揭秘 Windows ApiSet 机制api-ms-win-core 契约的 V2/V4/V6 内存布局与 Dependencies 源码解析【免费下载链接】DependenciesA rewrite of the old legacy software depends.exe in C# for Windows devs to troubleshoot dll load dependencies issues.项目地址: https://gitcode.com/gh_mirrors/de/Dependencies你是否在 Windows 上分析 DLL 依赖时遇到过一堆叫api-ms-win-core-*的幽灵 DLL磁盘上根本找不到它们程序却能正常运行。开源项目DependenciesDependencies.sln是经典工具 depends.exe 的现代化重写专门帮助 Windows 开发者排查 DLL 加载依赖问题而它破解 ApiSet 机制的源码正是理解api-ms-win-core契约的最佳切入点。本文将带你快速读懂 ApiSet 的 V2/V4/V6 内存布局以及 Dependencies 是如何解析它们的。一、什么是 ApiSet为什么找不到 api-ms-win-core.dllWindows 8 开始引入了ApiSet SchemaAPI Set 架构机制程序不再直接依赖真实的系统 DLL如kernel32.dll、user32.dll而是依赖一批虚拟的契约 DLL例如api-ms-win-core-libraryloader-l1-1-0.dll。这套机制解决了三个痛点ABI 稳定性应用只依赖契约名微软可以在后台自由更换实现它的宿主 DLL按需加载只有被实际引用的子系统才会被加载安全加固契约名与具体实现解耦便于缓解 DLL 侧加载攻击。关键在于这些契约 DLL 在磁盘上不存在。真实映射关系保存在System32\apisetschema.dll这个特殊 PE 文件中并由系统加载到 PEB进程环境块的ApiSetMap字段里。Dependencies 的源码 Phlib.cpp 就是从这里取数据的调用NtQueryInformationProcess拿到当前进程的 PEB 地址读取peb-ApiSetMap指针直接得到 ApiSet 命名空间结构体。二、V2/V4/V6 三代内存布局全解析ApiSet 命名空间结构体按操作系统版本演进为三代布局完整定义见 ApiSet.h版本操作系统命名空间头查找方式特色V2Windows 7API_SET_NAMESPACE_V2线性遍历结构最简无 FlagsV4Windows 8.1API_SET_NAMESPACE_V4线性遍历引入 Flags 与 Alias别名字段V6Windows 10API_SET_NAMESPACE_V6哈希表加速新增HashOffset/HashFactor带截断名HashedLength三代布局的核心差异V2L23-L33命名空间条目只有NameOffset / NameLength / DataOffset三个字段重定向表API_SET_VALUE_ENTRY_REDIRECTION_V2直接平铺在条目数组之后V4L52-L67每个条目和重定向项都增加了 4 字节Flags命名空间头多出一个Size字段条目还带AliasOffset支持别名查找V6L72-L102布局重构最激进——命名空间头分离出EntryOffset条目数组偏移与HashOffset哈希桶偏移条目中的NameLength之外新增HashedLength截断参与哈希的名字长度配合HashFactor实现 O(1) 级别的契约名查表。所有版本通过一个带Version判别字段的联合类型统一暴露API_SET_NAMESPACE三、Dependencies 源码解析版本分派与二分查找3.1 按版本号路由到对应解析器解析入口 ParseApiSetSchema 只做一件事读Version字段分派到 V2 / V4 / V6 解析器switch (apiSetMap-Version) { case 2: // Win7 return GetApiSetSchemaV2(apiSetMap-ApiSetNameSpaceV2); case 4: // Win8.1 return GetApiSetSchemaV4(apiSetMap-ApiSetNameSpaceV4); case 6: // Win10 return GetApiSetSchemaV6(apiSetMap-ApiSetNameSpaceV6); default: return gcnew EmptyApiSetSchema(); }每个解析器如 GetApiSetSchemaV2做的事都一样以结构体基址为base用相对偏移NameOffset、DataOffset、ValueOffset还原出契约名 → 宿主 DLL 列表的映射并统一转小写存储。3.2 二分查找利用契约名的有序性V2/V4 的解析器 V2V4ApiSetSchema 在Lookup中做了一次精巧的优化系统保证命名空间列表按字母序排列查找时先剥掉api-或ext-前缀再用二分查找 前缀匹配StartsWith定位契约V6 版本V6ApiSetSchema额外维护了一份截断名表HashedAll与系统哈希行为保持一致。这正是 V6 的 HashedLength 字段 的用途只参与哈希计算的截断名同样要参与前缀匹配。3.3 离线解析静态读取 .apiset 节除了读 PEBDependencies 还支持直接解析apisetschema.dll文件本身——PE::GetApiSetSchema 遍历 PE 节表找到名为.apiset的节直接从原始数据段构建命名空间。仓库的 test/ 目录下正好准备了三套回归测试样本apisetschema.v2.dllWin7 布局apisetschema.v4.dllWin8.1 布局apisetschema.v6.dllWin10 布局四、实战用 Dependencies 排查 api-ms-win-core 依赖理解机制后回到工具本身。Dependencies 把 ApiSet 解析整合进了完整的依赖分析流程ModuleInfo.cs 中的ApiSetModuleInfo会显示api-ms-win-core-xxx - kernel32.dll这样的重定向关系并用ApiSet标志位标记。GUI 模式运行DependenciesGui.exe后打开任意 PE 文件模块树中所有契约 DLL 都会标注其真实宿主解析逻辑见 BinaryCache.cs。CLI 模式命令行工具 Dependencies.exe 提供-apisetsdll参数直接转储指定apisetschema.dll文件中的全部重定向表-apisetsdll : dump the ApiSet schema from apisetschema FILE (api set dll - host dll)当契约对应的宿主 DLL 也缺失时ApiSetNotFoundModuleInfoModuleInfo.cs会以契约名 - 缺失宿主的形式醒目提示帮助你在 32 位/64 位清单混用、Redist 缺失等场景快速定位根因。五、小结一张图读懂 ApiSet 排查链路契约 DLL 找不到→ 它本来就不在磁盘上先想 ApiSet查 PEBApiSetMap→ 得到当前系统的命名空间GetApiSetNamespace看Version字段→ V2 / V4 / V6 三种内存布局对应 Win7 / Win8.1 / Win10用 Dependencies 验证→ GUI 模块树或 CLI-apisetsdll一键确认契约到宿主 DLL 的映射。Dependencies 的这套解析代码ClrPhlib/src/managed/Phlib.cpp ClrPhlib/include/ApiSet.h是开源社区里少见的、覆盖全部三代布局的实现配合 README.md 中关于 api set schema 支持的说明是学习 Windows API Set 机制不可多得的源码教材。【免费下载链接】DependenciesA rewrite of the old legacy software depends.exe in C# for Windows devs to troubleshoot dll load dependencies issues.项目地址: https://gitcode.com/gh_mirrors/de/Dependencies创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考