windows系統(tǒng)和進(jìn)程活動(dòng)

Slide Title,Body Text,Second Level,Third Level,Fourth Level,Fifth Level,*,TNQ400-02,1994-2000,David A.Solomon And Jamie E.,Hanrahan,理解,Windows 2000,和,NT4,系統(tǒng)和進(jìn)程活動(dòng),演講必備條件,這個(gè)演講假設(shè)您理解以下基礎(chǔ)知識(shí)：,操作系統(tǒng)概念的基礎(chǔ)知識(shí)（虛擬內(nèi)存、進(jìn)程和多任務(wù)）,基本W(wǎng)indows NT和Windows 2000使用和管理,這是一個(gè)300級(jí)的講座,今天您將學(xué)到以下知識(shí),查看進(jìn)程細(xì)節(jié)例如打開(kāi)文件句柄、,I/O活動(dòng)、DLL使用和安全,操作系統(tǒng)帳戶(hù)和應(yīng)用程序CPU時(shí)間（包括中斷）,在系統(tǒng)進(jìn)程樹(shù)中識(shí)別每一個(gè)系統(tǒng)進(jìn)程,將,Windows NT服務(wù)映射到正在運(yùn)行該服務(wù)的進(jìn)程上,將核心態(tài)運(yùn)行的系統(tǒng)線(xiàn)程活動(dòng)匹配到驅(qū)動(dòng)程序或者擁有線(xiàn)程的OS組件,議事日程,工具概述,理解進(jìn)程和線(xiàn)程活動(dòng),理解,CPU時(shí)間統(tǒng)計(jì),理解系統(tǒng)進(jìn)程,進(jìn)程崩潰,工具 可執(zhí)行文件 相關(guān)工具包,性能監(jiān)視,Sysmon,Windows 2000(,Perfmon,in NT4),注冊(cè)表編輯器,RegEdt32 Windows 2000,進(jìn)程查看器,pviewer,Windows 2000,支持工具,任務(wù)列表,tlist,Windows 2000,支持工具,依賴(lài)關(guān)系瀏覽,depends Windows 2000,支持工具,打開(kāi)句柄,ohWindows 2000,服務(wù)器資源工具箱,QuickSlice qslice,Windows 2000,服務(wù)器資源工具箱,句柄查看器,handleex,www.,sysinternals,.com,列表,DLL,listdlls,www.,sysinternals,.com,文件監(jiān)視器,filemon,www.,sysinternals,.com,注冊(cè)表監(jiān)視器,regmon,www.,sysinternals,.com,進(jìn)程狀態(tài),pstat,NT4,資源工具箱或平臺(tái),SDK,工具列表,議事日程,工具概述,理解進(jìn)程和線(xiàn)程活動(dòng),理解,CPU時(shí)間統(tǒng)計(jì),理解系統(tǒng)進(jìn)程,進(jìn)程和系統(tǒng)崩潰,進(jìn)程地址空間,系統(tǒng)地址空間,線(xiàn)程,線(xiàn)程,線(xiàn)程,進(jìn)程和線(xiàn)程,什么是進(jìn)程？,代表了運(yùn)行程序的一個(gè)實(shí)例,每一個(gè)進(jìn)程有一個(gè)私有的內(nèi)存地址空間,什么是線(xiàn)程？,進(jìn)程內(nèi)的一個(gè)執(zhí)行上下文,進(jìn)程內(nèi)的所有線(xiàn)程共享相同的進(jìn)程地址空間,每一個(gè)進(jìn)程啟動(dòng)時(shí)帶有一個(gè)線(xiàn)程,運(yùn)行程序的,“,主,”,函數(shù),可以在同一個(gè)進(jìn)程中創(chuàng)建其他的線(xiàn)程,可以創(chuàng)建額外的進(jìn)程,.,EXE,代碼,全局,每個(gè)線(xiàn)程的用戶(hù)模式堆棧,進(jìn)程堆棧,.,DLL,代碼,00000000,7,FFFFFFF,Exec,Kernel,HAL,驅(qū)動(dòng)程序,每個(gè)線(xiàn)程的核心態(tài)模式堆棧，,Win32K.Sys,文件系統(tǒng)緩存頁(yè)面池,非頁(yè)面池,FFFFFFFF,80000000,進(jìn)程頁(yè)面表,超級(jí)空間,C0000000,32-,位虛擬地址空間,2,GB的進(jìn)程空間,進(jìn)程地址空間不可以被其他進(jìn)程直接訪(fǎng)問(wèn),2 GB的系統(tǒng)范圍空間,在這個(gè)空間中加載操作系統(tǒng)，并且存在于每一個(gè)進(jìn)程地址空間,“,操作系統(tǒng),”,沒(méi)有進(jìn)程（盡管有一些進(jìn)程服務(wù)于操作系統(tǒng)，但是它們或多或少都是在,“,后臺(tái),”,運(yùn)行）,每個(gè)進(jìn)程單獨(dú)的地址空間，可以在用戶(hù)態(tài)或核心態(tài)訪(fǎng)問(wèn),系統(tǒng)范圍，只可以在核心態(tài)下訪(fǎng)問(wèn),每個(gè)進(jìn)程的空間，只能在核心態(tài)下訪(fǎng)問(wèn),Windows 2000,作業(yè)對(duì)象,新的內(nèi)核對(duì)象定義了一組相關(guān)進(jìn)程,CreateJobObject,/,OpenJobObject,可以指定作業(yè)范圍的屬性、資源分配額和安全限制,資源分配額：總的和目前,CPU時(shí)間、總的和活動(dòng)進(jìn)程、每一個(gè)進(jìn)程和作業(yè)的CPU時(shí)間、最小和最大的工作集合,屬性：CPU相似性、優(yōu)先級(jí)、調(diào)度級(jí)別,安全限制：沒(méi)有管理員令牌，只有受限令牌、指定令牌、過(guò)濾令牌，不能訪(fǎng)問(wèn)作業(yè)外面的窗口，不能讀/寫(xiě)剪貼板,查看進(jìn)程信息,許多重疊的工具！,他們都顯示進(jìn)程和線(xiàn)程信息的不同部分,但是有一些工具可以顯示其他工具不能顯示的內(nèi)容,運(yùn)行的映象的名字可能不能說(shuō)明它是什么,發(fā)現(xiàn),EXE在磁盤(pán)的位置,PS.VBS(,或者,pslist,.exe),可以顯示絕對(duì)路徑,如果系統(tǒng)速度降低，第一個(gè)問(wèn)題是：系統(tǒng)正在運(yùn)行什么進(jìn)程？,一個(gè)快速的方法：運(yùn)行任務(wù)管理器，按,CPU使用率排序,任務(wù)管理器,啟動(dòng)：,Ctrl+Shift+Esc；,或者,Ctrl+Alt+Del；,或者在任務(wù)欄的空白處右擊,與其他進(jìn)程顯示實(shí)用程序重疊的部分,除了,Win 16進(jìn)程信息，只有這里可以看（在進(jìn)程選項(xiàng)卡上單擊選項(xiàng)-顯示16-位任務(wù)）,應(yīng)用程序選項(xiàng)卡：最頂層可見(jiàn)的窗口列表,只有線(xiàn)程擁有窗口（在窗口上右擊并選擇,“,查看進(jìn)程,”,）,進(jìn)程選項(xiàng)卡：,進(jìn)程,列表,可以使用查看-選項(xiàng)欄數(shù),在標(biāo)題欄上單擊按該列排序,在進(jìn)程名字上右擊來(lái)改變進(jìn)程的優(yōu)先級(jí)、結(jié)束進(jìn)程樹(shù)（在,Windows 2000新增加的功能），或者（在MP上）CPU分配,性能選項(xiàng)卡：,NT,性能計(jì)數(shù)器,的子集,進(jìn)程查看器,支持工具中的,Pviewer,.exe,顯示線(xiàn)程詳細(xì)信息,每一個(gè)線(xiàn)程的起始地址,每一個(gè)線(xiàn)程的,CPU時(shí)間,可以顯示遠(yuǎn)程進(jìn)程列表,但是不能殺死遠(yuǎn)程進(jìn)程,使用,exec.,vbs,或者資源工具箱中的,rkill,使用,TLIST/T,查看進(jìn)程層次結(jié)構(gòu),理解進(jìn)程的父親可以幫助確認(rèn)進(jìn)程的來(lái)源和作用,tlist/t,顯示繼承關(guān)系樹(shù),如果父進(jìn)程不是活動(dòng)的，進(jìn)程左對(duì)齊,例如，不能查看創(chuàng)建者,例如：,explorer.exe,的父進(jìn)程是死 的,(,它實(shí)際是由,userinit,.exe,啟動(dòng)的，然后父進(jìn)程退出）,Windows 2000,可以顯示父進(jìn)程標(biāo)識(shí)號(hào),任務(wù)管理器有一個(gè),“,結(jié)束進(jìn)程樹(shù),”,在進(jìn)程上右擊,查看打開(kāi)句柄,句柄泄露可以作為系統(tǒng)內(nèi)存泄露顯示！,任務(wù)管理器可以顯示總的進(jìn)程句柄,資源工具箱,“,Oh,”,工具（第一次運(yùn)行可以設(shè)置一個(gè),NT全局標(biāo)記并需要重新啟動(dòng)查看資源工具箱中的,gflags,.exe,）,www.,sysinternals,.com(,使用一個(gè)設(shè)備驅(qū)動(dòng)程序,),的,handleex,(,圖形用戶(hù)界面,),或,nthandle,(,控制臺(tái),),查看,DLL使用,資源工具箱中的,Depends.exe,顯示從,EXE到DLL的,靜態(tài)鏈接,也可以,“,構(gòu)造,”,進(jìn)程并且顯示動(dòng)態(tài),DLL加載,查看,DLL使用,要診斷,DLL,沖突，您需要知道,哪一個(gè),DLLs,被加載以及從,哪,加載的,tlist,或者,tlist,列出了,DLL,但是不包括路徑,www.,sysinternals,.com,的,listdlls,可以顯示全部路徑,也顯示,.,EXE,的全路徑 對(duì)于跟蹤進(jìn)程的實(shí)質(zhì)是十分重要的！,I/O,活動(dòng),如何隔離系統(tǒng),I/O,活動(dòng)？,使用系統(tǒng)性能對(duì)象中的,I/O,計(jì)數(shù)器來(lái)得到所有的數(shù)據(jù),使用,Windows 2000中的新的進(jìn)程,I/O,計(jì)數(shù)器來(lái)發(fā)現(xiàn)進(jìn)程,使用,Filemon,(,www.,sysinternals,.com,),來(lái)發(fā)現(xiàn)哪個(gè)進(jìn)程在訪(fǎng)問(wèn)哪個(gè)文件,不要忘記正常的文件,I/O,就象頁(yè)面式,I/O（,由于緩存管理的設(shè)計(jì)）,注冊(cè)表活動(dòng),注冊(cè)表應(yīng)該在一個(gè)穩(wěn)定的系統(tǒng)中保持,“,穩(wěn)定,”,例如，它不應(yīng)該是一個(gè)頻繁訪(fǎng)問(wèn)的數(shù)據(jù)庫(kù),運(yùn)行,RegMon,(,www.,sysinternals,.com,),來(lái)確定您的注冊(cè)表（大多數(shù)情況下）是不活動(dòng)的,小測(cè)驗(yàn)（進(jìn)程和線(xiàn)程）,NT,的調(diào)度單元是什么？,A:,線(xiàn)程,線(xiàn)程在運(yùn)行中，但是卻沒(méi)有占用任何,CPU時(shí)間，為什么？,A:,當(dāng)時(shí)間片到來(lái)時(shí)它們不是當(dāng)前線(xiàn)程。,進(jìn)程沙箱的尺寸是多大？,A:2 gigabytes,議事日程,工具概述,理解進(jìn)程和線(xiàn)程活動(dòng),理解,CPU時(shí)間統(tǒng)計(jì),理解系統(tǒng)進(jìn)程,進(jìn)程和系統(tǒng)崩潰,核心態(tài)對(duì)用戶(hù)態(tài)模式,一個(gè)處理器狀態(tài),控制內(nèi)存訪(fǎng)問(wèn),每一個(gè)內(nèi)存頁(yè)面都標(biāo)記著需要訪(fǎng)問(wèn)時(shí)處理器的狀態(tài),保護(hù)系統(tǒng)不受用戶(hù)侵害,保護(hù)用戶(hù)進(jìn)程相互侵害,系統(tǒng)本身可以訪(fǎng)問(wèn)自己,”,代碼區(qū)標(biāo)記,“,不可以在任何模式下寫(xiě),”,控制執(zhí)行特權(quán)指令的能力,一個(gè),Windows NT抽象,Intel:Ring 0,Ring 3,相關(guān)的線(xiàn)程,線(xiàn)程可以從用戶(hù)態(tài)切換到核心態(tài)，而且反之亦然,保存的上下文的一部分和注冊(cè)表，等等。,不影響調(diào)度,計(jì)數(shù)器,:,“,特權(quán)時(shí)間,”,和,“,用戶(hù)時(shí)間,”,四級(jí)粒度：線(xiàn)程、進(jìn)程、處理器和系統(tǒng),進(jìn)入核心模式,Windows 2000,在下列三種情況下切換到核心態(tài)模式,1.,用戶(hù)態(tài)下的請(qǐng)求,通過(guò)系統(tǒng)服務(wù)調(diào)度機(jī)制,核心態(tài)代碼運(yùn)行在請(qǐng)求線(xiàn)程的上下文中,2.,外部設(shè)備的中斷請(qǐng)求,Windows NT,支持的中斷調(diào)度器喚醒中斷服務(wù)例程,ISR,運(yùn)行在被中斷的線(xiàn)程的上下文中,(,所謂的,“,任意的線(xiàn)程上下文,”),ISR,經(jīng)常請(qǐng)求一個(gè),“,DPC,例程,”,的執(zhí)行，它運(yùn)行在核心態(tài)模式中,中斷處理時(shí)間不包括在被中斷線(xiàn)程的時(shí)間片內(nèi),3.,核心態(tài)模式系統(tǒng)線(xiàn)程,系統(tǒng)中的一些線(xiàn)程始終保持在核心態(tài)模式（大部分在,“,系統(tǒng),”,進(jìn)程中）,調(diào)度的、優(yōu)先的等等，象任何其他線(xiàn)程,檢查進(jìn)程,CPU時(shí)間,查看進(jìn)程在核心態(tài)下的時(shí)間可以告訴您進(jìn)程現(xiàn)在在做什么,100%,用戶(hù)時(shí)間：應(yīng)用程序占用,部分用戶(hù)時(shí)間、部分核心態(tài)時(shí)間：做系統(tǒng)調(diào)用,使用,qslice,.exe(,資源工具箱,),或者,PerfMon,中斷調(diào)度,中斷調(diào)度例程,關(guān)閉中斷,記錄機(jī)器狀態(tài)(陷阱幀）來(lái)允許恢復(fù),比較屏蔽嗎并且降低中斷優(yōu)先級(jí),尋找和調(diào)用合適的,ISR,打開(kāi)中斷,恢復(fù)機(jī)器狀態(tài)（包括模式和中斷）,告訴設(shè)備停止中斷,審問(wèn)設(shè)備狀態(tài)、啟動(dòng)設(shè)備下一個(gè)操作，等等。,請(qǐng)求一個(gè),DPC,返回調(diào)用者,中斷服務(wù)例程,中斷,!,用戶(hù)態(tài)或核心態(tài)代碼,核心態(tài)模式,!,注意，沒(méi)有線(xiàn)程或者進(jìn)程 上下文,中斷優(yōu)先級(jí),IRQL=,中斷請(qǐng)求優(yōu)先級(jí),關(guān)于其他中斷的中斷優(yōu)先級(jí),不同的中斷源有不同的,IRQL,與,IRQ,不同,在多處理器系統(tǒng)中每一個(gè),CPU可以有不同的IRQL,低,APC,Dispatch/DPC,設(shè)備,1,.,.,.,設(shè)備,n,時(shí)鐘,內(nèi)中斷,電源故障,高,正常的線(xiàn)程執(zhí)行,硬件中斷,可延遲軟件中斷,0,1,2,30,29,28,31,隊(duì)列首,DPC,對(duì)象,DPC,對(duì)象,DPC,對(duì)象,XydriverDpcRtn,(,DpcObj,DfrdCtx,SysArg1,SysArg2),/.,DfrdCtx,SysArg1,SysArg2,（,DPC）,延遲過(guò)程調(diào)用,“,工作請(qǐng)求,”,列表,每一個(gè)處理器一個(gè)隊(duì)列（但是處理器可以運(yùn)行其他處理器的,DPC,）,隱式的通過(guò)請(qǐng)求時(shí)間來(lái)排列(,FIFO),用來(lái)從更高（設(shè)備）中斷優(yōu)先級(jí)到低優(yōu)先級(jí)（分配）的延遲過(guò)程調(diào)用,主要用于驅(qū)動(dòng)程序,“,后中斷,”,功能,用于時(shí)間片結(jié)束和計(jì)數(shù)器到時(shí),統(tǒng)計(jì)核心態(tài)模式時(shí)間,“處理器時(shí)間”=處理器總的工作時(shí)間,(,等于經(jīng)過(guò)的時(shí)間-空閑時(shí)間,),“,處理器時(shí)間,”=“,用戶(hù)時(shí)間,”+“,特權(quán)時(shí)間,”,“,特權(quán)時(shí)間,”=,用于核心態(tài)模式的時(shí)間,“,特權(quán)時(shí)間,”,包括,:,中斷時(shí)間,DPC,時(shí)間,注意：中斷和,DPC,不包括在任何進(jìn)程或線(xiàn)程的時(shí)間片內(nèi),Screen snapshot from:Programs|Administrative Tools|Performance Monitor,click on“+”button,or select Edit|Add to chart.,小測(cè)驗(yàn)（時(shí)間統(tǒng)計(jì)）,如果系統(tǒng)運(yùn)行速度降低，并且沒(méi)有進(jìn)程在運(yùn)行，這是怎么回事？,A:,中斷,在,PerfMon,中查看,interrupts/sec,議事日程,工具概述,理解進(jìn)程和線(xiàn)程活動(dòng),理解,CPU時(shí)間統(tǒng)計(jì),理解系統(tǒng)進(jìn)程,進(jìn)程,和,系統(tǒng)崩潰,進(jìn)程創(chuàng)建層次結(jié)構(gòu),tlist,.exe(,資源工具箱中)可以顯示創(chuàng)建層次結(jié)構(gòu),(“,tlist,/t”),如果父進(jìn)程是死的，進(jìn)程左對(duì)齊,例如，如果創(chuàng)建者不在了，就不能看見(jiàn)創(chuàng)建者,例如，,explorer.exe,的父進(jìn)程死了,(,它實(shí)際由,userinit,