faint，还没人回

我想了下，可能是这个样子的：操作系统将4G的空间划分成为不同的内存区间，为了便于快速的查找这些区间，使用一个平衡二叉树VAD（Linux有相同的实现）.但是，如果进程只是申请一个内存区间的话，会构建相应的_CONTROL_AREA结构，但是并没有文件映射到该内存区间，因此_FILE_OBJECT是无效的。
也就是说，VAD节点_MMVAD（还有其他的vad类型）不必要对应一个文件对象_FILE_OBJECT.

我想可能是这个样子的，抛砖引玉了算是~~

召唤小伟来告诉你~

很惭愧~我不懂。

我当时只是乱搞的。。具体的原理并不清楚。

不过抹掉ntdll之后，每个进程里面都看不到了（在is里面）。

召唤Sysnap来告诉你。

right here waiting ~

看你的文字看了那么久就是理解不了你想问什么..晕..俺的理解能力有问题
还是给几个说明性的文字你自己看看吧
VAD: 是windows用来描述进程地址空间的底2G中哪些已经被保留,哪些还没有..
比如我们一个线程访问0x51000000这个用户态地址..如果这个地址是首次被访问到..那系统会遍历VAD..尝试找个描述这个地址的VAD..然后MM管理器会为0x51000000创建一个页表项,如果找到了VAD...就把VAD中相关的信息填到这个页表项中...如果0x51000000没有对应的VAD描述..说明这个地址还没被保留..产生访问错误..否则就是缺页中断..
我想VAD既然是所有进程共享的文件...你先VAD这句理解有问题吧...首不等于DLL....只是一般情况下那些DLL是可以共享的...

刚开始的时候，想岔了，以为一个VAD节点必定对应一个文件对象。现在明白了～～
谢谢～～
很深的感觉是Linux和Windows真的在许多方面有许多是一样的～

vad tree里面还有nls~

写了个函数，前序遍历 VAD树，运行时，老是 访问错误，还以为是 自己的程序写错了。。。。
MiIsAddressValid( Control_Area, TRUE ) 这个函数到底检查什么呢？
感觉好像是虚拟内存是否在物理内存中。请赐教！
怎么来标志，一个VAD描述的块 是用来 映射 DLL的，还是只是分配的内存区？

一直跟到：
dt _MMVAD 0x81d081d0
nt!_MMVAD
   +0x000 u1               : __unnamed
   +0x004 LeftChild        : (null)
   +0x008 RightChild       : (null)
   +0x00c StartingVpn      : 0x10
   +0x010 EndingVpn        : 0x10
   +0x014 u                : __unnamed
   +0x018 ControlArea      : 0x0a130004 _CONTROL_AREA
   +0x01c FirstPrototypePte : 0xe56c6946 _MMPTE
   +0x020 LastContiguousPte : 0x81d76940 _MMPTE
   +0x024 u2               : __unnamed
kd> dt _CONTROL_AREA 0x0a130004
nt!_CONTROL_AREA
   +0x000 Segment          : ????
   +0x004 DereferenceList  : _LIST_ENTRY
   +0x00c NumberOfSectionReferences : ??
   +0x010 NumberOfPfnReferences : ??
   +0x014 NumberOfMappedViews : ??
   +0x018 NumberOfSystemCacheViews : ??
   +0x01c NumberOfUserReferences : ??
   +0x020 u                : __unnamed
   +0x024 FilePointer      : ????
   +0x028 WaitingForDeletion : ????
   +0x02c ModifiedWriteCount : ??
   +0x02e FlushInProgressCount : ??
   +0x030 WritableUserReferences : ??
   +0x034 QuadwordPad      : ??

全是问号了，呵呵！

我还有另一个疑问，就是 VAD的跟，也就是 在Eprocess 结构体里得到的vadroot，它的CONTROL_AREA 里的 file_object 的值始终都是 0x40000000 ！！！！
很奇怪：第一，这个值，为什么不变。更奇怪的是： file_object  是个文件对象，既然是文件对象，那么，就应该在内核空间，也就是 高2g空间，可是这却是 4000－0000，纳闷。。。