虚拟地址中ImageBase地址前内容及可执行文件加载相关问题咨询

问题1：地址0x140000000之前、虚拟地址起始0x00000000之后的区间存储内容 #

这个区间属于64位Windows用户态进程的低地址可用空间，存储的内容主要分为以下几类：

• 最底部0x00000000~0x0000FFFF是空指针防护区，该区域默认无任何访问权限，任何读写执行操作都会触发访问违规，用来捕获空指针引用类的错误。
• 系统内置动态链接库（如ntdll.dll、kernel32.dll、user32.dll等）的镜像映射，系统dll的默认基地址普遍低于0x140000000，默认都会加载到该区间内。
• 进程运行期分配的动态内存：包括堆内存、各线程的栈内存、线程本地存储（TLS）结构、内存映射文件的映射区域等，默认也都会分配在该区间内。

需要注意：0x140000000只是微软给64位可执行文件设置的默认优先加载基地址，并不是用户态地址空间的分界点，Windows 64位用户态地址空间上限为0x00007FFFFFFFFFFF，整个区间都可以用来分配和映射内容。

问题2：可执行文件首次加载的定义，和程序入口点的关系 #

• 可执行文件首次加载指的是Windows系统加载器（Loader）处理PE文件时，优先尝试将PE的所有节（代码段、数据段、资源段等）按定义映射到0x140000000这个预设基地址的过程，该过程还包含加载依赖的所有动态链接库、修正重定位项、解析导入函数地址等准备工作。
• 这个加载过程和程序入口点是完全独立的两个阶段：加载是入口点执行的前置条件，所有加载准备工作全部完成后，系统加载器才会跳转到PE头中指定的入口点地址开始执行代码。通常这个默认入口点是C运行库提供的_tmainCRTStartup类函数，你编写的main函数也是由这个入口点函数调用执行的。

内容的提问来源于stack exchange，提问作者tbhaxor