软件调试笔记38 - 堆和堆检查 ： 堆的创建和销毁

进程的默认堆：

WINDOWS在创建进程的时候，在加载函数执行进程的用户态初始化阶段，会调用RtlCreateHeap函数创建第一个堆，称为默认堆或进程堆。创建好的堆句柄保存在PET的ProcessHeap字段。

创建私有堆：

应用程序也可以通过API HeapCreate创建其他堆，只能被进程自己访问，所以称为私有堆。



HeapCreate主要调用RtlCreateHeap函数，因此私有堆跟默认堆并没有本质的差异，只是用途不同。RtlCreateHeap调用ZwAllocateVirtualMemory从内存管理器申请内存空间，初始化用于维护堆的数据结构，最后将堆句柄记录到PEB中。

堆列表：



销毁堆：

应用程序可以调用HeapDestroy销毁私有堆。它主要是调用NTDLL中的RtlDestroyHeap函数。后者从PEB堆列表中将要销毁的堆句柄移除，然后调用NtFreeVirtualMemory向内存管理器归还内存。