Windows NT下和Windows 9x下DLL的存在形式

最近看到了一個模擬LoadLibrary的代碼,其中有這麼一段

 if(g_bIsWinNT) ...{
   // === Windows NT DLL Loading (supports shared sections) ===
   if(svMappingName!=NULL) ...{
    hmapping=OpenFileMapping(FILE_MAP_WRITE,TRUE,svMappingName);
    bCreated=FALSE;
   }
   if(hmapping==NULL) ...{
    hmapping=CreateFileMapping(INVALID_HANDLE_VALUE,NULL,PAGE_READWRITE,0,dwImageSize+SIZE_OF_PARAMETER_BLOCK,svMappingName);
    if(hmapping==NULL) return NULL;
    bCreated=TRUE;
   }

   // Try to load file mapping view at preferred image base (not gonna happen in Win9x..sigh)
  
   pImageBase=MapViewOfFileEx(hmapping,FILE_MAP_WRITE,0,0,0,pPreferredImageBase);
   if(pImageBase==NULL) ...{
    pImageBase=MapViewOfFileEx(hmapping,FILE_MAP_WRITE,0,0,0,NULL);
   }
   CloseHandle(hmapping);     
   if(pImageBase==NULL) return NULL;
  } else ...{
   // === Windows 9x DLL Loading (does not support shared sections) ===
   pImageBase=VirtualAlloc(pPreferredImageBase,dwImageSize,MEM_COMMIT|MEM_RESERVE,PAGE_READWRITE);
   if(pImageBase==NULL) ...{
    pImageBase=VirtualAlloc(NULL,dwImageSize,MEM_COMMIT|MEM_RESERVE,PAGE_READWRITE);
    if(pImageBase==NULL) return NULL;
   }

   bCreated=TRUE; 
  }

可見Windows NT和Windows 9x下面對於dll的空間分配是不一樣的,Windows NT會使用共享內存,而Windows 9x對任何DLL都會產生一個新的空間來放置.

所以同一個程序,在9x下面每次運行,模塊的地址都很不一樣,而在NT下面只要在同一個機器下面,每次運行都很可能一樣(除非模塊變化了--比如中了注入的病毒),道理就在這裏