当前位置: 首页 > article >正文

2.9 会话、窗口站、桌面和窗口消息:图形界面背后的“分层舞台”

个人主页杨利杰YJlio❄️个人专栏《Sysinternals实战教程》 《Windows PowerShell 实战》 《WINDOWS教程》 《IOS教程》《微信助手》 《锤子助手》 《Python》 《Kali Linux》《那些年未解决的Windows疑难杂症》让复杂的事情更简单让重复的工作自动化文章目录1. 写在前面为什么要理解 Windows 图形界面的“分层舞台”2. 会话 Session同一台机器上的多场登录环境2.1 会话到底是什么2.2 Session 0 为什么特殊2.3 在 Process Explorer 中怎么看 Session3. 窗口站 Window Station会话里的窗口容器3.1 窗口站是什么3.2 窗口站解决了什么问题3.3 窗口站与安全隔离的关系4. 桌面 Desktop真正展示给用户看的那块画布4.1 桌面不是壁纸而是安全对象4.2 为什么锁屏后窗口没有消失4.3 UAC 为什么普通脚本点不了5. 窗口消息 Window Messages窗口之间的“喊话协议”5.1 什么是窗口消息5.2 为什么窗口消息也涉及安全5.3 运维排障中怎么理解窗口消息问题6. Sysinternals 视角如何把这些概念用于排障6.1 用 Process Explorer 看 Session ID6.2 排查服务无法弹窗6.3 排查远程桌面多用户问题6.4 排查 UAC 自动化失败7. 我的理解这几个概念应该怎么记8. 总结图形界面不是一块屏幕而是一套分层安全结构1. 写在前面为什么要理解 Windows 图形界面的“分层舞台”在前面几节中我们已经学习了进程、线程、句柄、用户模式、内核模式、应用隔离、应用容器、受保护进程、调用栈和符号等 Windows 内部机制。这些内容更多是在回答一个问题程序是怎么运行的系统资源是怎么被访问的而这一节要继续往图形界面方向推进重点回答另一个更贴近桌面支持的问题同一台 Windows 电脑上为什么可以同时存在本地登录、远程桌面、锁屏界面、UAC 安全桌面、系统服务和用户桌面很多时候我们在排查问题时会遇到这些现象服务程序明明启动了但用户桌面上看不到窗口远程桌面用户 A 的程序和用户 B 的程序互相看不见UAC 弹窗出现时普通脚本无法自动点击锁屏后窗口没有消失但用户暂时无法操作Process Explorer 里看到多个explorer.exe但它们属于不同用户或不同 Session。这些现象背后不是 Windows “玄学”而是 Windows 图形子系统中的四个关键概念会话Session窗口站Window Station桌面Desktop窗口消息Window Messages一句话概括会话决定“谁登录在哪一场”窗口站决定“这一场有哪些窗口资源”桌面决定“当前展示哪块画布”窗口消息决定“窗口之间如何通信”。先用一张总览图建立整体框架这张图可以帮助我们先建立一个整体理解Windows 图形界面不是单层结构而是一套分层舞台。会话 Session窗口站 Window Station桌面 Desktop窗口 Window窗口消息 Window Messages本地登录 / 远程桌面 / 服务会话输入输出资源 / 剪贴板 / 菜单对象Default / Winlogon / Secure DesktopWM_CREATE / WM_PAINT / WM_KEYDOWN2. 会话 Session同一台机器上的多场登录环境2.1 会话到底是什么在 Windows 中每一次交互式登录都会对应一个Session ID。可以简单理解为一次登录就是一个会话。比如场景典型 Session系统服务Session 0本地登录用户Session 1第一个远程桌面用户Session 2第二个远程桌面用户Session 3所以当你在一台服务器上看到多个用户同时登录时本质上就是多个 Session 同时存在。这也是远程桌面服务能够实现“一台机器多人同时在线”的基础。从图中可以看出Session 0主要承载系统服务Session 1可能是本地登录用户Session 2 / 3可能是不同的远程桌面用户每个 Session 内都有自己的用户空间、桌面和进程。2.2 Session 0 为什么特殊在早期 Windows 中服务和用户程序之间的隔离没有现在严格服务有时可以直接和用户桌面交互。但这会带来严重安全风险如果高权限服务可以随便在用户桌面弹窗低权限程序也可能通过窗口消息反向攻击高权限服务。所以从 Windows Vista 之后Windows 引入了Session 0 Isolation。也就是说系统服务主要运行在Session 0用户桌面运行在Session 1、2、3……服务默认不再直接和用户桌面交互这就是为什么很多服务类程序“明明运行了”但用户界面却看不到。2.3 在 Process Explorer 中怎么看 Session在 Sysinternals 的 Process Explorer 中可以通过以下方式查看进程所属会话View → Select Columns → Process Image → 勾选 Session ID观察重点services.exe通常位于 Session 0用户自己的explorer.exe通常位于当前登录 Session远程桌面用户的程序会显示不同的 Session ID多个同名进程不一定属于同一个用户环境。排查远程桌面、服务弹窗、用户会话异常时Session ID 是非常关键的第一层坐标。3. 窗口站 Window Station会话里的窗口容器3.1 窗口站是什么理解完 Session 后再往下一层就是Window Station。可以这样理解窗口站是一个会话内部用于管理图形窗口、输入输出资源和部分共享对象的容器。它通常包含键盘输入鼠标输入剪贴板菜单对象一个或多个 Desktop。其中用户最常接触的是WinSta0它是典型的交互型窗口站。这张图中可以看到Session 里面包含 Window StationWindow Station 里包含共享的输入 / 输出资源Window Station 下面还可以继续包含多个 Desktop最常见的交互窗口站就是WinSta0。3.2 窗口站解决了什么问题窗口站主要解决的是同一会话中哪些进程可以共享图形输入输出环境。例如谁能接收键盘鼠标输入谁能访问剪贴板谁能创建可见窗口谁和谁处在同一个图形交互环境中。如果进程不在正确的窗口站里它就算启动了也未必能正常显示 GUI。3.3 窗口站与安全隔离的关系窗口站不是单纯的图形概念它也有安全意义。因为图形界面不仅仅是“显示窗口”还涉及输入信息剪贴板内容窗口消息用户交互权限。所以 Windows 不允许所有进程随便共享同一套窗口资源。窗口站是 Windows 图形界面安全边界的一部分尤其和窗口消息、UIPI、完整性级别等机制密切相关。4. 桌面 Desktop真正展示给用户看的那块画布4.1 桌面不是壁纸而是安全对象很多人一听到“桌面”第一反应是壁纸、图标、任务栏。但在 Windows Internals 的视角里Desktop 不是背景图片而是一个图形对象。可以这样理解Desktop 是 Window Station 下面真正承载窗口显示和用户交互的那块逻辑画布。一个 Window Station 可以包含多个 Desktop例如Desktop 类型作用Default Desktop用户日常看到的普通桌面Winlogon Desktop登录、锁屏、安全登录界面Secure DesktopUAC 提示等高安全交互界面这张图非常适合理解“桌面切换”平时看到的是Default Desktop锁屏或登录时切换到Winlogon DesktopUAC 提示可能切换到Secure Desktop同一时刻通常只有一个 Desktop 是当前活动界面。4.2 为什么锁屏后窗口没有消失当我们按下Win L系统并不是把当前所有窗口都关掉也不是把它们“最小化”。真正发生的是系统从当前用户的 Default Desktop 切换到了 Winlogon Desktop。所以原来的窗口仍然存在原来的程序仍然运行只是当前显示和输入焦点切换到了另一个 Desktop登录回来后原来的窗口还在。这也是为什么锁屏前打开的文档、浏览器、资源管理器窗口在解锁后还能继续显示。4.3 UAC 为什么普通脚本点不了很多自动化脚本会遇到一个问题UAC 提示出现后脚本无法自动点击“是”。这不是脚本写错了而是 Windows 有意这样设计。因为 UAC 提示通常运行在更高安全级别的桌面上普通用户进程所在的桌面无法随便控制它。如果低权限脚本可以随便点击 UAC 提示那就等于低权限程序可以自动完成高权限授权整个安全机制会被打穿。所以在排查“自动化脚本无法操作 UAC 窗口”时要先判断这是不是Desktop 隔离和权限隔离导致的正常现象。5. 窗口消息 Window Messages窗口之间的“喊话协议”5.1 什么是窗口消息在 Windows GUI 编程模型中窗口之间并不是随意通信的而是通过消息机制来驱动界面行为。常见窗口消息包括消息含义WM_CREATE窗口创建WM_DESTROY窗口销毁WM_PAINT请求窗口重绘WM_SIZE窗口大小变化WM_KEYDOWN键盘按键按下WM_LBUTTONDOWN鼠标左键按下简单说窗口消息就是 Windows 图形界面的事件通信机制。如果把 GUI 程序看成一个个窗口那么窗口消息就是这些窗口之间进行交互的“通信协议”。5.2 为什么窗口消息也涉及安全窗口消息看起来只是 GUI 行为但它背后有安全风险。典型风险就是历史上的Shatter Attack低权限进程向高权限窗口发送恶意窗口消息高权限窗口错误处理消息攻击者借此影响高权限进程行为。为了解决这类问题Windows 引入了多层保护完整性级别Integrity LevelUIPIUser Interface Privilege Isolation会话隔离桌面隔离权限边界。现代 Windows 不允许低权限进程随便给高权限窗口发送危险消息这是安全设计不是系统异常。5.3 运维排障中怎么理解窗口消息问题在桌面支持场景中窗口消息机制经常体现在这些问题里自动化脚本无法控制管理员窗口普通程序无法操作 UAC 提示框服务程序无法弹出用户可见窗口不同远程桌面会话之间看不到彼此窗口某些程序只有在当前登录用户桌面中运行才正常。遇到这类问题时不要只从“软件有没有启动”判断还要问这个进程在哪个 Session在哪个 Desktop它的完整性级别是多少它有没有资格给目标窗口发送消息6. Sysinternals 视角如何把这些概念用于排障理解概念只是第一步真正有价值的是把它们用到排障中。在 Sysinternals 工具链里最常用的是Process ExplorerProcess MonitorAutorunsHandleProcDump对于本节内容最直接相关的是 Process Explorer。6.1 用 Process Explorer 看 Session ID建议在 Process Explorer 中启用以下列View → Select Columns → Process Image勾选Session IDUser NameIntegrity LevelCommand LineImage Path这样你就能快速判断进程属于哪个用户进程在哪个 Session是否运行在管理员权限是否属于服务进程是否是远程桌面用户启动的程序。6.2 排查服务无法弹窗如果用户反馈服务程序运行了但桌面没有弹窗。不要直接判断软件坏了可以按下面思路排查是否服务程序没有弹窗进程是否在 Session 0服务与用户桌面隔离检查用户会话和桌面状态改用托盘程序/客户端程序与服务通信检查权限、完整性级别、窗口站和桌面推荐做法是使用“服务 用户态客户端”的架构而不是让服务直接弹 GUI。6.3 排查远程桌面多用户问题在多用户 RDP 环境中如果发现用户 A 的程序无法影响用户 B多个explorer.exe同时存在某个进程只在某个远程用户中出现优先查看Session ID User Name判断它到底属于哪个登录环境。不要只看进程名同名进程可能属于完全不同的用户会话。6.4 排查 UAC 自动化失败如果自动化脚本无法点击 UAC检查脚本运行权限检查目标窗口完整性级别判断是否切换到了 Secure Desktop不建议通过绕过安全边界的方式处理。更规范的方式是使用管理员权限启动必要程序使用企业软件分发工具使用计划任务或服务端授权机制通过标准化脚本提升前置权限。7. 我的理解这几个概念应该怎么记如果只背定义很容易混乱。我建议用一个“剧场模型”来记Windows 概念类比理解作用Session一场登录演出区分不同用户登录环境Window Station这一场演出的舞台系统管理输入输出和窗口资源Desktop当前展示的具体舞台承载窗口和交互界面Window Messages舞台上角色之间的喊话驱动窗口事件与交互一句话记忆Session 是“谁在哪一场”Window Station 是“这一场的窗口空间”Desktop 是“当前看到的画布”Window Messages 是“窗口之间的通信”。再结合排障角度现象优先检查服务弹窗看不到Session 0 IsolationRDP 多用户混淆Session IDUAC 自动点击失败Secure Desktop / UIPI程序窗口不显示Window Station / Desktop跨进程 UI 操作失败Integrity Level / Window Messages8. 总结图形界面不是一块屏幕而是一套分层安全结构这一节看起来讲的是 Windows 图形界面其实本质上讲的是Windows 如何在同一台机器上隔离不同用户、不同权限、不同交互环境。可以用三句话总结第一会话 Session让一台机器可以同时承载多个登录环境本地用户、远程用户和系统服务可以各自运行在不同 Session 中。第二窗口站和桌面共同构成 Windows 图形界面的分层舞台锁屏、登录、UAC、安全桌面本质上都和 Desktop 切换有关。第三窗口消息是 GUI 程序之间的通信机制但它受到 Session、Desktop、完整性级别和 UIPI 的多重限制所以低权限程序不能随便控制高权限窗口。当我们用 Sysinternals 工具分析桌面问题时不应该只看“进程是否存在”还要看它属于哪个 Session、哪个用户、哪个完整性级别以及它是否处在正确的图形交互边界内。到这里第 2 章关于 Windows 系统内部结构的关键积木已经基本串起来了管理员权限进程、线程、作业用户模式和内核模式句柄应用程序隔离应用容器受保护进程调用栈和符号会话、窗口站、桌面和窗口消息这些概念不是孤立的术语而是我们后续使用 Sysinternals 排查复杂 Windows 问题时的底层地图。 返回顶部点击回到顶部

相关文章:

2.9 会话、窗口站、桌面和窗口消息:图形界面背后的“分层舞台”

🔥个人主页:杨利杰YJlio❄️个人专栏:《Sysinternals实战教程》《Windows PowerShell 实战》《WINDOWS教程》《IOS教程》《微信助手》《锤子助手》 《Python》 《Kali Linux》 《那些年未解决的Windows疑难杂症》🌟 让复杂的事情更…...

导航参数的精细化管理

在React Native应用中,导航是用户体验的一个关键部分,尤其是在处理多屏幕数据传递时,如何管理和区分不同的数据源显得尤为重要。本文将通过一个实际的例子来展示如何通过精细化管理导航参数,解决数据源区分的问题。 问题背景 假设我们有一个应用,包含四个屏幕:Home、Se…...

1985-2025.12最新亿量级裁判文书全量数据

中国裁判文书网是依托最高人民法院政务网站建立的二级网站,栏目包括刑事案件、民事案件、行政案件、赔偿案件、执行案件和知识产权,具备一定的分类和检索功能,另外还设置了专门用于收集社会各界意见的邮箱。网站公布的生效裁判文书&#xff0…...

2.7 受保护进程:那些连 Sysinternals 都“不好惹”的进程

🔥个人主页:杨利杰YJlio❄️个人专栏:《Sysinternals实战教程》《Windows PowerShell 实战》《WINDOWS教程》《IOS教程》《微信助手》《锤子助手》 《Python》 《Kali Linux》 《那些年未解决的Windows疑难杂症》🌟 让复杂的事情更…...

C++之 CMake、CMakeLists.txt、Makefile

这两者的关系其实非常好理解,我们可以用一个**“盖房子”**的例子来打比方。 简单来说:CMake 是“设计师”,Makefile 是“施工图纸”,Make 是“施工队”。 🏠 直白的大白话解释 想象你要盖一栋房子(编译一个…...

财务数字化——解读集团财务管理体系构建【附全文阅读】

适应人群:集团董事长、总裁、CFO / 财务总监、财务经理、子公司经营负责人、战略与人力资源管理者。 重要性总结:本方案是一套国际水准、本土落地的集团化财务管理全案,以价值创造为核心,搭建 “战略 — 组织 — 流程 — 内控 — 资金 — 考核” 一体化闭环体系,直击传统财…...

Python正态性检验全解析:方法对比与实战应用

## 1. 正态性检验的核心价值与应用场景正态分布是统计学中的基石假设,90%的经典统计方法(如t检验、ANOVA、线性回归)都建立在数据服从正态分布的前提上。但在真实数据分析中,我们常遇到这样的困境:一组数据的直方图看起…...

wanwu框架:中文AI应用开发全栈解决方案,从RAG到智能体工作流

1. 项目概述:一个面向中文场景的AI应用开发框架最近在AI应用开发领域,一个名为“wanwu”的项目在开发者社区里引起了不小的讨论。这个由UnicomAI团队开源的项目,定位非常清晰:它旨在为中文场景下的AI应用开发,提供一个…...

LLM应用开发工具全景指南:从RAG到智能体的高效选型与实践

1. 项目概述与核心价值最近在折腾大语言模型(LLM)应用开发时,我遇到了一个非常典型的问题:想法很多,工具很杂。想给模型加个联网搜索功能,发现 LangChain 和 LlamaIndex 都能做,但哪个更适合我的…...

IoC DI 使⽤

既然 Spring 是⼀个IoC(控制反转)容器,作为容器,那么它就具备两个最基础的功能:• 存• 取Spring容器管理的主要是对象,这些对象,我们称之为"Bean".我们把这些对象交由Spring管理,由 Spring来负责对象的创建和销毁.我们…...

AI Agent 面试题 006:Agent的自主性(Autonomy)具体体现在哪些方面?

🔥 AI Agent 面试题 006:Agent的自主性(Autonomy)具体体现在哪些方面?摘要:本文深入解析了「Agent的自主性(Autonomy)具体体现在哪些方面?」这一 AI Agent 领域的核心面试…...

向量检索核心知识整理

一、向量基础:Embedding 与维度选择 1. 向量化核心流程:非结构化数据 → 向量 向量化是将文本、图像、音频等非结构化数据,通过 Embedding 模型 转化为高维稠密向量的过程,是向量检索的基础:数据类型常用模型文本BGE、…...

哈希密钥:解锁unordered容器的极速潜能

目录 一.unordered系列关联式容器 二:unordered_set 1:unordered_set用法详解 1.1:模板参数介绍 1.2:unordered_set的构造函数 1.3:常用接口使用 1.3.1:insert与erase 1.3.2:find与size与empty 1.3.3:clear与swap与count 1.3.4:迭代器 1.3.5:桶操作 三:unordered_ma…...

31.在函数组件里如何使用多个 state 变量?

在 React 中,你可以通过多次调用 useState 来管理多个彼此独立的状态。每一次 useState(...) 都会创建一块独立的 state,以及对应的更新函数,这样更清晰、也更便于维护。示例:在一个表单里管理多个 stateimport React, { useState…...

OPA策略引擎:从原理到Kubernetes集成的云原生策略管理实践

1. 项目概述:什么是 OPA,以及它为何如此重要如果你在云原生、微服务或者 DevOps 领域工作,那么“策略即代码”这个概念你一定不陌生。而提到策略即代码,就绕不开Open Policy Agent,也就是我们常说的 OPA。简单来说&…...

13.有没有PCB焊接过程的图片,没有自己怎么弄

1.有没要PCB焊接过程的图片,没有自己怎么弄解释:我们并不提供PCB焊接过程的图片,如果有需要的同学可以自己用我们提供的PCB文件打印PCB板子(打印下单不会的看本站下单教程),然后自己使用电烙铁焊接一片&…...

1. 开发工具软件介绍

1.开发工具软件怎么安装 我们提供的开发工具就是这个项目需要用到的软件,包括keil5安装包、STLINK驱动、AD软件等等 软件介绍 Keil5 是一款针对ARM架构单片机(尤其是STM32系列)的集成开发环境(IDE),集成了…...

Transformer线性层与激活函数:原理与优化实践

1. Transformer模型中的线性层与激活函数解析在Transformer架构中,线性层(Linear Layers)和激活函数(Activation Functions)构成了模型处理信息的基础单元。不同于传统神经网络,Transformer通过自注意力机制…...

Changelogger:实时更新日志聚合器的架构设计与工程实践

1. 项目概述与核心价值在技术迭代日新月异的今天,尤其是AI工具和开发者软件领域,几乎每天都有新的功能发布、API更新或产品迭代。作为一名长期泡在代码和产品里的从业者,我深有体会:错过一个关键更新,可能意味着浪费数…...

新能源上市公司361个指标数据2000-2021年

01、数据简介新能源汽车是指采用非常规的燃料如石油等作为动力来源,或者采用新型动力装置,采用先进的技术原理,具有新技术新结构的汽车,根据《新能源汽车产业发展规划(2021—2035年)》,我国将深…...

各地级市数字经济政策文本词频统计2002-2022年

01、数据介绍全国各地级市大力发展电子信息制造业,加快数字经济产业基础建设,建设数字经济创新生态,推动数字化转型和商业模式创新,布局数字经济未来产业,加快发展智能制造、数字化营销等数字经济新业态模式&#xff0…...

专利转让数据库1985-2021年

01、数据简介专利所有权转让是指专利获得国家知识产权局授权,获得专利的所有权,专利权人将其拥有的专利权转让给个人以及企业等法律行为。转让行为在国务院专利行政部门进行登记,签订书面合同。通过转让合同取得专利申请权或专利权的合同当事…...

全国排污许可证详细信息数据库2023年

01、数据简介排污许可证是允许排污单位排放一定数量污染物的凭证。它是由环境保护行政主管部门在排污单位提出申请后,经审查合格后发放的。排污许可证制度是环境管理的重要手段,可以强制对企业污染物排放控制和管理,对研究污染控制和环境治理…...

sfsEdgeStore 使用golang 是否有竞争力

sfsEdgeStore 使用 Golang 不仅具有极强的竞争力,而且是其在工业物联网边缘侧生存的“杀手锏”。结合刚才我们讨论的“Java 在国内业务层的统治地位”以及搜索到的资料,sfsEdgeStore 选择 Go 语言是典型的**“在正确的场景使用了正确的工具”**。以下是 …...

自洽性与Agent的结合

让智能体学会“自我验证”,提升决策可靠性。随着大语言模型(LLM)从单纯的“对话接口”演进为“行动中枢”,AI Agent(智能体)正逐步突破“被动响应”的局限,向“自主决策、主动执行”的高阶形态演…...

AI日报:24小时全球科技热点速览

每日AI新闻推送:近24小时全球科技热点深度报告 日期:2026年4月24日 摘要:过去24小时内,AI领域迎来密集爆发。具身智能从“炫技”转向“实干”,数据成为核心瓶颈与竞争高地;特斯拉Optimus V3定档年中亮相&a…...

基于PraisonAI的多智能体编排框架:从YAML配置到生产部署全解析

1. 项目概述:当AI遇上AI,一个能指挥大模型的“指挥官”最近在折腾AI应用开发的朋友,可能都遇到过这样的困境:手头有好几个强大的模型,比如OpenAI的GPT-4、Anthropic的Claude,还有开源的Llama 3,…...

设计Section 12:Related PCB Assembly Services

这个区块只做 Related Services 内链卡片。不做:FAQ Schema FAQ 区 Ninja Tables Fluent Forms Custom HTML Gutenberg Spacer Gutenberg Separator Phase 2 占位内容一、使用组件结构Gutenberg Group └── Gutenberg Group├── Gutenberg Group:橙色…...

定义类的方法和CRC建模

在面向对象分析与设计(OOAD)中,定义类的方法 和 CRC 建模 是衔接“需求分析”与“详细设计”的关键技术。前者关注如何为类分配职责(行为),后者提供了一种轻量、协作式的建模方法来验证类的职责与协作关系。 一、定义类的方法 1.1 什么是类的方法? 类的方法(Method)…...

量子机器学习:原理、算法与工程实践

1. 量子机器学习:当传统算力遇到物理极限 三年前我在处理一个蛋白质折叠预测项目时,第一次真切感受到经典计算机的算力瓶颈。当模型参数超过1亿,即使使用最先进的GPU集群,训练周期仍然长达两周。正是那次经历让我开始关注量子计算…...