进程控制块是pcb吗_每个进程只有一个pcb

typedef struct _EPROCESS 
{
    KPROCESS Pcb;  //KPROCESS被内核用来进行线程调度使用

    EX_PUSH_LOCK ProcessLock;//ProcessLock域是一个推锁(push lock)对象，用于保护EPROCESS中的数据成员。用来对可能产生的并行事件强制串行化。

    LARGE_INTEGER CreateTime; //这两个域分别代表了进程的创建时间和退出时间
    LARGE_INTEGER ExitTime; 

    EX_RUNDOWN_REF RundownProtect; //RundownProtect域是进程的停止保护锁，当一个进程到最后被销毁时，它要等到所有其他进程和线程已经释放了此锁，才可以继续进行，否则就会产生孤儿线程

    HANDLE UniqueProcessId;  //UniqueProcessId域是进程的唯一编号，在进程创建时就设定好了，我们在"任务管理器"中看到的PID就是从这个域中获取的值

    LIST_ENTRY ActiveProcessLinks; //ActiveProcessLinks域是一个双链表节点(注意是双链表中的一个节点)，在windows系统中，所有的活动进程都连接在一起，构成了一个链表。

    SIZE_T QuotaUsage[PsQuotaTypes];//QuotaUsage和QuotaPeak域是指一个进程的内存使用量和尖峰使用量
    SIZE_T QuotaPeak[PsQuotaTypes];
    
    SIZE_T CommitCharge; //CommitCharge域中存储了一个进程的虚拟内存已提交的"页面数量"
    SIZE_T PeakVirtualSize;//PeakVirtualSize域是指虚拟内存大小的尖峰值。
    SIZE_T VirtualSize;//VirtualSize域是指一个进程的虚拟内存大小。

    LIST_ENTRY SessionProcessLinks;//SessionProcessLinks域是一个双链表节点，当进程加入到一个系统会话中时，这个进程的SessionProcessLinks域将作为一个节点(LIST_ENTRY在内核中很常见)加入到该会话的进程链表中。

    PVOID DebugPort; //DebugPort和ExceptionPort域是两个句柄(指针)，分别指向当前进程对应的调试端口和异常端口。
    PVOID ExceptionPort;
    
    PHANDLE_TABLE ObjectTable; //ObjectTable域是当前进程的句柄表。

    EX_FAST_REF Token; //Token域是一个快速引用，指向该进程的访问令牌，用于该进程的安全访问检查。

    PFN_NUMBER WorkingSetPage;  //WorkingSetPage域是指包含进程工作集的页面
    KGUARDED_MUTEX AddressCreationLock;//AddressCreationLock域是一个守护互斥体锁(guard mutex)，用于保护对地址空间的操作。
    KSPIN_LOCK HyperSpaceLock;//HyperSpaceLock是一个自旋锁，用于保护进程的超空间

    struct _ETHREAD *ForkInProgress;//ForkInProgress指向正在复制地址空间的那个线程，仅当在地址空间复制过程中，此域才会被赋值，在其他情况下为NULL。
    ULONG_PTR HardwareTrigger;//HardwareTrigger用于记录硬件错误性能分析次数

    PMM_AVL_TABLE PhysicalVadRoot;//PhysicalVadRoot域指向进程的物理VAD的根。它并不总是存在，只有当确实需要映射物理内存时才会被创建。
    PVOID CloneRoot;//CloneRoot指向一个平衡树的根，当进程地址空间复制时，此树被创建，创建出来后，一直到进程退出的时候才被销毁。CloneRoot域完全是为了支持fork语义而引入。
    PFN_NUMBER NumberOfPrivatePages;//指进程私有页面的数量
    PFN_NUMBER NumberOfLockedPages;//指进程被锁住的页面的数量
    PVOID Win32Process;//Win32Process域是一个指针，指向由windows子系统管理的进程区域，如果此值不为NULL，说明这是一个windows子系统进程(GUI进程)
    struct _EJOB *Job;//对于job域，只有当一个进程属于一个job(作业)的时候，它才会指向一个_EJOB对象。
    PVOID SectionObject;//SectionObject域也是一个指针，代表进程的内存去对象(进程的可执行映像文件的内存区对象)

    PVOID SectionBaseAddress;// SectionBaseAddress域为该内存区对象的基地址

    PEPROCESS_QUOTA_BLOCK QuotaBlock;//QuotaBlock域指向进程的配额块，进程的配额块类型为: EPROCESS_QUOTA_BLOCK

    PPAGEFAULT_HISTORY WorkingSetWatch;//WorkingSetWatch域用于监视一个进程的页面错误，一旦启用了页面错误监视功能(由全局变量PsWatchEnabled开关来控制)，则每次发生页面错误都会将该页面错误记录到WorkingSetWatch域的WatchInfo成员数组中，知道数组满为止。
    HANDLE Win32WindowStation;//Win32WindowStation域是一个进程所属的窗口站的句柄。由于句柄的值是由每个进程的句柄表来决定的，所以，两个进程即使同属于一个窗口站，它们的Win32WindowStation也可能不同，但指向的窗口站对象是相同的。窗口站是由windows子系统来管理和控制的。
    HANDLE InheritedFromUniqueProcessId;//InheritedFromUniqueProcessId域说明了一个进程是从哪里继承来的，即父进程的标识符。

    PVOID LdtInformation;//LdtInformation用来维护一个进程的LDT(局部描述符表)信息。
    PVOID VadFreeHint;//VadFreeHint域指向一个提示VAD(虚拟地址描述符)节点，用于加速在VAD树中执行查找操作。
    PVOID VdmObjects;//VdmObjects域指向当前进程的VDM数据区，其类型为VMD_PROCESS_OBJECTS，进程可通过NtVdmControl系统服务来初始化VDM。
    PVOID DeviceMap;//DeviceMap域指向进程使用的设备表，通常情况下同一个会话中的进程共享同样的设备表。

    PVOID Spare0[3];//Spare0域是一个备用域
    union //页表项
    {
        HARDWARE_PTE PageDirectoryPte;
        ULONGLONG Filler;
    };
    PVOID Session;//Session指向进程所在的系统会话，实际上它是一个指向MM_SESSION_SPACE的指针。\base\ntos\mm\mi.h 中相关的结构体定义
    UCHAR ImageFileName[ 16 ];//ImageFileName域包含了进程的映像文件名，仅包含最后一个路径分隔符之后的字符串，不超过16字节。

    LIST_ENTRY JobLinks;//JobLinks域是一个双链表节点，通过此节点，一个job中的所有进程构成了一个链表。在windows中，所有的job构成了一个双链表，其链表头为全局变量PspJobList。每个job中的进程又构成了一个双链表。
    PVOID LockedPagesList;//LockedPagesList域是一个指向LOCK_HEADER结构的指针，该结构包含了一个链表头，windows通过此链表来记录哪些页面已被锁住(这里所谓的锁住和Mdll中的映射机制有关，本质上就是把用户空间下的内存地址锁定到内核空间中以便访问)

    LIST_ENTRY ThreadListHead; //ThreadListHead域是一个双链表的"头结点"，该链表中包含了一个进程中的所有"线程"。

    PVOID SecurityPort; //SecurityPort域是一个安全端口，指向该进程域lsass.exe进程之间的跨进程通信端口。
    PVOID PaeTop; //PaeTop域用于支持PAE内存访问机制。

    ULONG ActiveThreads;//ActiveThreads域记录了当前进程有多少活动线程。当该值减为0时，所有的线程将退出，于是进程也退出。

    ACCESS_MASK GrantedAccess;//GrantedAccess域包含了进程的访问权限，访问权限是一个"位组合"。 public\sdk\inc\ntpsapi.h 中的宏 PROCESS_XXX

    ULONG DefaultHardErrorProcessing;//DefaultHardErrorProcessing域指定了默认的硬件错误处理，默认为1

    NTSTATUS LastThreadExitStatus; //LastThreadExitStatus域记录了刚才最后一个线程的退出状态。

    PPEB Peb; //Peb域是一个进程的"进程环境块

    EX_FAST_REF PrefetchTrace;//PrefetchTrace域是一个快速引用，指向与该进程关联的一个"预取痕迹结构"，以支持该进程的预取。
    LARGE_INTEGER ReadOperationCount;//ReadOperationCount，WriteOperationCount记录了当前进程NtReadFile和NtWriteFile系统服务被调用的次数，OtherOperationCount记录了除读写操作以外的其他IO服务的次数(文件信息设置.)
    LARGE_INTEGER WriteOperationCount;
    LARGE_INTEGER OtherOperationCount;
    LARGE_INTEGER ReadTransferCount;//ReadTransferCount，WriteTransferCount记录了IO读写操作"完成"的次数，OtherTransferCount记录了除读写操作以外操作完成的次数。
    LARGE_INTEGER WriteTransferCount;
    LARGE_INTEGER OtherTransferCount;

    SIZE_T CommitChargeLimit;
    SIZE_T CommitChargePeak;

    PVOID AweInfo; //AweInfo域是一个指向AWEINFO结构的指针，其目的是支持AWE(Adress Windowing Extension 地址窗口扩展)

    SE_AUDIT_PROCESS_CREATION_INFO SeAuditProcessCreationInfo;//SeAuditProcessCreationInfo域包含了创建进程时指定的进程映像全路径名

    MMSUPPORT Vm;//Vm域是windows为每个进程管理虚拟内存的重要数据结构成员，其类型为MMSUPPORT， \base\ntos\inc\ps.h 中有相关定义
 
    LIST_ENTRY MmProcessLinks; //MmProcessLinks域代表一个双链表节点，所有拥有自己地址空间的进程都将加入到一个双链表中，链表头是全局变量MmProcessList

    ULONG ModifiedPageCount; //ModifiedPageCount域记录了该进程中已修改的页面的数量，即"脏页面数量"，这和缓存的读写有关。

    ULONG JobStatus; //49. ULONG JobStatus

JobStatus域记录了进程所属job的状态。
 
    union //Flags域包含了进程的标志位，这些标志位反映了进程的当前状态和配置。  \base\ntos\inc\ps.h 中的宏定义 PS_PROCESS_FLAGS_XXX
    { 
        ULONG Flags; 

        struct {
            ULONG CreateReported            : 1;
            ULONG NoDebugInherit            : 1;
            ULONG ProcessExiting            : 1;
            ULONG ProcessDelete             : 1;
            ULONG Wow64SplitPages           : 1;
            ULONG VmDeleted                 : 1;
            ULONG OutswapEnabled            : 1;
            ULONG Outswapped                : 1;
            ULONG ForkFailed                : 1;
            ULONG Wow64VaSpace4Gb           : 1;
            ULONG AddressSpaceInitialized   : 2;
            ULONG SetTimerResolution        : 1;
            ULONG BreakOnTermination        : 1;
            ULONG SessionCreationUnderway   : 1;
            ULONG WriteWatch                : 1;
            ULONG ProcessInSession          : 1;
            ULONG OverrideAddressSpace      : 1;
            ULONG HasAddressSpace           : 1;
            ULONG LaunchPrefetched          : 1;
            ULONG InjectInpageErrors        : 1;
            ULONG VmTopDown                 : 1;
            ULONG ImageNotifyDone           : 1;
            ULONG PdeUpdateNeeded           : 1;    // NT32 only
            ULONG VdmAllowed                : 1;
            ULONG SmapAllowed               : 1;
            ULONG CreateFailed              : 1;
            ULONG DefaultIoPriority         : 3;
            ULONG Spare1                    : 1;
            ULONG Spare2                    : 1;
        };
    };

    NTSTATUS ExitStatus;//ExitStatus域包含了进程的退出状态，从进程的退出状态通常可以获知进程非正常退出的大致原因。反映退出状态的一些宏定义位于 public\sdk\inc\ntstatus.h

    USHORT NextPageColor;//NextPageColor域用于物理页面分配算法。
    union 
    {
        struct 
    {
            UCHAR SubSystemMinorVersion;
            UCHAR SubSystemMajorVersion;
        };
        USHORT SubSystemVersion;
    };
    UCHAR PriorityClass;//PriorityClass域是一个单字节值，它说明了一个进程的优先级程度

    MM_AVL_TABLE VadRoot;//VadRoot域指向一个平衡二叉树的根，用于管理该进程的虚拟地址空间。

    ULONG Cookie;//Cookie域存放的是一个代表该进程的随机值，当第一次通过NtQueryInformationProcess函数获取此Cookie值的时候，系统会生成一个随机值，以后就用此值代表此进程

} EPROCESS, *PEPROCESS;