窗户单链表（_SINGLE_LIST_ENTRY）(Windows singly linked li

我只是在做一个Windows 7崩溃转储一些调试，和我遇到一个单向链表，我是不能够完全理解。

下面是从WinDBG的输出：

dt _GENERAL_LOOKASIDE_POOL fffff80002a14800 -b
....
0x000 SingleListHead: _SINGLE_LIST_ENTRY
    +0x000 Next: 0x0000000000220001
....

从我一直在读什么，似乎每单链表始于列表头，它包含在列表中的指针第一个元素，或NULL，如果列表为空。

微软状态： MSDN文章

对于作为一个列表条目SINGLE_LIST_ENTRY，下一个成员指向列表中的下一个条目，或NULL如果在列表中没有下一个条目。对于用作列表头SINGLE_LIST_ENTRY，下一成员指向列表中的第一个条目，或NULL，如果列表为空。

我99％肯定这个列表包含了一些项目，但我不明白的价值如何0x0000000000220001是应该指向什么。此值肯定不会解析为有效的页面映射，所以我只能假设这是某种形式的偏移。但是，我不知道。

如果有人可以帮助照亮一些这方面的情况，我将不胜感激。

谢谢

UPDATE

我刚刚发现，似乎可以解释结构多一点的文档（来自中国的翻译）。如果有人可以提供一些关于它的输入，我将不胜感激。

后备列表文章

什么实际上，我看是，Windows应该使用的IRP分配后备列表，这里是从WinDBG的（值在原来的问题改变）输出完整的：

lkd> !lookaside iopsmallirplookasidelist

Lookaside "" @ fffff80002a14800 "Irps"
Type     =     0000 NonPagedPool
Current Depth  =        0   Max Depth  =        4
Size           =      280   Max Alloc  =     1120
AllocateMisses =      127   FreeMisses =       26
TotalAllocates =      190   TotalFrees =       90
Hit Rate       =       33%  Hit Rate   =       71%

lkd> dt _general_lookaside fffff80002a14800 -b
ntdll!_GENERAL_LOOKASIDE
  +0x000 ListHead         : _SLIST_HEADER
  +0x000 Alignment        : 0x400001
  +0x008 Region           : 0xfffffa80`01e83b11
  +0x000 Header8          : <unnamed-tag>
     +0x000 Depth            : 0y0000000000000001 (0x1)
     +0x000 Sequence         : 0y001000000 (0x40)
     +0x000 NextEntry        : 0y000000000000000000000000000000000000000 (0)
     +0x008 HeaderType       : 0y1
     +0x008 Init             : 0y0
     +0x008 Reserved         : 0y11111111111111111101010000000000000011110100000111011000100       (0x7fffea0007a0ec4)
     +0x008 Region           : 0y111
  +0x000 Header16         : <unnamed-tag>
     +0x000 Depth            : 0y0000000000000001 (0x1)
     +0x000 Sequence         : 0y000000000000000000000000000000000000000001000000 (0x40)
     +0x008 HeaderType       : 0y1
     +0x008 Init             : 0y0
     +0x008 Reserved         : 0y00
     +0x008 NextEntry        : 0y111111111111111111111010100000000000000111101000001110110001 (0xfffffa8001e83b1)
  +0x000 HeaderX64        : <unnamed-tag>
     +0x000 Depth            : 0y0000000000000001 (0x1)
     +0x000 Sequence         : 0y000000000000000000000000000000000000000001000000 (0x40)
     +0x008 HeaderType       : 0y1
     +0x008 Reserved         : 0y000
     +0x008 NextEntry        : 0y111111111111111111111010100000000000000111101000001110110001 (0xfffffa8001e83b1)
  +0x000 SingleListHead   : _SINGLE_LIST_ENTRY
      +0x000 Next             : 0x00000000`00400001 
  +0x010 Depth            : 4
  +0x012 MaximumDepth     : 0x20
  +0x014 TotalAllocates   : 0xbe
  +0x018 AllocateMisses   : 0x7f
  +0x018 AllocateHits     : 0x7f
  +0x01c TotalFrees       : 0x5a
  +0x020 FreeMisses       : 0x1a
  +0x020 FreeHits         : 0x1a
  +0x024 Type             : 0 ( NonPagedPool )
  +0x028 Tag              : 0x73707249
  +0x02c Size             : 0x118
  +0x030 AllocateEx       : 0xfffff800`029c30e0 
  +0x030 Allocate         : 0xfffff800`029c30e0 
  +0x038 FreeEx           : 0xfffff800`029c30d0 
  +0x038 Free             : 0xfffff800`029c30d0 
  +0x040 ListEntry        : _LIST_ENTRY [ 0xfffff800`02a147c0 - 0xfffff800`02a148c0 ]
     +0x000 Flink            : 0xfffff800`02a147c0 
     +0x008 Blink            : 0xfffff800`02a148c0 
  +0x050 LastTotalAllocates : 0xbe
  +0x054 LastAllocateMisses : 0x7f
  +0x054 LastAllocateHits : 0x7f
  +0x058 Future           : 
   [00] 0
   [01] 0

lkd> !slist fffff80002a14800
SLIST HEADER:
   +0x000 Header16.Sequence          : 40
   +0x000 Header16.Depth            : 1

SLIST CONTENTS:
fffffa8001e83b10  0000000000000000 0000000000000000 
                  0000000000000404 0000000000000000

很抱歉，如果某些格式的丢失。从本质上讲，这应该是一个包含都具有相同大小的数据块列表的后备名单0x118 (sizeof(_IRP) + sizeof(_IO_STACK_LOCATION))

但是我并不完全确定如何名单实际上是放在一起的，我不知道这应该是内存块的单链表，或者如果我正确阅读它的全部。

Answer 1:

在与win7x86rtm小IRP名单的情况下：

lkd> !lookaside iopsmallirplookasidelist 
Lookaside "" @ 82d5ffc0 "Irps"
....
lkd> dt _SINGLE_LIST_ENTRY 82d5ffc0 
nt!_SINGLE_LIST_ENTRY
   +0x000 Next             : 0x86737e30 _SINGLE_LIST_ENTRY
....
lkd> !pool 0x86737e30 
Pool page 86737e30 region is Nonpaged pool
*86737e28 size:   a0 previous size:   48  (Allocated) *Irp 
        Pooltag Irp  : Io, IRP packets

存储器CHANK的大小是A0字节

lkd> ?? sizeof(_pool_header)+sizeof(_single_list_entry)+sizeof(_irp)+sizeof(_io_stack_location)
unsigned int 0xa0

其中包括池标头，指针，IRP，栈位置

次要更新 ：

Tarjei MANDT又名'作者' kernelpool

在_GENERAL_LOOKASIDE结构，SingleListHead.Next指向第一个空闲池块的单链接后备名单上。后备列表的大小由深度值，根据后备名单上的命中和遗漏的数量由平衡集管理定期调整的限制。因此，经常使用的后备名单会比一个不常用的列表更大的深度值。该INTIAL深度为4 nt!ExMinimumLookasideDepth ，最大为MaximumDepth （256）... 更多

Answer 2:

SINGLE_LIST_ENTRY实现侵入链表。寻找struct list_head其在Linux内核中提供了类似的functionnality。

至于.Next成员，它确实是一个指向SINGLE_LIST_ENTRY是最有可能嵌入到另一个内部struct 。