NTOSKRNL.EXE — ядро Windows¶

NTOSKRNL.EXE — исполняемый файл ядра операционной системы Microsoft Windows, отвечающий за запуск системы, управление памятью, планирование процессов и доступ к аппаратным ресурсам. Файл является частью ядра Windows NT и выполняет роль системного драйвера (драйвера ядра), загружаемого при старте операционной системы. Его размер и точное имя могут различаться в зависимости от версии Windows и разрядности системы.

¶Назначение

NTOSKRNL.EXE выполняет функции ядра операционной системы:

• инициализация аппаратных ресурсов при загрузке;
• управление виртуальной памятью и страницами;
• планирование потоков и процессов;
• предоставление системных вызовов (syscall) для пользовательского режима;
• обеспечение работы диспетчера ввода-вывода (I/O Manager);
• работа с реестром Windows на ранних этапах загрузки.

Файл работает в режиме ядра (Ring 0) и имеет полный доступ к аппаратным ресурсам компьютера. Ошибки в его работе, как правило, приводят к критическим сбоям — синим экранам смерти (BSOD).

¶Расположение и загрузка

Файл находится в системной директории Windows, как правило, в каталоге C:\Windows\System32. В 64-разрядных версиях Windows присутствует также подкаталог SysWOW64, однако сам NTOSKRNL.EXE загружается из System32.

Процесс загрузки выглядит следующим образом:

1. Прошивка UEFI или BIOS инициализирует оборудование и загружает загрузочный менеджер Windows Boot Manager (bootmgr или bootmgfw.efi).
2. Загрузочный менеджер читает файл конфигурации BCD (Boot Configuration Data) и запускает менеджер загрузки ОС (winload.exe или winload.efi).
3. Менеджер загрузки загружает ядро (NTOSKRNL.EXE), файлы инициализации драйверов (ntoskrnl.exe вместе с hal.dll и набором драйверов) в физическую память.
4. Ядро инициализирует планировщик, диспетчер памяти, системы ввода-вывода и запускает подсистему Windows (csrss.exe, wininit.exe, smss.exe).

В ранних версиях Windows NT ядро имело имя ntoskrnl.exe, а в 9x-серии (Windows 95/98/ME) использовалось ядро vmm32.vxd и vwin32.vxd, что принципиально отличало эти системы по архитектуре.

¶Связь с HAL

NTOSKRNL.EXE тесно связан с файлом hal.dll (Hardware Abstraction Layer — слой абстракции оборудования). HAL изолирует ядро от конкретных аппаратных платформ, позволяя одному и тому же ядру работать на разных процессорах и материнских платах. При установке Windows в каталоге System32 создаётся копия HAL, адаптированная под конкретное оборудование (hal.dll или halacpi.dll и другие варианты).

¶Синие экраны смерти

Поскольку NTOSKRNL.EXE работает в режиме ядра, любая ошибка в его выполнении приводит к остановке системы и показу BSOD. Типичные причины:

• повреждение системных файлов;
• несовместимые или устаревшие драйверы;
• аппаратные неисправности (оперативная память, диск);
• конфликты программного обеспечения.

Для диагностики используются дампы памяти (memory dumps), которые анализируются утилитами вроде WinDbg. Коды ошибок на экране (например, KERNEL_DATA_INPAGE_ERROR, IRQL_NOT_LESS_OR_EQUAL) указывают на характер сбоя.

¶Защита и целостность

В современных версиях Windows (Vista и новее) применяется механизм защиты ядра:

• PatchGuard (KPP, Kernel Patch Protection) в 64-разрядных версиях — блокирует несанкционированные модификации ядра и таблиц системных вызовов;
• DSE (Driver Signature Enforcement) — требует цифровой подписи драйверов ядра;
• Secure Boot — проверяет целостность загрузочных компонентов, включая ядро;
• VBS (Virtualization-Based Security) и HVCI — изоляция ядра с использованием виртуализации.

Утилиты «оптимизации» и читы, изменяющие ядро, могут блокироваться этими механизмами.

¶Имя файла и вариации

В 64-разрядных системах файл называется ntoskrnl.exe, тогда как в 32-разрядных версиях Windows XP и ранее использовалось имя ntkrnlpa.exe (ядро с поддержкой расширенной физической адресации, PAE) или ntkrnlmp.exe (ядро для многопроцессорных систем). Современные версии Windows объединяют эти варианты в один файл.

¶Интересные факты

• NTOSKRNL.EXE — один из немногих файлов Windows, который невозможно заменить или переименовать, пока система запущена.
• В ядре Windows NT изначально использовалась модель микроядра, но по соображениям производительности основные службы были перенесены в пространство ядра.
• Имя NT в названии ядра происходит от «New Technology» — маркетингового термина Microsoft для линейки Windows NT.

¶Источники

• Microsoft Learn — Windows Internals (Дмитрий Соломон, Марк Руссинович)
• Microsoft Docs — Boot and Reboot Architecture
• Microsoft Security Response Center — Kernel Patch Protection
• Русскоязычные технические справочники по архитектуре Windows NT