[Archivo de boletines ^] [< Volumen 2, Número 2] [Volumen 2, Número 4 >]

Boletín de información interna de sistemas Volumen 2, Número 3

http://www.sysinternals.com
Copyright © 2000 Mark Russinovich

14 de junio de 2000: En este boletín:

1. EDITORIAL

2. NOVEDADES DE SYSINTERNALS

   • REGMON v4.25
   • ListDlls v2.22
   • TDImon v1.0
   • AutoRuns v1.1
   • LDMDump v1.0
   • Columnas internas de abril/junio

3. INFORMACIÓN INTERNA

   • Historial de compilación de Windows NT
   • Resolución del temporizador de Windows NT/2000
   • Reasignación del teclado
   • Asignación segura de memoria del sistema
   • Registro oculto del sistema de archivos de Windows 98
   • WinDev '00 West

4. PRÓXIMAMENTE

   • Claves "seguras" del registro de Windows 98

PATROCINADOR: WINTERNALS SOFTWARE

El Boletín de The Systems Internals está patrocinado por Winternals Software, en la Web en http://www.winternals.com. Winternals Software es el desarrollador líder y proveedor de herramientas avanzadas de sistemas para Windows NT/2K. Los productos Winternals Software incluyen FAT32 para Windows NT 4.0, ERD Commander Professional Edition (funcionalidad avanzada de disco de arranque para Windows NT) y Recuperación remota.

El recién lanzado TCPView Pro permite supervisar la actividad TCP/IP en los sistemas Windows NT 4.0, Windows 2000 y Windows 95/98. A diferencia de las herramientas de supervisión TCP/IP integradas que vienen con Windows (por ejemplo, netstat), TCPView Pro muestra qué proceso está asociado a cada dirección TCP/IP, lo que facilita determinar qué aplicación es responsable de conexiones y actividad específicas. TCPView Pro proporciona una vista dinámica y una estática. La vista estática muestra las direcciones IP locales abiertas actualmente, el proceso asociado a cada punto de conexión y la dirección IP remota a la que está conectado un punto de conexión. La vista dinámica, no disponible con ninguna otra utilidad, le permite ver la actividad TCP/IP por proceso en tiempo real.

Consulte http://www.winternals.com/products/tcpview.shtml. para obtener información de precios y descargar una versión de prueba de 14 días

Hola a todos:

Bienvenido al boletín de Systems Internals. El boletín tiene actualmente 22 000 suscriptores.

Dave Salomón y yo estamos en las fases finales de "Inside Windows 2000, 3ª Ed.", lo que significa que el libro estará disponible a mediados de agosto en lugar de a finales de julio (no sería un producto de Microsoft sin un desliz en la fecha de envío). Ahora que el libro ya está finalizado, puedo resumir lo que hay en él. En primer lugar, tiene aproximadamente un 50 % más de contenido que la edición anterior e incluye cuatro nuevos capítulos. Aquí está el índice:

1. Introducción
2. Architecture
3. Mecanismos del sistema
4. Inicio y apagado
5. Mecanismos de administración
6. Procesos y subprocesos
7. Administración de memoria
8. Seguridad
9. Sistema de E/S
10. Storage
11. Administrador de caché
12. Sistemas de archivos
13. Redes

Al igual que la segunda edición, el libro está lleno de experimentos que muestran los conceptos descritos. El libro también incluye un CD que tiene una copia de todo el sitio web de SysInternals, además de una serie de herramientas que usamos en los experimentos.

Dos herramientas que escribí específicamente para el libro fueron muy bien recibidas por los revisores. La primera se denomina LiveKD y te permite ejecutar cualquiera de los depuradores de kernel de Windows 2000 (i386kd, kd, WinDbg) en un sistema activo. Esto significa que inicia LiveKd, al especificar el depurador que quiere que hospede y, a continuación, escriba el depurador y tenga disponible todos los comandos de este que necesitaría si depurara un volcado de memoria. Prácticamente todos los experimentos basados en el depurador del libro se pueden ejecutar con LiveKD, lo que significa que no necesita un segundo sistema o un cable serie para realizarlos.

La segunda herramienta es una extensión de monitor de rendimiento que permite ver los valores dinámicos de cualquier variable de kernel. Si quiere supervisar la cantidad de grupo no paginado en uso con PerfMon, por ejemplo, tendría que seleccionar la variable MmAllocatedNonPagedPool.

Le informaremos en el boletín cuando salga el libro, pero ahora puede pedirlo con antelación a través del siguiente enlace de Amazon.com: www.sysinternals.com/links.htm. Como de costumbre, comparta el boletín de noticias a los amigos a quienes considere que podría interesarles.

Gracias

-Mark

NOVEDADES DE SYSTEMS INTERNALS

REGMON V4.25

Esta última actualización de la herramienta de supervisión del registro de regmon incluye compatibilidad con el nuevo tipo de consulta KeyNameInformation de Windows 2000 para los servicios del sistema ZwEnumerateKey y ZwQuerykey. Esta funcionalidad no se exporta para su uso por parte de las aplicaciones Win32, pero las funciones del registro de ADVAPI32 se utilizan como parte del uso del sistema de los subárboles del registro de registros de clases por usuario.

Hay dos formas en que las aplicaciones Win32 de Windows 2000 pueden abrir la parte del registro de clases del registro: pueden especificar HKEY_CLASS_ROOT o HKLM\Software\Classes. La primera devuelve un identificador a la clave de clase por usuario combinada con la clave de clase global y la segunda devuelve un identificador solo a la información global. La función del registro de ADVAPI32 solo puede determinar cuál especificó el usuario al examinar el nombre subyacente del identificador de clave del registro pasado por un usuario, de ahí la necesidad del nuevo tipo de consulta. Para más información sobre RegOpenKeyEx, consulte la documentación del SDK.

Descargue Regmon v4.25 en http:www.sysinternals.com/regmon.htm.

LISTDLLS V2.22

Cuando un desarrollador crea una biblioteca de vínculos dinámicos (DLL), le indica al enlazador la "dirección base" del archivo DLL, que es para la que el enlazador crea información de dirección relativa en el archivo de imagen del archivo DLL. Si un archivo DLL se carga en una dirección diferente de su dirección base, el cargador tiene que corregir todas las direcciones relativas a la imagen DLL cargada para tener en cuenta la diferencia.

Estas correcciones o reubicaciones pueden aumentar el tiempo de inicio de una aplicación, por lo que los desarrolladores obviamente quieren evitar que se produzcan. Sin embargo, es tedioso examinar la salida de un programa como ListDLLs, al comparar las direcciones de carga con la dirección base. Por lo tanto, hice que la versión 2.22 de ListDLLs opte por una nueva opción, -r, que tenga en cuenta que los archivos DLL reubicados en su salida.

Descargar ListDLLs v2.22 en http://www.sysinternals.com/listdlls.htm.

TDIMON V1.0

TDImon es la versión más reciente del potente conjunto de herramientas de supervisión de SysInternals, que muestra la actividad TCP y UDP en el sistema a medida que se produce. La herramienta toma su nombre del hecho de que supervisa la actividad TCP y UDP de la interfaz a la pila TCP/IP. Esta interfaz se denomina interfaz del controlador de transporte (TDI). Todas las actividades TCP y UDP de la aplicación y del controlador deben pasar por esta interfaz, lo que significa que TDImon detecta todas las actividades TCP o UDP, no se le escapa ninguna.

TDIMon comparte la misma GUI que sus primos, Filemon, Regmon, Portmon y DebugView, y, al igual que otras herramientas de supervisión, tiene capacidad de filtrado y resaltado y muestra los nombres de los procesos con actividad y marcas de tiempo. Esto hace que TDIMon sea una herramienta de solución de problemas de red ideal para los administradores y de depuración TCP/IP para desarrolladores de aplicaciones. TDImon funciona en Windows 95, 98, NT 4 y Windows 2000.

Descargue TDImon v1.0 en http://www.sysinternals.com/tdimon.htm.

LDMDUMP V1.0

Windows 2000 incluye un nuevo formato de creación de particiones denominado particionamiento temporal que supera algunos de los inconvenientes de la creación de particiones de estilo MS-DOS que todos los sistemas operativos Windows usaron hasta ahora. Un componente denominado Administrador de discos lógicos (LDM) administra volúmenes en discos con formato de particiones suaves, que se denominan discos dinámicos (los discos con particiones de estilo MS-DOS se denominan discos básicos). Además de ser más sólido debido a la creación del reflejo de particiones que implementan, los discos dinámicos tienen la ventaja de que permiten crear volúmenes de varias particiones sin tener que reiniciar el sistema para que los reconozcan y monten los controladores del sistema de archivos.

Microsoft no ha documentado el formato de la base de datos de creación de particiones LDM; de hecho, dado que han licenciado la tecnología de Veritas, que usa la misma base de datos en su software de administración de volúmenes UNIX, los contratos de licencia pueden impedir que Microsoft lo documente. Es posible que finalmente haya una interfaz IOCTL de Win32 en el LDM, pero mientras tanto descubrí el formato y escribí una herramienta denominada LDMDump que se puede usar para emparejar dentro de la base de datos de un disco dinámico. LDMDump presenta aproximadamente la misma información que la herramienta DmDiag del Kit de recursos de Windows 2000, pero LDMDump presenta la información de, según mi opinión, una manera mucho más limpia. No ofrezco código fuente de esta herramienta en este momento, pero si está interesado en licencias para sus propias aplicaciones, póngase en contacto conmigo.

Obtenga información sobre la base de datos LDM en mi columna "Inside Storage, Part 2" (Dentro del almacenamiento, parte 2) en la revista Windows 2000 Magazine en http://www.sysinternals.com/publ.htm.

Descargue LDMDump v1.0 en http://www.sysinternals.com/ldmdump.htm.

AUTORUNS V1.1

Es posible que ya esté familiarizado con AutoRuns, que publicamos en los últimos dos meses. AutoRuns muestra la configuración de ejecución automática para cada ubicación del registro y archivos .INI en los que se especifica dicha información (o eso pensamos). Los comentarios de los usuarios nos indicaron en algunas ubicaciones en las que faltan AutoRuns; esta versión más reciente ahora las muestra.

Descargue AutoRuns v1.1 en http://www.sysinternals.com/misc.htm.

COLUMNAS INTERNAS DE JUNIO/JULIO

¿Alguna vez te has preguntado exactamente cómo difieren los servicios Win32 de las aplicaciones Win32 estándar? O quizá tenga curiosidad por saber qué hace que la secuencia de arranque o apagado de NT tarde tanto. Respondo estas preguntas y muchos más en mi serie de junio/julio (en dos partes) sobre los servicios Win32 en Windows 2000 Magazine.

En la parte 1 le llevo dentro de la estructura de un servicio Win32 y explico cómo aceptan comandos de las aplicaciones cliente. A continuación, describo el Administrador de control de servicios (SCM), responsable de administrar los servicios Win32, incluido su inicio y apagado. En la parte 2 termino la descripción del proceso de inicio del servicio, que tiene lugar durante el arranque del sistema, y luego explico cómo SCM apaga los servicios. También eche un vistazo a las mejoras hechas por Microsoft en SCM de Windows 2000. Además, le explico cómo funciona la herramienta denominada Kit de recursos de SrvAny.

Los suscriptores de Windows 2000 Magazine pueden leer las columnas en línea en http://www.sysinternals.com/publ.htm.

INFORMACIÓN INTERNA

HISTORIAL DE COMPILACIÓN DE WINDOWS NT

Como aprendió en los boletines anteriores, el número de compilación de Windows NT (ahora Windows 2000) se incrementa cada día cuando el equipo genera una nueva compilación con las comprobaciones de código del día. Con mis antiguos discos CD con las versiones beta y candidata de lanzamiento, así como la ayuda de otros usuarios que llevan utilizando Windows NT más tiempo que yo, compilé una lista de los números de compilación que corresponden a las versiones públicas (betas, versiones candidatas y versiones completas). Tenga en cuenta que las fechas son la de compilación, no la del lanzamiento de la compilación. Por ejemplo, la compilación final de Win2K, 2195, se hizo en diciembre, pero se lanzó al público en febrero.

RESOLUCIÓN DEL TEMPORIZADOR DE WINDOWS NT/2000

Aunque Windows NT/2000 proporciona servicios, incluido QueryPerformanceCounter, que te permite medir los tiempos de espera hasta la resolución del contador del ciclo Pentium, sus servicios de intervalo de tiempo tienen una resolución un poco más baja. De hecho, la resolución predeterminada del temporizador es la misma que el intervalo de reloj del sistema, que es de 10 ms en sistemas x86 monoprocesador (suele ser de 7,5 ms o 15 ms en sistemas SMP). Las aplicaciones pueden usar las funciones del temporizador multimedia en el espacio de usuario para aumentar la resolución a 1 ms, pero los controladores no tienen nada que hacer si quieren resoluciones más altas, es decir, hasta Windows 2000.

Windows 2000 presenta una nueva función DDK, ExSetTimerResolution, que los controladores pueden usar para reducir el intervalo del temporizador del sistema a 1 ms. ¿Quiere conocer el funcionamiento interno de los temporizadores multimedia y ExSetTimerResolution? Consulte "Dentro de los temporizadores de alta resolución de Windows NT" en http://www.sysinternals.com/timer.htm.

ASIGNACIÓN SEGURA DE MEMORIA DEL SISTEMA

Aunque estamos en el tema de las nuevas funciones de kernel de Windows 2000 para desarrolladores de controladores, merece la pena mencionar MmGetSystemAddressForMdlSafe. En versiones anteriores de Windows NT, un desarrollador de controladores que deseaba tener un puntero de espacio de direcciones del sistema para el búfer de un usuario o parte de la memoria física, tenía que pasar una MDL (Memory Descriptor List o lista de descriptores de memoria) que describía el búfer físico en MmGetSystemAddressForMdl.

La creación de una asignación virtual en el espacio de direcciones del sistema usa un recurso denominado Entradas de tabla de páginas del sistema (PTE del sistema), en el que se requiere un PTE del sistema para cada página física asignada. Desafortunadamente, las PTE del sistema son recursos limitados y se pueden agotar si los controladores asignan grandes cantidades de memoria. ¿Qué ocurre cuando MmGetSystemAddressForMdl no puede obtener las PTE del sistema que requiere? Uno pensaría que haría algo útil como devolver NULL como la dirección virtual asignada. Pero no, deja de funcionar y se produce un error de pantalla azul en el sistema. Este tipo de comportamiento perjudica al controlador que lo solicita.

MmGetSystemAddressForMdlSafe de Windows 2000 hace lo que MmGetSystemAddressForMdl debería haber hecho: devuelve NULL si no hay suficientes PTE del sistema para crear la asignación del búfer. Use esta función para evitar un volcado que apunte al controlador. Si tiene un controlador que se ejecuta en NT 4 y Windows 2000, es conveniente lanzar dos versiones diferentes, una para cada plataforma, para que pueda aprovechar esta nueva API en Windows 2000.

REASIGNACIÓN DEL TECLADO

Si es como yo, empezó con un teclado UNIX en el que había una tecla ctrl en la posición que ocupa la tecla de Bloq Mayús en los teclados de PC. Para mejorar la velocidad de escritura y aprender algo sobre el desarrollo de controladores de dispositivo en Windows 9x y Windows NT, uno de mis primeros proyectos en ambos sistemas operativos fue implementar un controlador de reasignación del teclado. Puede encontrar la versión de Windows 9x en http://www.sysinternals.com/c2cap95.htm y la versión de Windows NT/2K en http://www.sysinternals.com/ctrl2cap.htm.

En Windows NT/2K hay una alternativa al uso de un controlador de filtro del teclado. Al definir entradas de reasignación de código de examen en el registro, puede volver a programar completamente el comportamiento del teclado. De hecho, el Kit de recursos de Windows 2000 incluye una herramienta denominada RemapKey que le permite intercambiar teclas mediante una representación gráfica del teclado. En este artículo del sitio web de Microsoft se habla sobre el reasignador del teclado y cómo funciona: http://www.microsoft.com/HWDEV/input/W2kscan-map.htm. Tenga en cuenta que la herramienta también funciona en NT 4.

Por lo tanto, supongamos que no tiene el Kit de recursos de Windows 2000 y prefiere no comprarlo (le recomiendo que lo haga, es un conjunto de herramientas y documentación interesantes). Si es así, puede reasignar manualmente el teclado. El artículo de Microsoft al que acabo de hacer referencia le indica el formato de la clave del registro donde el controlador del teclado busca códigos de reasignación (HKLM\ SYSTEM\CurrentControlSet\Control\Keyboard Layout\Scancode Map) y este artículo, también disponible en Microsoft, le indica los códigos de examen que corresponden a las teclas: http://www.microsoft.com/hwdev/download/desinit/scancode.zip.

Si lo único que quiere es intercambiar Bloq Mayús y control (tenga en cuenta que los filtros de mi teclado eliminan totalmente la tecla Bloq Mayús, ya que nunca la uso), puede copiar el siguiente texto (sin incluir los separadores "----") en un archivo (llámelo algo parecido a swapcaps.reg) y haga doble clic en el archivo. La configuración se importará en el registro y después de que se aplique un reinicio.

REGEDIT4

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout]
"Scancode Map"=hex:00,00,00,00,00,00,00,00,03,00,00,00,3a,00,1d,00,1d,00,3a,00,\
  00,00,00,00

Si quiere deshacer la asignación simplemente elimine el valor de asignación del código de examen del registro y reinicie.

REGISTRO OCULTO DEL SISTEMA DE ARCHIVOS DE WINDOWS 98

¿Alguna vez exploró el directorio del sistema de Windows 98 y observó un subdirectorio denominado \Windows\Applog? Dentro de este directorio, es probable que encuentre archivos con nombres que coincidan con los de las aplicaciones que ejecutó recientemente y extensiones como .LGC y .LGD. Abra uno de los archivos en el Bloc de notas y verá claramente un seguimiento de actividad del sistema de archivos, completo con nombres de archivo, desplazamientos y llamadas abiertas y cerradas. ¿Se trata de un virus que genera estos registros o es una utilidad secreta incluida con Windows 98 y que informa a Windows de los patrones de uso de la aplicación? Ninguna de las dos cosas (si fuera una de las dos, estaría leyendo sobre esto en la prensa especializada, no en el boletín de SysInternals). Forma parte de la característica "carga las aplicaciones más utilizadas hasta un 36 % más rápido" de Windows 98.

Debido a la entrada Taskmon en HKLM\Software\Microsoft\Windows\CurrentVersion\Run, Windows 98 inicia un programa de servicio durante el arranque denominado Taskmon. Taskmon carga un archivo VxD denominado FioLog (\Windows\System\FioLog.Vxd) para instalar un enlace de actividad del sistema de archivos con el fin de que pueda ver el uso de archivos durante los inicios de la aplicación. Taskmon supervisa la actividad del sistema de archivos de todas las aplicaciones mientras se inician, excepto las enumeradas en HKLM\Software\Microsoft\Windows\CurrentVersion\Taskmon\ExcludeApps. FioLog registra la actividad del sistema de archivos de inicio de la aplicación en el directorio Applog. Los archivos de registro que crea comienzan con la extensión .LGA. No está claro cómo determina cuándo eliminar un registro y cuándo crear uno nuevo para una aplicación con una nueva extensión con la última letra incrementada. Aquí hay una parte de un archivo de registro de ejemplo:

{
o da3034d0 d000 "C:\WINDOWS\NOTEPAD.EXE"
R da3034d0 0 40
R da3034d0 80 f8
R da3034d0 80 1c0
R da3034d0 7000 1000
R da3034d0 6000 e00
o da2b2610 156000 "C:\WINDOWS\SYSTEM\SHELL32.DLL"
R da2b2610 83000 1000
o da2b2f40 45110 "C:\WINDOWS\SYSTEM\SHLWAPI.DLL"
R da2b2f40 3c000 1000
R da2b2f40 3c000 1000
...

Las líneas se dividen en cuatro campos: el primero es el código de operación, en el que se abre o, se lee R y se cierra C. No verá un elemento W (para escritura), ya que FioLog solo registra operaciones de lectura durante el inicio de la aplicación para que este se pueda optimizar. El segundo campo es el puntero de archivo interno. Los campos tercero y cuarto se deben interpretar según el código de operación de la línea. Si el código de operación es R, el tercer campo es el desplazamiento de archivo y el cuarto la longitud de la lectura. Sin embargo, si el código de operación es o, el tercer campo son las marcas abiertas y el cuarto es el nombre del archivo que se abre. En el ejemplo, el seguimiento de la apertura de notepad.exe devuelve el puntero de archivo da3034d0, que, como se puede observar, se usa en las operaciones de lectura posteriores.

Al iniciar una operación de desfragmentación, el programa Defrag.Exe ejecuta un programa denominado CvtApLog (\Windows\System\Cvtaplog.exe) para procesar los archivos de registro. CvtApLog usa un archivo DLL denominado ClusAlgo.Dll (\Windows\System\Clusalgo.dll) para averiguar la ubicación óptima del clúster según los archivos de registro que lee , a continuación, registra esta información en los archivos denominados \Windows\Applog\Applog.d* que guían el proceso de desfragmentación. CvtApLog también genera un archivo denominado \Windows\Applog\Optlog.txt que resume las optimizaciones de inicio de la aplicación que dictan los archivos de registro. Este es el contenido parcial de un archivo Optlog.txt:

Program Launch Optimization Log - Created Tue Jun 13 11:42:52 2000

Programs Eligible for Optimization:
Ord Flag ProgName Uses   LastExecDate Program Path                           
1        RUNDLL32 65     2000.06.13   C:\WINDOWS\RUNDLL32.EXE                
2        ATIPTAAB 31     2000.06.13   C:\WINDOWS\SYSTEM\ATIPTAAB.EXE         
3        NOTEPAD  22     2000.06.13   C:\WINDOWS\NOTEPAD.EXE                 
4        PING     9      2000.06.10   C:\WINDOWS\PING.EXE                    
…             
17       IEXPLORE 2      2000.06.01   C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE

Programs Ineligible for Optimization:
Ord Flag ProgName Uses   LastExecDate Program Path                           
18  S    GREP     5      2000.06.13   C:\BIN\GREP.EXE                        
19  S    STRINGS  12     2000.06.13   C:\BIN\STRINGS.EXE                     
20  S    ATI2CWXX 31     2000.06.13   C:\WINDOWS\SYSTEM\ATI2CWXX.EXE         

Control Parameters:
Use app profile        = Yes
Minimum log size    = 1000
Maximum no use days = 90
Maximum apps        = 50

Flags for Ineligible Programs:
S = Log size smaller than <Minimum log size>
U = Program not used for more than <Maximum no use days>
P = No profile for program
E = Associated program no longer exists
D = Log deleted (may be combined with one of the above)

La capacidad de Windows 98 de mover las partes de los archivos usados durante el inicio de una aplicación a un área contigua en el disco es una tecnología para la que Microsoft tiene licencia de Intel (para ver esto, ejecute Defrag.exe manualmente y el texto "Intel Application Launch Accelerator").

WINDEV '00 WEST

WinDev '00 East se celebró la semana pasada con una asistencia récord de 660 personas (que era la capacidad máxima del hotel). Los ponentes presentes en la conferencia representan a los grandes nombres de todas los áreas de desarrollo de Windows, desde el genio del COM Don Box hasta los expertos en controladores Jamie Hanrahan y Brian Catlin. Entre mis sesiones están las siguientes: "Aspectos internos de Windows 2000", "Controladores avanzados", "Controladores del sistema de archivos de Windows NT/2000" y "Servidor de clústeres".

Si lamenta habérselo perdido, tiene suerte, porque tendrá una segunda oportunidad. WinDev '00 West se celebrará en Santa Clara, California, del 11 al 15 de septiembre, y estarán presentes los mismos ponentes. Impartiré las mismas sesiones y, como en WinDev East, regalaré camisetas de SysInternals a los asistentes que respondan a mis preguntas o hagan preguntas especialmente perspicaces. Puede encontrar más información en http://www.butrain.com/windev/west/default.htm.

PRÓXIMAMENTE

CLAVES "SEGURAS" DEL REGISTRO DE WINDOWS 98

Aunque el registro de Windows 98 no admite la seguridad, Microsoft ha implementado un mecanismo para definir claves ocultas del registro. ¿Qué aplicación hace uso de esta tecnología invisible? Internet Explorer, por supuesto. La próxima vez, explicaré qué claves oculta IE y cómo las implementa Windows 98.

Gracias por leer el Boletín de Systems Internals.

Publicado el miércoles, 14 de enero de 2000, 19:08 por ottoh

[Archivo de boletines ^] [< Volumen 2, Número 2] [Volumen 2, Número 4 >]