/* [local] */ HRESULT __stdcall CreateNewWindows(
    /*[annotation][in] */
    _In_ DWORD dwFlags,
    /*[annotation][full][in] */
    _In_ LPCWSTR pszSystemDrive,
    /*[annotation][out] */
    _Inout_ POFFLINE_STORE_CREATION_PARAMETERSpParameters,
    /*[annotation][out] */
    _Out_opt_ PVOID *ppvKeys,
    /*[annotation][out] */
    _Out_opt_ DWORD *pdwDisposition);

CreateNewWindows 调用CreateWindows，

CreateWindows调用：

PrivilegeAcquisition::Acquire

CreateImportantFiles

CreateImportantRegKeys

还有两个相似的导出函数，CreateNewPseudoWindows 和 CreateNewPseudoWindowsEx：

/* [local] */ HRESULT __stdcall CreateNewPseudoWindows(
    /*[annotation][in] */
    _In_ DWORD dwFlags,
    /* [annotation][full][in]*/
    _In_opt_ LPCWSTR pszDirectoryRoot,
    /*[annotation][full][in] */
    _In_opt_ LPCWSTR pszRegistryRoot,
    /*[annotation][out] */
    _Inout_ POFFLINE_STORE_CREATION_PARAMETERSpParameters);

/* [local] */ HRESULT __stdcall CreateNewPseudoWindowsEx(
    /*[annotation][in] */
    _In_ DWORD dwFlags,
    /*[annotation][full][in] */
    _In_opt_ LPCWSTR pszDirectoryRoot,
    /*[annotation][full][in] */
    _In_opt_ LPCWSTR pszRegistryRoot,
    /*[annotation][out] */
    _Inout_ POFFLINE_STORE_CREATION_PARAMETERSpParameters,
    /*[annotation][out] */
    _Out_opt_ PVOID *ppvRootkey);

在CCSIExternalTransformerExecutor初始化中会调用CreateNewPseudoWindows。

CreateNewPseudoWindows就调用了CreateNewPseudoWindowsEx。

CreateNewPseudoWindowsEx 又调用了 CreatePseudoWindows。

CreatePseudoWindows就直接调用创建目录、创建键。

DWORDd = 0;

LPVOIDppvKeys;

OFFLINE_STORE_CREATION_PARAMETERSpParameters = { sizeof(pParameters) };

pCreateNewPseudoWindows(0, L"C:\\CSITEST", L"HKCU\\CSITEST", &pParameters);

pCreateNewWindows(1, L"C:\\CSITEST", &pParameters, &ppvKeys, &d);

pDismountRegistryHives(ppvKeys);

CreateNewPseudoWindows创建了的目录和键,重要的是用这些值对OFFLINE_STORE_CREATION_PARAMETERS 进行了初始化;

CreateNewWindows就创建了注册表文件，并把注册表文件挂载到HKEY_LOCAL_MACHINE\{bf1a281b-ad7b-4476-ac95-f47682990ce7}，形成如HKEY_LOCAL_MACHINE\{bf1a281b-ad7b-4476-ac95-f47682990ce7}C:/CSITEST/system_volume/Users/Default/NTUSER.DAT这样的 11 个挂接点。

那么，以后对这里的操作就应该相当于对离线映像的操作了。

DismountRegistryHives把 11 个挂接点卸载掉。