3. Windows OS Loader (winload.efi)

Загрузчик операционной системы (winload.efi) подготавливает низкоуровневую среду для старта ядра. Он загружает ядро ntoskrnl.exe, слой HAL, ELAM-драйверы, строит таблицы страниц виртуальной памяти (CR3 / PTE), формирует структуру LOADER_PARAMETER_BLOCK и выполняет вызов ExitBootServices, отключая сервисы прошивки UEFI.

---

3.1 Архитектурный pipeline winload.efi

[ OslMain ] (0x180001090)
    │
    ├── Валидация сигнатуры "BTAPENT" в BOOT_APPLICATION_PARAMETER_BLOCK
    ├── Настройка шрифтов \Windows\Boot\Fonts и параметров BlInitializeLibrary
    └── Вызов OslpMain
         │
         ▼
[ OslPrepareTarget ] (0x180007BFC)
    ├── Инициализация групп расширений OslCoreExtensionSubGroups
    ├── Загрузка модулей ядра: OslpLoadAllModules (ntoskrnl.exe, hal.dll, kdcom.dll, mcupdate)
    ├── Загрузка системного куста реестра: OslpLoadSystemHive (\System32\config\SYSTEM)
    └── Поиск и загрузка загрузочных драйверов: OslGetBootDrivers / OslLoadDrivers / ELAM
         │
         ▼
[ OslInitializeLoaderBlock ] (0x180011CCC)
    ├── Инициализация списков LOADER_PARAMETER_BLOCK (LoadOrderListHead, MemoryDescriptorListHead)
    ├── Настройка NLS-таблиц, опций командной строки ядра (LoadOptions) и расширений VBS/HVCI
    └── Построение физической и виртуальной карты памяти OslBuildKernelMemoryMap
         │
         ▼
[ OslExecuteTransition ] (0x180016584)
    ├── Подготовка страничных таблиц фазы 1 OslFwpKernelSetupPhase1 (CR3 / PML4, вызов UEFI ExitBootServices)
    ├── Остановка протокола отладки BlBdStop() и сохранение меток производительности RDTSC
    └── Вызов низкоуровневого переключателя OslArchTransferToKernel
         │
         ▼
[ OslArchTransferToKernel ] (0x180167E80)
    ├── Сброс процессорных кэшей wbinvd
    ├── Загрузка дескрипторных таблиц ядра: lgdt (&OslArchKernelGdt) и lidt (&OslArchKernelIdt)
    ├── Настройка управляющих регистров: CR4 |= 0x680 (PGE, OSFXSR, OSXMMEXCPT), CR0 |= 0x50020 (NE, WP, AM), сброс CR8 = 0
    ├── Нормализация регистров расширений в MSR 0xC0000080 (IA32_EFER |= LME | NXE | SCE)
    ├── Загрузка селектора сегмента задачи TSS: ltr ax
    └── Вызов инструкции дальнего возврата retfq в точку входа ядра KiSystemStartup

---

3.2 Декомпилированный C-код функций winload.efi

Целевая сборка: Windows 10 22H2 x64 (Build 10.0.19045.2965). Имена внутренних функций и RVA-адреса зависят от версии сборки.
Конвенция вызовов (x64 ABI): Аннотации конвенций вызовов (__fastcall, __stdcall) воспроизводят декораторы типов декомпилятора Hex-Rays / IDA Pro. В архитектуре Windows x64 действует единый системный Microsoft x64 ABI (передача параметров через RCX, RDX, R8, R9, выделение Shadow Space).

---

1. Главная точка входа: OslMain

OslMainwinload.efi

IRQL: UEFI ContextInternal

NTSTATUS __fastcall OslMain(PBOOT_APPLICATION_PARAMETER_BLOCK BootAppParameters)

Главная точка входа загрузчика `winload.efi`. Валидирует сигнатуру `BTAPENT`, инициализирует базовые подсистемы BootLib с путями к системным шрифтам `\Windows\Boot\Fonts`, выделяет память для кучи и передает управление в `OslpMain` / `OslPrepareTarget`.

▶OslMainwinload.efi__fastcallEXPORTED

Развернуть псевдокод

Валидация блока параметров Boot Manager, инициализация BootLib и передача управления в OslpMain

NTSTATUS __fastcall OslMain(PBOOT_APPLICATION_PARAMETER_BLOCK BootAppParameters)
{
  NTSTATUS Status;
  PBOOT_APPLICATION_ENTRY_STATUS ReturnStatus;
  PCSTR SignatureString;
  BOOT_LIBRARY_PARAMETERS LibraryParams;
  ULONG ReturnCode = 0;

  // [1] Инициализация структуры статуса возврата в заголовке параметров приложения
  ReturnStatus = (PBOOT_APPLICATION_ENTRY_STATUS)((ULONG_PTR)BootAppParameters + BootAppParameters->ReturnStatusOffset);
  ReturnStatus->Status = STATUS_SUCCESS;
  ReturnStatus->Flags = 0;
  ReturnStatus->Data = 0;
  ReturnStatus->Version = 1;

  // [2] Проверка сигнатуры входного блока параметров ("BTAPENT" - Boot Application Entry)
  SignatureString = (PCSTR)((ULONG_PTR)BootAppParameters + BootAppParameters->SignatureOffset);
  if ( strcmp(SignatureString, "BTAPENT") != 0 )
  {
    Status = STATUS_INVALID_PARAMETER; // 0xC000000D
    ReturnStatus->Status = Status;
    return Status;
  }

  // [3] Настройка параметров инициализации библиотеки Boot Environment Library (BootLib)
  memset(&LibraryParams, 0, sizeof(LibraryParams));
  LibraryParams.Flags = BOOT_LIBRARY_FLAG_FULL_INITIALIZATION;
  LibraryParams.FontDirectoryPath = L"\\Windows\\Boot\\Fonts";
  LibraryParams.InitializationCallback = OslBuildInitializationEvent;
  LibraryParams.HeapAllocationSize = 0x20000;
  LibraryParams.LibraryVersion = 0x10001A014;

  // [4] Первичная инициализация подсистем BootLib (память, видеорежимы, файловая система)
  Status = BlInitializeLibrary(BootAppParameters, &LibraryParams);
  if ( NT_SUCCESS(Status) )
  {
    // [5] Переход к подготовке целевой системы (загрузка ядра, реестра, драйверов)
    OslpMain(&ReturnCode);
  }

  ReturnStatus->Status = Status;
  return Status;
}

---

2. Загрузка модулей ядра: OslpLoadAllModules

OslpLoadAllModuleswinload.efi

IRQL: UEFI ContextInternal

NTSTATUS __fastcall OslpLoadAllModules(POSL_LOADER_BLOCK LoaderBlock, PBOOT_ENVIRONMENT_DEVICE SystemDevice)

Загружает в физическую память исполняемые PE-образы ядра ntoskrnl.exe, аппаратно-зависимого слоя hal.dll, библиотеки отладки `kdcom.dll` / `kdnet.dll`, модуля микрокода ЦП `mcupdate_*.dll` и шрифтов интерфейса BGFX.

▶OslpLoadAllModuleswinload.efi__fastcallINTERNAL

Развернуть псевдокод

Последовательная загрузка и валидация цифровых подписей ntoskrnl.exe, hal.dll, kdcom.dll и mcupdate

NTSTATUS __fastcall OslpLoadAllModules(
    POSL_LOADER_BLOCK LoaderBlock,
    PBOOT_ENVIRONMENT_DEVICE SystemDevice)
{
  NTSTATUS Status;
  PVOID KernelBase = NULL;
  PVOID HalBase = NULL;
  PVOID KdComBase = NULL;
  PVOID McUpdateBase = NULL;
  UNICODE_STRING KernelPath;
  UNICODE_STRING HalPath;

  // [1] Загрузка исполняемого образа ядра NT (ntoskrnl.exe)
  RtlInitUnicodeString(&KernelPath, L"\\Windows\\system32\\ntoskrnl.exe");
  Status = OslLoadImage(
              SystemDevice,
              &KernelPath,
              IMAGE_TYPE_KERNEL,
              &KernelBase,
              &LoaderBlock->KernelDataTableEntry
           );
  if ( !NT_SUCCESS(Status) )
  {
    OslFatalErrorEx(OSL_FATAL_KERNEL_LOAD_FAILED, Status, 0, 0, KernelPath.Buffer);
    return Status;
  }

  // [2] Загрузка Hardware Abstraction Layer (hal.dll)
  RtlInitUnicodeString(&HalPath, L"\\Windows\\system32\\hal.dll");
  Status = OslLoadImage(
              SystemDevice,
              &HalPath,
              IMAGE_TYPE_HAL,
              &HalBase,
              &LoaderBlock->HalDataTableEntry
           );
  if ( !NT_SUCCESS(Status) )
  {
    OslFatalErrorEx(OSL_FATAL_HAL_LOAD_FAILED, Status, 0, 0, HalPath.Buffer);
    return Status;
  }

  // [3] Загрузка отладочного транспорта ядра (kdcom.dll / kdnet.dll)
  OslpLoadTransports(LoaderBlock, SystemDevice, &KdComBase);

  // [4] Загрузка микрокода процессора (mcupdate_AuthenticAMD.dll / mcupdate_GenuineIntel.dll)
  OslLoadMicrocodeUpdate(LoaderBlock, SystemDevice, &McUpdateBase);

  // [5] Разрешение взаимных таблиц импортов и перекрестных ссылок (ntoskrnl <-> hal.dll)
  Status = BlLdrBindImportReferences(LoaderBlock->LoadedModuleListHead);
  if ( !NT_SUCCESS(Status) )
  {
    OslpLogImportFailure(Status);
    return Status;
  }

  // [6] Загрузка национальных таблиц кодировок NLS (nls_*.nls) и схемы ApiSet (apisetschema.dll)
  OslpLoadNlsData(LoaderBlock, SystemDevice);
  OslLoadApiSetSchema(LoaderBlock, SystemDevice);

  return STATUS_SUCCESS;
}

---

3. Инициализация блока параметров: OslInitializeLoaderBlock

OslInitializeLoaderBlockwinload.efi

IRQL: UEFI ContextInternal

NTSTATUS __fastcall OslInitializeLoaderBlock(ULONG Flags, HANDLE SystemHiveHandle, PLOADER_PARAMETER_BLOCK LoaderBlock)

Инициализирует главную структуру `LOADER_PARAMETER_BLOCK`, настраивает списки загруженных модулей, дескрипторы карты физической памяти, параметры реестра и структуру расширений `_LOADER_PARAMETER_EXTENSION` для VBS / HVCI.

▶OslInitializeLoaderBlockwinload.efi__fastcallINTERNAL

Развернуть псевдокод

Связывание списков памяти, драйверов, куста SYSTEM и расширений гипервизора в единый блок параметров

NTSTATUS __fastcall OslInitializeLoaderBlock(
    ULONG Flags,
    HANDLE SystemHiveHandle,
    PLOADER_PARAMETER_BLOCK LoaderBlock)
{
  NTSTATUS Status;
  PLOADER_PARAMETER_EXTENSION Extension;

  // [1] Инициализация циклических двусвязных списков структуры LOADER_PARAMETER_BLOCK
  InitializeListHead(&LoaderBlock->LoadOrderListHead);
  InitializeListHead(&LoaderBlock->MemoryDescriptorListHead);
  InitializeListHead(&LoaderBlock->BootDriverListHead);
  InitializeListHead(&LoaderBlock->EarlyLaunchListHead);
  InitializeListHead(&LoaderBlock->CoreDriverListHead);

  // [2] Инициализация расширения параметров ядра (_LOADER_PARAMETER_EXTENSION)
  Extension = LoaderBlock->Extension;
  if ( Extension )
  {
    InitializeListHead(&Extension->FirmwareDescriptorListHead);
    InitializeListHead(&Extension->BootApplicationDataList);
  }

  // [3] Обновление параметров командной строки загрузки (LoadOptions)
  Status = OslUpdateLoadOptions(LoaderBlock, 0);
  if ( !NT_SUCCESS(Status) )
    return Status;

  // [4] Прошивочно-зависимая инициализация параметров UEFI (ACPI, SMBIOS, TPM-логи)
  Status = OslInitializeLoaderBlockFwDependent(Flags, SystemHiveHandle, LoaderBlock);
  if ( !NT_SUCCESS(Status) )
    return Status;

  // [5] Построение карты физической и виртуальной памяти ядра (OslBuildKernelMemoryMap)
  Status = OslBuildKernelMemoryMap(LoaderBlock);
  if ( !NT_SUCCESS(Status) )
    return Status;

  // [6] Конфигурация параметров безопасности VSM / Secure Kernel / DMA Protection
  if ( OslGetVsmEnabled() )
  {
    OslSetVsmPolicy(LoaderBlock);
  }

  return STATUS_SUCCESS;
}

---

4. Переход в ядро: OslExecuteTransition и OslArchTransferToKernel

OslExecuteTransitionwinload.efi

IRQL: UEFI ContextInternal

NTSTATUS __fastcall OslExecuteTransition(VOID)

Выполняет фазу 1 настройки памяти `OslFwpKernelSetupPhase1` (построение страничных таблиц CR3 / PML4), останавливает отладочные протоколы `BlBdStop()`, фиксирует отметку времени RDTSC и вызывает ассемблерную подпрограмму `OslArchTransferToKernel`.

▶OslExecuteTransitionwinload.efi__fastcallINTERNAL

Развернуть псевдокод

Финальная подготовка контекста ядра, остановка сервисов BootLib и прыжок в KiSystemStartup

NTSTATUS OslExecuteTransition(VOID)
{
  NTSTATUS Status;
  PLOADER_PARAMETER_BLOCK LoaderBlock = (PLOADER_PARAMETER_BLOCK)OslLoaderBlock;
  UINT64 PerformanceCounter;
  PVOID KernelEntryPoint;

  PerformanceCounter = BlArchGetPerformanceCounter();
  LoaderBlock->Extension->LoaderPerformanceData.KernelSetupPhase0Time = PerformanceCounter;

  // [1] Настройка страничных таблиц ядра фазы 1 (PML4, PDPTE, PDE, PTE в CR3)
  Status = OslFwpKernelSetupPhase1(LoaderBlock);
  if ( !NT_SUCCESS(Status) )
  {
    OslFatalErrorEx(OSL_FATAL_KERNEL_PHASE1_SETUP_FAILED, Status, 1, 0, NULL);
    return Status;
  }

  // [2] Восстановление процессорных регистров и проверка окружения VSM
  ArchRestoreProcessorFeatures(0);
  Status = VlpSetupLaunchPhase(LoaderBlock);
  if ( !NT_SUCCESS(Status) )
  {
    OslFatalErrorEx(OSL_FATAL_VSM_LAUNCH_SETUP_FAILED, Status, 4, 0, NULL);
    return Status;
  }

  // [3] Остановка системного отладчика BootLib и патчинг IDT
  if ( BlBdDebugTransitionsEnabled() )
  {
    LoaderBlock->Extension->BootFlags |= BOOT_FLAG_DEBUGGER_ENABLED;
    BlBdPatchIdt(g_IdtBase, (USHORT)OslArchKernelIdt, 16);
  }
  BlBdStop();

  // [4] Фиксация времени передачи управления и вызов точки входа ядра KiSystemStartup
  PerformanceCounter = BlArchGetPerformanceCounter();
  LoaderBlock->Extension->LoaderPerformanceData.KernelTransferTime = PerformanceCounter;
  KernelEntryPoint = (PVOID)OslEntryPoint;

  // [5] Низкоуровневый переход в 64-битное адресное пространство ядра
  OslArchTransferToKernel(LoaderBlock, KernelEntryPoint);

  // Сюда управление не возвращается при успешной загрузке
  return STATUS_SUCCESS;
}

OslArchTransferToKernelwinload.efi

IRQL: CR8=0 (TPR=0)Internal

VOID OslArchTransferToKernel(PLOADER_PARAMETER_BLOCK LoaderBlock, PVOID KernelEntryPoint)

Низкоуровневая ассемблерная точка переключения контекста: сбрасывает кэши процессора через `wbinvd`, загружает регистры GDTR и IDTR, настраивает регистры CR0, CR4, нормализует расширения IA32_EFER MSR, сбрасывает регистр приоритета прерываний `CR8` в 0, загружает селектор задачи `ltr` и выполняет инструкцию `retfq`, передавая управление функции ядра `KiSystemStartup`.

▶OslArchTransferToKernelwinload.efi__cdecl / asmINTERNAL

Развернуть псевдокод

Ассемблерная инициализация управляющих регистров процессора (GDTR, IDTR, CR0, CR4, MSR) и прыжок через retfq

void OslArchTransferToKernel(PLOADER_PARAMETER_BLOCK LoaderBlock, PVOID KernelEntryPoint)
{
  unsigned __int64 cr4_val;
  unsigned __int64 cr0_val;

  // [1] Инвалидация и сброс всех уровней кэша процессора с обратной записью в память
  __wbinvd();

  // [2] Загрузка таблицы глобальных дескрипторов (GDT) ядра
  __lgdt(&OslArchKernelGdt);

  // [3] Загрузка таблицы векторов прерываний (IDT) ядра
  __lidt(&OslArchKernelIdt);

  // [4] Настройка расширенных возможностей процессора в регистре CR4:
  // 0x680 = CR4.PGE (бит 7 - Page Global Enable)
  //       | CR4.OSFXSR (бит 9 - OS Support for FXSAVE/FXRSTOR / SSE)
  //       | CR4.OSXMMEXCPT (бит 10 - OS Support for Unmasked SIMD Exceptions)
  cr4_val = __readcr4();
  __writecr4(cr4_val | 0x680);

  // [5] Включение битов защиты и выравнивания в CR0 (PE и PG уже активны в 64-битном режиме):
  // 0x50020 = CR0.NE (бит 5 - Numeric Error / нативная обработка x87 FPU #MF)
  //         | CR0.WP (бит 16 - Write Protect страниц только для чтения в Ring 0)
  //         | CR0.AM (бит 18 - Alignment Mask / проверка выравнивания #AC)
  cr0_val = __readcr0();
  __writecr0(cr0_val | 0x50020);

  // [6] Сброс приоритета прерываний Task Priority Register (CR8 / TPR = 0, PASSIVE_LEVEL)
  // Ядро KiSystemStartup получает управление с CR8 = 0 и повышает IRQL до HIGH_LEVEL позже
  __writecr8(0);

  // [7] Нормализация EFER для контекста ядра (SCE/LME/NXE должны быть установлены;
  // процессор к этому моменту уже работает в IA-32e mode с аппаратным флагом LMA=1):
  // IA32_EFER.SCE (бит 0 - System Call Extensions / SYSCALL & SYSRET)
  // IA32_EFER.LME (бит 8 - Long Mode Enable / разрешение IA-32e)
  // IA32_EFER.NXE (бит 11 - No-Execute Protection Enable)
  __writemsr(0xC0000080, __readmsr(0xC0000080) | (unsigned int)OslArchEferFlags);

  // [8] Загрузка селектора TSS ядра в Task Register процессора
  __asm { ltr     ax }

  // [9] Инструкция дальнего возврата retfq для переключения CS:RIP на KiSystemStartup
  __asm { retfq }
}