Windows平台下的可执行程序以PE（Portable Executable）格式存储于磁盘，启动的核心本质是将PE文件从磁盘加载至内存，完成进程初始化与指令执行，最终实现程序运行；而程序退出则是反向流程，核心是终止指令执行、回收系统资源，确保无资源泄漏。整个流程涉及系统调用、内存管理、进程调度等核心机制。本文将按步骤拆解Windows平台下可执行程序（.exe）的启动及退出流程。
步骤1：触发启动指令（用户态触发与系统调用）
程序启动的触发源于用户操作，本质是触发系统调用，向操作系统发起进程创建请求，常见触发方式及底层逻辑如下：
– 双击桌面图标/开始菜单启动：图标本质是快捷方式（.lnk文件），系统解析快捷方式指向的PE文件路径，最终调用CreateProcess函数发起进程创建请求；
– 右键“打开”或命令行启动：直接指定PE文件路径，通过ShellExecute或CreateProcess函数触发启动流程，命令行启动可通过cmd或PowerShell传入启动参数；
– 其他触发方式：通过进程间通信（IPC）、服务启动（services.msc）等方式，本质也是通过系统调用触发PE文件加载；此外，通过调试器（如Visual Studio）启动程序，会额外触发调试器附加逻辑，同步监控进程启动全过程。
核心要点：所有启动方式最终都会映射到Windows API的进程创建接口（CreateProcess最终调用ntdll.dll的NtCreateProcessEx），由用户态切换至内核态，启动内核态的进程创建流程；若启动时携带管理员权限请求，会触发UAC弹窗校验，通过后以高权限启动进程。
步骤2：PE文件定位与路径解析
系统接收到启动请求后，首要任务是定位目标PE文件，完成路径解析与合法性校验前置：
1. 路径解析：系统根据触发指令中的路径（快捷方式指向路径、命令行输入路径），通过文件系统驱动（NTFS/FAT32）定位磁盘上的PE文件，获取文件句柄；若路径为相对路径，系统会按环境变量（PATH）顺序查找PE文件；
2. 初步校验：确认文件存在且为可执行类型（文件头标识为0x4D5A，即“MZ”标识），排除非PE格式文件，避免无效启动请求。
核心要点：路径解析过程依赖Windows文件系统驱动（如ntfs.sys），涉及文件句柄的创建与权限校验（如当前用户是否有读取该PE文件的权限），为后续文件读取与加载奠定基础；若路径解析失败（如文件不存在、权限不足），会直接返回“找不到指定文件”“权限不足”等错误。
步骤3：PE文件合法性校验（内核态安全校验）
定位PE文件后，系统会在 kernel32.dll 与 ntdll.dll 的协同下，完成PE文件的合法性与安全性校验，避免恶意文件或损坏文件启动，核心校验内容如下：
1. PE文件完整性校验：解析PE文件头（IMAGE_DOS_HEADER、IMAGE_NT_HEADERS），校验文件结构是否完整，是否存在文件截断、篡改等问题；
2. 数字签名校验：校验PE文件的数字签名（若存在），确认文件未被篡改、来源合法，由Windows验证服务（WinVerifyTrust）完成；
3. 安全策略校验：结合系统安全策略（如UAC权限、杀毒软件实时监控），检测文件是否包含恶意代码、是否符合系统安全规则；
校验失败则终止启动流程，弹出对应错误提示（如“文件损坏”“数字签名无效”“权限不足”）；校验通过则进入后续加载流程；补充说明：部分第三方杀毒软件会拦截校验过程，对可疑PE文件进行额外扫描，扫描不通过也会终止启动。
步骤4：进程创建与系统资源分配
合法性校验通过后，系统会创建新的进程（Process）与线程（Thread），并为其分配必要的系统资源，核心操作如下：
1. 进程创建：内核态调用NtCreateProcess函数，创建进程控制块（PCB，即EPROCESS结构体），分配进程ID（PID），设置进程优先级、权限掩码等核心属性，进程初始状态为“就绪”；
2. 线程创建：调用NtCreateThread函数，创建主线程（初始线程），分配线程ID（TID），将主线程与进程关联，主线程初始状态为“就绪”，等待CPU调度；
3. 资源分配：
– 内存分配：通过虚拟内存管理机制，为进程分配虚拟地址空间，划分代码段（.text）、数据段（.data/.bss）、堆、栈等区域，将PE文件从磁盘映射至虚拟内存（采用内存映射文件机制，提升读取效率）；
– 其他资源：分配文件句柄、注册表访问权限、网络权限等，确保程序运行所需的资源可用。
核心要点：进程是资源分配的基本单位，线程是调度执行的基本单位，虚拟内存映射是PE文件加载的核心机制（通过CreateFileMapping和MapViewOfFile实现），避免将整个文件一次性加载至物理内存，节省资源；此外，系统会为进程分配默认的堆空间（由ntdll.dll初始化），供程序运行时动态申请内存。补充缺失点：进程创建时会继承父进程的环境变量（如PATH、USERPROFILE），环境变量会用于后续DLL查找、文件路径解析等操作；同时会初始化进程的句柄表，用于管理进程所有打开的内核对象（文件句柄、线程句柄等）。
步骤5：PE文件加载与依赖解析（DLL加载）
进程与资源分配完成后，系统会完成PE文件的加载与依赖动态链接库（DLL）的解析，核心流程如下：
1. PE文件加载：根据PE文件头中的节表信息，将代码段、数据段等内容从磁盘加载至虚拟内存的对应地址，完成重定位（解决代码中绝对地址的偏移问题，确保指令能正确执行）；
2. DLL依赖解析：遍历PE文件的导入表（IMAGE_IMPORT_DESCRIPTOR），解析程序依赖的所有DLL文件（如kernel32.dll、user32.dll等系统核心DLL），按顺序加载所有依赖DLL；
3. 导入表填充：DLL加载完成后，将DLL中导出函数的地址填充至程序的导入表中，确保程序能正常调用DLL中的函数；若缺少依赖DLL或DLL版本不兼容，会弹出“缺少XXX.dll”错误，终止启动。
核心要点：DLL加载采用“延迟加载”机制（可通过编译选项配置，对应/DELAYLOAD链接器选项），非必要DLL会在程序调用时才加载，提升启动效率；重定位是PE文件加载的关键（通过重定位表IMAGE_BASE_RELOCATION实现），确保程序在不同虚拟地址空间中能正常执行；补充：若PE文件启用了ASLR（地址空间布局随机化），虚拟内存加载地址会随机分配，进一步提升安全性。补充缺失点：DLL加载时会检查DLL的依赖（即DLL的导入表），若DLL存在依赖链（如A.dll依赖B.dll），会递归加载所有依赖DLL；此外，系统会维护DLL的引用计数，每加载一次引用计数加1，卸载一次减1，引用计数为0时才会彻底释放DLL内存。
步骤6：主线程启动与程序入口执行
PE文件与依赖DLL加载完成后，系统会调度主线程启动，执行程序入口指令，完成程序初始化，核心流程如下：
1. 主线程调度：CPU调度器根据进程优先级，将主线程从“就绪”状态切换为“运行”状态，开始执行指令；
2. 入口点执行：主线程首先执行PE文件头中指定的入口点（Entry Point），对于C/C++编写的程序，入口点通常是mainCRTStartup（控制台程序）或WinMainCRTStartup（窗口程序），而非用户编写的main/WinMain函数；
3. 程序初始化：入口函数会完成CRT（C运行时库）初始化、全局变量/静态变量初始化、线程局部存储（TLS）初始化、窗口创建（窗口程序，调用CreateWindowEx）、资源初始化等操作，最终执行用户编写的核心逻辑（main/WinMain函数），程序界面（若有）显示，启动完成；补充：若程序是控制台程序，会自动创建控制台窗口，关联标准输入/输出流。补充缺失点：入口函数执行前，系统会完成PE文件的IAT（导入地址表）修复，将导入表中DLL函数的“占位地址”替换为实际的函数地址，确保程序能正常调用DLL函数；对于带manifest清单的程序，会加载清单中指定的依赖组件（如公共控件库），确保程序界面兼容性。
步骤7：进程运行与系统监控
程序启动完成后，进入运行状态，系统会通过内核态进程监控机制，全程管理进程的运行，核心监控与管理操作如下：
– 进程调度：CPU调度器根据进程优先级、线程状态，动态调度进程的线程执行，实现多进程、多线程并发运行；
– 异常处理：若程序出现异常（如内存访问越界、断言失败），系统会触发异常处理机制（SEH，结构化异常处理），若程序未注册自定义异常处理函数，系统会弹出“程序无响应”或“程序崩溃”提示，可选择调试或强制关闭；
– 资源管理：实时监控进程的资源占用（内存、CPU、磁盘I/O），若资源占用过高，系统会进行资源调度；进程终止时，回收其占用的所有系统资源（虚拟内存、文件句柄等），避免资源泄漏。补充缺失点：运行过程中，进程可通过系统调用（如VirtualAlloc、VirtualFree）动态申请/释放虚拟内存，系统会根据物理内存使用情况，进行页面置换（页面调入/调出），确保进程正常运行；同时，系统会监控进程的句柄泄漏问题，若进程打开句柄后未及时关闭，会记录句柄信息，便于排查问题。
步骤8：程序退出流程（核心操作与资源回收）
程序退出是启动流程的反向操作，核心目标是安全终止指令执行、彻底回收所有分配的系统资源，避免资源泄漏，分为“正常退出”和“异常退出”两种场景，底层操作统一且严谨，具体步骤如下：
1. 触发退出指令（两种场景）：
– 正常退出：由用户主动操作（如点击窗口关闭按钮、快捷键Ctrl+F4）或程序自身逻辑触发（如执行完main/WinMain函数后返回），最终调用ExitProcess函数（用户态），发起退出请求；
– 异常退出：程序运行中出现未处理异常（如内存崩溃、断言失败）、被系统强制终止（如任务管理器结束进程）或调试器终止，由系统调用TerminateProcess函数（内核态），强制触发退出流程。
2. 线程终止与资源清理（用户态）：
– 主线程终止：若为正常退出，主线程会先执行用户编写的退出逻辑（如保存配置文件、关闭文件流），再执行CRT终止函数（如exit、_exit），完成全局变量、静态变量的销毁，释放线程局部存储（TLS）资源；
– 子线程清理：系统会遍历当前进程的所有子线程，若子线程处于可终止状态，调用TerminateThread函数强制终止（异常退出）或等待子线程执行完收尾逻辑后终止（正常退出），避免子线程残留导致资源泄漏；
– 用户态资源释放：释放程序运行中动态申请的资源，如堆内存（free、delete）、文件句柄（CloseHandle）、网络连接（closesocket）、注册表句柄等，若程序未主动释放，后续会由系统兜底回收，但可能存在延迟。补充缺失点：用户态资源还包括GDI资源（如画笔、画刷、窗口句柄）、COM组件（需调用Release释放），这类资源若未主动释放，容易导致资源泄漏，甚至影响系统稳定性；正常退出时，CRT会自动清理自身分配的资源（如CRT堆），异常退出时则无法完成。
3. DLL卸载与依赖清理：
系统会反向遍历程序的导入表，按加载顺序的逆序卸载所有依赖的DLL文件，卸载过程中会调用DLL的DllMain函数（传入DLL_PROCESS_DETACH参数），执行DLL自身的清理逻辑（如释放DLL分配的内存、关闭DLL打开的资源）；若DLL被多个进程共享，则仅减少引用计数，直至所有进程卸载后，才彻底释放DLL占用的内存。
4. 进程终止与内核态资源回收：
– 进程状态切换：系统调用NtTerminateProcess函数（内核态），将进程状态从“运行”或“就绪”切换为“终止”状态，标记进程为可回收；
– 内核资源回收：销毁进程控制块（EPROCESS结构体），回收进程ID（PID）、虚拟地址空间（释放所有虚拟内存映射，包括PE文件映射、堆、栈），回收进程占用的内核资源（如文件句柄、网络端口、注册表权限等）；
– 调试器通知（若有）：若程序被调试器附加，系统会通知调试器进程已终止，调试器可执行后续调试逻辑（如记录退出状态、分析崩溃原因）。
5. 退出状态反馈：
进程终止后，会返回一个退出码（Exit Code），用于标识退出状态（0表示正常退出，非0表示异常退出，不同非0值对应不同异常原因，如1表示参数错误、2表示文件缺失）；父进程可通过WaitForSingleObject等函数获取子进程的退出码，判断子进程是否正常退出，进而执行后续逻辑。
核心要点：正常退出与异常退出的核心区别的是“是否执行用户态清理逻辑”——正常退出会完整执行程序自身的收尾代码，异常退出则直接强制终止，可能导致部分用户态资源未主动释放，需依赖系统兜底回收；无论哪种退出方式，系统都会确保内核态资源彻底回收，避免系统级资源泄漏。补充缺失点：异常退出时，系统会生成崩溃转储文件（.dmp），用于后续调试分析崩溃原因；若程序注册了异常回调函数（如SetUnhandledExceptionFilter），异常退出前会执行回调函数，可用于记录日志、保存关键数据；此外，进程退出时会发送WM_QUIT消息（窗口程序），通知所有窗口进行清理，确保窗口资源正常释放。
总结：启动-退出完整流程核心链路
用户触发启动指令（CreateProcess调用）→ PE文件定位与路径解析 → 内核态合法性与安全校验 → 进程/线程创建与资源分配 → PE文件加载与DLL依赖解析 → 主线程调度与入口点执行 → 程序初始化与运行 → 系统全程监控 → 触发退出指令（ExitProcess/TerminateProcess）→ 线程终止与用户态资源清理 → DLL卸载 → 进程终止与内核态资源回收。
整个流程涉及用户态与内核态的切换、虚拟内存管理、进程调度、DLL机制等核心Windows底层技术，补充遗漏要点：启动过程中还涉及PE文件的基址重定位、ASLR安全机制、CRT初始化、IAT修复、环境变量继承等关键环节；退出过程则重点实现资源彻底回收、崩溃转储生成、窗口消息通知与状态反馈；额外补充：启动与退出流程中，系统会通过ntdll.dll中的系统调用（如NtCreateProcessEx、NtTerminateProcess）完成用户态与内核态的切换，切换过程会涉及上下文保存与恢复，确保指令执行的连续性。理解这一完整闭环，有助于排查程序启动失败（如DLL缺失、权限不足、文件损坏、基址冲突、IAT修复失败）和退出异常（如资源泄漏、崩溃退出、句柄泄漏）等问题，也能为程序优化（如启动速度、资源占用、退出稳定性）提供方向。