[Архив бюллетеней ^] [ Том 2, Число 2] [<Том 2, Число 4 >]

Информационный бюллетень внутренних систем 2, номер 3

http://www.sysinternals.com
Авторские права © 2000 Марк Руссинович

14 июня 2000 г. — в этой проблеме:

1. РЕДАКЦИОННЫЙ

2. НОВЫЕ ВОЗМОЖНОСТИ SYSINTERNALS

   • Regmon версии 4.25
   • ListDlls версии 2.22
   • TDImon версии 1.0
   • Автозапуск версии 1.1
   • LDMDump версии 1.0
   • Столбцы внутренних данных апреля/июня

3. ВНУТРЕННИЕ СВЕДЕНИЯ

   • Журнал сборки Windows NT
   • Разрешение таймера Windows NT/2000
   • Переназначка клавиатуры
   • Сопоставление безопасной памяти системы
   • Скрытое ведение журнала файловой системы Windows 98
   • WinDev '00 Запад

4. ЧТО ПРОИСХОДИТ

   • Разделы реестра Windows 98 "Безопасный"

СПОНСОР: WINTERNALS SOFTWARE

Информационный бюллетень по внутренним системам спонсируется По Winternals, в Интернете http://www.winternals.com. Winternals Software является ведущим разработчиком и поставщиком расширенных системных средств для Windows NT/2K. Продукты Winternals Software включают FAT32 для Windows NT 4.0, ERD Commander Professional Edition (расширенная возможность загрузки для Windows NT) и удаленное восстановление.

Недавно выпущенный TCPView Pro позволяет отслеживать действия TCP/IP в системах Windows NT 4.0, Windows 2000 и Windows 95/98. В отличие от встроенных средств мониторинга TCP/IP, которые входят в Windows (например, netstat), TCPView Pro показывает, какой процесс связан с каждым TCP/IP-адресом, что упрощает определение того, какое приложение отвечает за определенные подключения и действия. TCPView Pro предоставляет динамическое представление и статическое представление. В статическом представлении отображаются открытые локальные IP-адреса, процесс, связанный с каждой конечной точкой, и удаленный IP-адрес, к которому подключена конечная точка. Динамическое представление, недоступное в любой другой программе, позволяет просматривать действия TCP/IP в режиме реального времени.

Получение сведений о ценах и скачивание 14-дневной пробной версии по адресу http://www.winternals.com/products/tcpview.shtml.

Здравствуйте!

Добро пожаловать в информационный бюллетень System Internals. В настоящее время информационный бюллетень имеет 22000 подписчиков.

Дэйв Соломон и я находятся на заключительных этапах упаковки "Внутри Windows 2000, 3rd Ed.", что означает, что книга будет доступна в середине августа, а не в конце июля (это не будет продукт Майкрософт без скольжения в дате корабля). Теперь, когда книга находится в завершенной форме, я могу дать вам бегун о том, что в нем. Во-первых, он имеет около 50% больше содержимого, чем предыдущий выпуск, и включает четыре совершенно новые главы. Вот оглавление:

1. Введение
2. Архитектура
3. Системные механизмы
4. Запуск и завершение работы
5. Механизмы управления
6. Процессы и потоки
7. Управление памятью
8. Безопасность
9. Система ввода-вывода
10. Хранилище
11. Диспетчер кэша
12. Файловые системы
13. Сеть

Как и 2-й выпуск, книга полна экспериментов, демонстрирующих концепции, которые мы описываем. Книга также содержит компакт-диск с копией всего веб-сайта SysInternals, а также горстку инструментов, которые мы используем в экспериментах.

Два инструмента, которые я написал специально для книги, были очень хорошо получены рецензентами книги. Первый называется LiveKD и позволяет запускать любой из отладчиков ядра Windows 2000 (i386kd, kd, WinDbg) в динамической системе. Это означает, что вы запускаете LiveKd, указывая, какой отладчик требуется разместить, а затем вводите отладчик и имеете все команды отладчика, которые вы бы сделали, если бы вы отладили аварийный дамф. Практически все эксперименты на основе отладчика в книге можно запускать с помощью LiveKD, что означает, что для их выполнения не требуется вторая система или последовательный кабель.

Второй инструмент — это расширение монитора производительности, которое позволяет просматривать динамические значения любой переменной ядра. Если вы хотите отслеживать объем непагрегированного пула, используемого с PerfMon, например, вы выберете переменную MmAllocatedNonPagedPool.

Я дам вам знать в бюллетене, когда книга выходит, но вы можете предупорядочение сейчас через Amazon.com ссылку на www.sysinternals.com/links.htm. Как обычно, пожалуйста, передайте бюллетень друзьям, что вы думаете, найдет его интересно.

Спасибо!

-Метка

НОВЫЕ ВОЗМОЖНОСТИ ВНУТРЕННИХ СИСТЕМ

REGMON V4.25

Это последнее обновление средства мониторинга реестра Regmon включает поддержку нового KeyNameInformation типа запроса Windows 2000 для ZwEnumerateKey служб и ZwQuerykey системных служб. Эта функция не экспортируется для использования приложениями Win32, но используется функциями реестра в ADVAPI32 в рамках использования системных кустов реестра классов пользователей.

В Windows 2000 приложения Win32 можно открыть часть реестра регистрации классов: они могут указать или указать HKEY_CLASS_ROOT HKLM\Software\Classes. Первый возвращает дескриптор ключу класса для каждого пользователя в сочетании с ключом глобального класса, а второй возвращает дескриптор только глобальной информации. Функция реестра ADVAPI32 может только определить, какой пользователь указал, проверив базовое имя дескриптора раздела реестра, переданного пользователем, поэтому требование нового типа запроса. Дополнительные сведения см. в документации RegOpenKeyEx по пакету SDK.

Скачайте Regmon версии 4.25 по адресу http:www.sysinternals.com/regmon.htm.

LISTDLLS версии 2.22

При создании библиотеки динамической компоновки (DLL) компоновщик сообщает компоновщику базовый адрес библиотеки DLL, который является адресом, для которого компоновщик создает относительные сведения об адресе в файле образа DLL. Если библиотека DLL загружается по адресу, отличному от базового адреса, загрузчик должен исправить все относительные адреса в загруженном образе DLL, чтобы учитывать разницу.

Эти исправления или перемещения могут увеличить время запуска приложения, поэтому разработчики, очевидно, хотят предотвратить перемещение. Тем не менее, не рекомендуется просматривать выходные данные программы, например listDLLs, сравнивая адреса нагрузки с базовым адресом. Поэтому я сделал библиотеки DLL версии 2.22 с новым вариантом, -rчто содержит заметку о перемещении библиотек DLL в выходных данных.

Скачивание списков DLL версии 2.22 по адресу http://www.sysinternals.com/listdlls.htm.

TDIMON версии 1.0

TDImon является последним в мощном наборе средств мониторинга SysInternals, где отображается действие TCP и UDP в вашей системе по мере его выполнения. Средство берет свое имя из того факта, что он отслеживает действия TCP и UDP в интерфейсе в стеке TCP/IP, и этот интерфейс называется интерфейсом драйвера транспорта (TDI). Все действия TCP и UDP приложений и драйверов должны проходить через этот интерфейс, что означает, что действие TCP или UDP не проскользнет по TDImon незамеченным.

TDIMon использует тот же графический интерфейс, что и его двоюродные братья, Filemon, Regmon, Portmon и DebugView, а также другие средства мониторинга, в которых отображаются имена процессов выполнения действий, меток времени и возможности фильтрации и выделения. Это делает TDIMon идеальным средством устранения неполадок сети для администраторов и средства отладки TCP/IP для разработчиков приложений. TDImon работает в Windows 95, 98, NT 4 и Windows 2000.

Скачайте TDImon версии 1.0 по адресу http://www.sysinternals.com/tdimon.htm.

LDMDUMP V1.0

Windows 2000 включает новый формат секционирования, называемый обратимой секционированием, который преодолевает некоторые недостатки секционирования стиля MS-DOS, которые использовались до сих пор. Компонент, называемый логическим диспетчером дисков (LDM), управляет томами на дисках, отформатированных с обратимыми секциями, которые называются динамическими дисками (диски с секционированием стилей MS-DOS называются основными дисками). Помимо более надежного отображения секций, которые они реализуют, динамические диски имеют преимущество, что можно создавать тома с несколькими секциями, не перезагружая систему для их распознавания и подключения драйверами файловой системы.

Корпорация Майкрософт не задокументировали формат базы данных секционирования LDM, так как они лицензировали технологию из Veritas, которая использовала ту же базу данных в программном обеспечении управления томами UNIX, соглашения о лицензировании могут препятствовать документирование корпорации Майкрософт. В конечном итоге может быть интерфейс IOCTL Win32 с LDM, но в то же время я узнал формат и написал инструмент с именем LDMDump, который можно использовать для пира внутри базы данных динамического диска. LDMDump представляет примерно ту же информацию, что и средство DmDiag комплекта ресурсов Windows 2000, но LDMDump представляет информацию в (я считаю) гораздо более чистым способом. В настоящее время я не предлагаю исходный код для этого инструмента, но если вы заинтересованы в лицензировании для ваших собственных приложений, обратитесь ко мне.

Ознакомьтесь с базой данных LDM в моем журнале Windows 2000 "Внутри хранилища, часть 2" в столбце http://www.sysinternals.com/publ.htm.

Скачайте LDMDump версии 1.0 по адресу http://www.sysinternals.com/ldmdump.htm.

AUTORUNS версии 1.1

Вы уже знакомы с autoRuns, который мы выпустили за последние два месяца. AutoRuns отображает параметры автоматического запуска для каждого расположения в реестре и. INI-файлы, в которых указана такая информация (или поэтому мы думали). Отзывы пользователей подсказали нам в нескольких местах, где отсутствует автозапуск, и эта последняя версия теперь показывает их.

Скачать AutoRuns версии 1.1 по адресу http://www.sysinternals.com/misc.htm.

СТОЛБЦЫ ВНУТРЕННИХ ДАННЫХ ИЮНЯ/ИЮЛЯ

Вы когда-нибудь задавались вопросом о том, как службы Win32 отличаются от стандартных приложений Win32? Или, возможно, вы были любопытны о том, что делает загрузку NT или последовательность завершения работы занимает так много времени. Я отвечаю на эти вопросы и многое другое в двух части серии июня/июля в службах Win32 в Windows 2000 Magazine.

В части 1 я беру вас в структуру службы Win32, объясняя, как они принимают команды из клиентских приложений. Затем я начинаю описывать диспетчер управления службами (SCM), который отвечает за управление службами Win32, включая их запуск и завершение работы. В части 2 я завершаю описание процесса запуска службы, который происходит во время загрузки системы, а затем сообщить вам, как SCM завершает работу служб. Я также рассмотрим улучшения Майкрософт, сделанные в SCM в Windows 2000, и возьмите вас в средство SrvAny Resource Kit.

Подписчики журнала Windows 2000 могут читать столбцы в строке http://www.sysinternals.com/publ.htm.

ВНУТРЕННИЕ СВЕДЕНИЯ

ЖУРНАЛ СБОРКИ WINDOWS NT

Как вы узнали из прошлых бюллетеней, номер сборки для Windows NT (теперь Windows 2000) увеличивается каждый день, когда команда сборки создает новую сборку с проверкой кода дня. Используя старые диски бета-версии и выпусков, а также помощь других пользователей, которые использовали Windows NT дольше, чем у меня, я скомпилировал список номеров сборки, соответствующих общедоступным выпускам (бета-версии, кандидаты на выпуски и полные выпуски). Обратите внимание, что даты являются датой сборки, а не датой выпуска сборки. Например, окончательная сборка Win2K, 2195, была сделана в декабре, но она была выпущена общественности в феврале.

РАЗРЕШЕНИЕ ТАЙМЕРА WINDOWS NT/2000

В то время как Windows NT/2000 предоставляет службы, в том числе QueryPerformanceCounter, что позволяет измерять время до разрешения счетчика циклов Intel, его службы интервала времени имеют несколько более низкое разрешение. Фактически разрешение таймера по умолчанию совпадает с интервалом системных часов, который составляет 10 мс в системах юнипроцессора x86 (обычно 7,5 мс или 15 мс в системах SMP). Приложения могут использовать функции мультимедийного таймера в пользовательском пространстве для увеличения разрешения до 1 мс, но драйверы находятся в холодном режиме, если они хотят более высоких разрешений - до Windows 2000, то есть.

Windows 2000 представляет новую функцию DDK, ExSetTimerResolutionкоторую драйверы могут использовать для уменьшения интервала системного таймера до 1 мс. Хотите знать, что происходит под капотом мультимедийных таймеров и ExSetTimerResolution? См. раздел "Внутри таймеров высокого разрешения Windows NT" http://www.sysinternals.com/timer.htm.

СОПОСТАВЛЕНИЕ БЕЗОПАСНОЙ СИСТЕМНОЙ ПАМЯТИ

Хотя мы говорим о новых функциях ядра Windows 2000 для разработчиков драйверов, стоит упомянуть MmGetSystemAddressForMdlSafe. В предыдущих версиях Windows NT разработчик драйвера, который хотел получить указатель на адресное пространство системы для буфера пользователя или части физической памяти, должен был передать MDL (список дескрипторов памяти), описывающий физический буфер MmGetSystemAddressForMdl.

Создание виртуального сопоставления в адресном пространстве системы использует ресурс с именем "Записи таблицы системной страницы" (Системные PTEs), где для каждой физической страницы, сопоставленной с ней, требуется одна система PTE. К сожалению, системные PTEs являются ограниченными ресурсами и могут исчерпаться, если драйверы сопоставляют большие объемы памяти. Что происходит, когда MmGetSystemAddressForMdl не удается получить необходимые системные PTES? Вы бы думали, что это будет делать что-то полезное, как возврат NULL в качестве сопоставленного виртуального адреса. Но нет, он отдается и синие экраны системы. Поведение, как это отражается на драйвере, выполняя запрос.

Windows 2000 MmGetSystemAddressForMdlSafe делает то, что MmGetSystemAddressForMdl должно было сделать: он возвращает NULL значение, если для создания сопоставления буфера недостаточно системных PTEs. Используйте эту функцию, чтобы избежать неловкого дампа, указывающего на драйвер. Если у вас есть драйвер, работающий на NT 4 и Windows 2000, стоит выпустить две разные версии, по одному для каждой платформы, чтобы воспользоваться преимуществами этого нового API, когда в Windows 2000.

ПЕРЕНАЗНАЧИВАНИЕ КЛАВИАТУРЫ

Если вы мне нравится, вы начали работу с клавиатуры UNIX, где клавиша CTRL присутствовала на клавиатуре на позиции, занятой на клавиатуре компьютера клавишей caps-lock. Чтобы улучшить частоту ввода и узнать что-то о разработке драйверов устройств в Windows 9x и Windows NT, один из моих первых проектов драйверов в обеих этих операционных системах — реализовать драйвер перемежения клавиатуры. Вы можете найти версию http://www.sysinternals.com/c2cap95.htm Windows 9x и версию Windows NT/2K в http://www.sysinternals.com/ctrl2cap.htm.

В Windows NT/2K есть альтернатива использованию драйвера фильтра клавиатуры. Определив записи переопределения кода сканирования в реестре, вы можете полностью перепрограммировать поведение клавиатуры. На самом деле набор ресурсов Windows 2000 включает средство RemapKey, которое позволяет переключать клавиши вокруг использования графического представления клавиатуры. В этой статье на веб-сайте Майкрософт рассказывается о перемаделе клавиатуры и о том, как это работает: http://www.microsoft.com/HWDEV/input/W2kscan-map.htm. Обратите внимание, что средство также работает на NT 4.

Таким образом, можно сказать, что у вас нет комплекта ресурсов Windows 2000 и не будет тратить деньги на него (я рекомендую сделать, его полный все виды холодных инструментов и документации). Если это так, вы можете вручную смастить клавиатуру. Статья Майкрософт, на которую я только что ссылалась, сообщает вам формат раздела реестра, в котором драйвер клавиатуры ищет коды перемечки (HKLM\ SYSTEM\CurrentControlSet\Control\Keyboard Layout\Scancode Map), и эта статья также доступна от Корпорации Майкрософт, сообщает вам коды сканирования, соответствующие ключам: http://www.microsoft.com/hwdev/download/desinit/scancode.zip.

Если вам нужно заменить клавиши caps-lock и control (обратите внимание, что мои фильтры клавиатуры полностью не зависят от клавиши caps-lock, так как я никогда не использую его), вы можете скопировать следующий текст (не включая разделители "----") в файл (присвойте ему имя как swapcaps.reg) и дважды щелкните файл. Параметры будут импортированы в реестр и после перезагрузки вступают в силу.

REGEDIT4

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout]
"Scancode Map"=hex:00,00,00,00,00,00,00,00,03,00,00,00,3a,00,1d,00,1d,00,3a,00,\
  00,00,00,00

Если вы хотите отменить сопоставление, просто удалите значение карты Scancode из реестра и перезагрузите его.

СКРЫТОЕ ВЕДЕНИЕ ЖУРНАЛА ФАЙЛОВОЙ СИСТЕМЫ WINDOWS 98

Вы когда-либо просматривали системный каталог Windows 98 и заметили подкаталог с именем \Windows\Applog? В этом каталоге вы, скорее всего, найдете файлы с именами, соответствующими именам приложений, которые вы недавно запускали и расширения, например. LGC и . LGD. Откройте один из файлов в Блокноте, и вы увидите трассировку действий файловой системы, в комплекте с именами файлов, смещениями и закрытием вызовов. Создается ли вирус, создающий эти журналы, или это секретная программа, включенная в Windows 98, которая сообщает о шаблонах использования приложений майкрософт? Ни один (если бы это было либо, вы бы читали об этом в торговой прессе, а не в бюллетене SysInternals). Ее часть "загружает наиболее часто используемые приложения до 36 процентов быстрее" функции Windows 98.

Из-за записи Taskmon в HKLM\Software\Microsoft\Windows\CurrentVersion\RunWindows 98 запускает программу службы во время загрузки с именем Taskmon. Taskmon загружает VxD с именем FioLog (\Windows\System\FioLog.Vxd) для установки перехватчика действия файловой системы, чтобы он смог увидеть использование файлов во время запуска приложения. Taskmon отслеживает активность файловой системы всех приложений, выполняемых во время их запуска, за исключением тех, которые указаны в HKLM\Software\Microsoft\Windows\CurrentVersion\Taskmon\ExcludeApps. FioLog записывает действие файловой системы запуска приложения в каталоге Applog. Файлы журнала, которые он создает, начинаются с расширения. LGA. Неясно, как он определяет, когда нужно удалить журнал и когда создать новую для приложения с новым расширением с шагом последней буквы. Ниже приведена часть примера файла журнала:

{
o da3034d0 d000 "C:\WINDOWS\NOTEPAD.EXE"
R da3034d0 0 40
R da3034d0 80 f8
R da3034d0 80 1c0
R da3034d0 7000 1000
R da3034d0 6000 e00
o da2b2610 156000 "C:\WINDOWS\SYSTEM\SHELL32.DLL"
R da2b2610 83000 1000
o da2b2f40 45110 "C:\WINDOWS\SYSTEM\SHLWAPI.DLL"
R da2b2f40 3c000 1000
R da2b2f40 3c000 1000
...

Строки разделены на четыре поля: первый — код операции, где o открыт, R считывается и C закрывается. Вы не увидите W (для записи), так как FioLog записывает только операции чтения во время запуска приложения, чтобы можно было оптимизировать запуск приложения. Второе поле — это внутренний указатель на файл. Третий и четвертый поля должны быть интерпретированы в соответствии с кодом операции строки. Если код операции является R третьим полем является смещение файла, а четвертое поле — длина чтения. Однако если код операции является o третьим полем открытые флаги, а четвертым является имя открываемого файла. В примере трассировки открытого notepad.exe возвращает указатель файла da3034d0, который можно использовать в последующих операциях чтения.

При запуске операции дефрагментации программа Defrag.Exe выполняет программу с именем CvtApLog (\Windows\System\Cvtaplog.exe) для обработки файлов журнала. CvtApLog использует библиотеку DLL с именем ClusAlgo.Dll (\Windows\System\Clusalgo.dll) для определения оптимального размещения кластера, учитывая файлы журнала, которые он считывает, и записывает эти сведения в файлах с именем, которые \Windows\Applog\Applog.d* направляют процесс дефрагментации. CvtApLog также создает файл с именем \Windows\Applog\Optlog.txt , который суммирует оптимизацию запуска приложения, диктуемые файлами журнала. Ниже приведено частичное содержимое файла Optlog.txt:

Program Launch Optimization Log - Created Tue Jun 13 11:42:52 2000

Programs Eligible for Optimization:
Ord Flag ProgName Uses   LastExecDate Program Path                           
1        RUNDLL32 65     2000.06.13   C:\WINDOWS\RUNDLL32.EXE                
2        ATIPTAAB 31     2000.06.13   C:\WINDOWS\SYSTEM\ATIPTAAB.EXE         
3        NOTEPAD  22     2000.06.13   C:\WINDOWS\NOTEPAD.EXE                 
4        PING     9      2000.06.10   C:\WINDOWS\PING.EXE                    
…             
17       IEXPLORE 2      2000.06.01   C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE

Programs Ineligible for Optimization:
Ord Flag ProgName Uses   LastExecDate Program Path                           
18  S    GREP     5      2000.06.13   C:\BIN\GREP.EXE                        
19  S    STRINGS  12     2000.06.13   C:\BIN\STRINGS.EXE                     
20  S    ATI2CWXX 31     2000.06.13   C:\WINDOWS\SYSTEM\ATI2CWXX.EXE         

Control Parameters:
Use app profile        = Yes
Minimum log size    = 1000
Maximum no use days = 90
Maximum apps        = 50

Flags for Ineligible Programs:
S = Log size smaller than <Minimum log size>
U = Program not used for more than <Maximum no use days>
P = No profile for program
E = Associated program no longer exists
D = Log deleted (may be combined with one of the above)

Возможность Windows 98 переместить части файлов, используемых во время запуска приложения в непрерывную область на диске, является технологией, лицензированной корпорацией Майкрософт от Intel (чтобы увидеть это, выполните Defrag.exe вручную, и вы получите текст "Intel Application Launch Accelerator").

WINDEV '00 WEST

WinDev '00 Восточная произошла на прошлой неделе до рекордной посещаемости 660 человек (это все отель может провести). Докладчики, присутствующие на конференции, представляют большие имена в каждой области развития Windows, в том числе каждый из COM-бога Don Box для водителей экспертов Джейми Ханрахан и Брайан Кэтлин. Мои сеансы включали "Внутренние компоненты Windows 2000", "Дополнительные драйверы", "Драйверы файловой системы Windows NT/2000" и "Кластерный сервер".

Если вы сожалеете, что вы пропустили, вы удача, потому что вы получаете второй шанс. WinDev '00 Запад проводится в Санта-Кларе, ЦС с 11-15 сентября, и все те же спикеры будут там. Я буду давать те же сеансы, и, как и в WinDev East, будет давать бесплатные футболки SysInternals для участников, которые отвечают на мои вопросы или задают особенно аналитические. Дополнительные сведения можно найти по адресу: http://www.butrain.com/windev/west/default.htm..

ЧТО ПРОИСХОДИТ

"БЕЗОПАСНЫЙ" РАЗДЕЛЫ РЕЕСТРА WINDOWS 98

Хотя реестр Windows 98 не поддерживает безопасность, корпорация Майкрософт реализовала механизм определения скрытых разделов реестра. Какое приложение использует эту технологию скрытия? Internet Explorer, конечно. В следующий раз я скажу вам, какие ключи IE скрывает и как Windows 98 реализует их.

Благодарим вас за чтение бюллетеня внутренних систем.

Опубликовано в среду, 14 июня 2000 г. 7:08 по оттох

[Архив бюллетеней ^] [ Том 2, Число 2] [<Том 2, Число 4 >]