[ニュースレター アーカイブ ^] [< Vol. 2、No. 2] [Vol. 2、No. 4 >]

システム内部ニュースレター Vol. 2、No. 3

http://www.sysinternals.com
Copyright © 2000 Mark Russinovich

2000 年 6 月 14 日 - 本号の内容:

1. 論説

2. SYSINTERNALS の新機能

   • Regmon v4.25
   • ListDlls v2.22
   • TDImon v1.0
   • AutoRuns v1.1
   • LDMDump v1.0
   • 4 月/6 月の Internals のコラム

3. INTERNALS INFORMATION

   • Windows NT のビルド履歴
   • Windows NT/2000 タイマー解決
   • キーボードの再マッピング
   • 安全なシステム メモリ マッピング
   • 非表示の Windows 98 ファイル システムのログ記録
   • WinDev '00 West

4. 近日公開予定

   • "セキュリティで保護された" Windows 98 レジストリ キー

スポンサー: WINTERNALS SOFTWARE

Systems Internals ニュースレターは、http://www.winternals.com. の Web で Winternals Software によって後援されています。 Winternals Software は、Windows NT/2K 用の高度なシステム ツールの主要な開発者およびプロバイダーです。 Winternals Software 製品には、FAT32 for Windows NT 4.0、ERD コマンダー Professional Edition (Windows NT 向けの先進ブート ディスク機能)、Remote Recover などがあります。

新しくリリースされた TCPView Pro を使用すると、Windows NT 4.0、Windows 2000、および Windows 95/98 システムで TCP/IP アクティビティを監視できます。 Windows に付属する組み込みの TCP/IP 監視ツール (netstat など) とは異なり、TCPView Pro では、各 TCP/IP アドレスに関連付けられているプロセスが表示されるため、特定の接続やアクティビティを担当するアプリケーションを簡単に特定できます。 TCPView Pro には、動的ビューと静的ビューが用意されています。 静的ビューには、現在開いているローカル IP アドレス、各エンドポイントに関連付けられているプロセス、エンドポイントが接続されているリモート IP アドレスが表示されます。 他のユーティリティでは使用できない動的ビューを使用すると、プロセス別の TCP/IP アクティビティをリアルタイムで表示できます。

価格情報を取得し、http://www.winternals.com/products/tcpview.shtml. から 14 日間の試用版をダウンロードしてください

皆さん、こんにちは。

Systems Internals ニュースレターへようこそ。 現在、ニュースレターの購読者数は 22,000 人です。

Dave Solomon と私は「Inside Windows 2000、第 3 版」をまとめる最終段階に入っています。つまり、本書は 7 月下旬ではなく 8 月中旬に入手できるようになります (出荷日にずれがない場合。Microsoft 製品ではありません)。 本書が最終版になったので、中身について大まかに説明します。 まず、前版と比べて内容が約 50% ボリュームアップしており、新しい章が 4 つ追加されています。 目次は次のとおりです。

1. はじめに
2. アーキテクチャ
3. システム メカニズム
4. 起動とシャットダウン
5. 管理メカニズム
6. プロセスとスレッド
7. メモリ管理
8. Security
9. I/O システム
10. 記憶域
11. キャッシュ マネージャー
12. ファイル システム
13. ネットワーク

第 2 版と同様、本書には、説明した概念を実証する実験が豊富に盛り込まれています。 また、SysInternals Web サイト全体のコピーと、実験で使用するいくつかのツールを含む CD も付属しています。

私が本書のために特別に書いた 2 つのツールは、校閲者にもとても好評でした。 1 つ目は LiveKD という名前であり、ライブ システムで Windows 2000 カーネル デバッガー (i386kd、kd、WinDbg) のいずれかを実行できます。 これは、LiveKd を起動し、ホストするデバッガーを指定し、そのデバッガーに入って、クラッシュ ダンプをデバッグする場合に使用できるすべてのデバッガー コマンドを利用できるということです。 本書内のすべてのデバッガー ベースの実験は、LiveKD を使用して実行できます。つまり、それらを実行するために別のシステムやシリアル ケーブルは必要ありません。

2 つ目のツールは、カーネル変数のライブ値を表示できるパフォーマンス モニター拡張機能です。 たとえば、PerfMon で使用されている非ページ プールの量を監視する場合は、MmAllocatedNonPagedPool 変数を選択します。

本書が発売されたらニュースレターでお知らせしますが、www.sysinternals.com/links.htm の Amazon.com リンクから今すぐ予約することができます。 いつもどおり、このニュースレターに興味を持ってくれそうな友達に伝えてください。

ありがとうございます。

-Mark

Systems Internals の新機能

REGMON V4.25

Regmon レジストリ監視ツールのこの最新の更新プログラムには、ZwEnumerateKey および ZwQuerykey システム サービスに対する Windows 2000 の新しい KeyNameInformation クエリの種類のサポートが含まれています。 この機能は Win32 アプリケーションで使用するためにはエクスポートされませんが、システムによるユーザーごとのクラス登録レジストリ ハイブの使用の一部として ADVAPI32 のレジストリ関数によって使用されます。

Windows 2000 上の Win32 アプリケーションでレジストリのクラス登録部分を開くには 2 つの方法があり、HKEY_CLASS_ROOT を指定することも、HKLM\Software\Classes を指定することもできます。 1 つ目は、グローバル クラス キーと組み合わされたユーザーごとのクラス キーにハンドルを返し、2 つ目はグローバル情報にのみハンドルを返します。 ADVAPI32 レジストリ関数は、ユーザーが渡したレジストリ キー ハンドルの基になる名前を調べることによってのみ、ユーザーが選択した方法を判断できます。そのため、新しいクエリの種類が必要となります。 詳細については、RegOpenKeyEx にある SDK のドキュメントを参照してください。

Regmon v4.25 のダウンロード: http:www.sysinternals.com/regmon.htm

LISTDLLS V2.22

開発者は、ダイナミック リンク ライブラリ (DLL) を作成するときに、DLL の "ベース アドレス" をリンカーに伝えます。これは、リンカーが DLL のイメージ ファイルに相対アドレス情報を作成するときに用いるアドレスです。 DLL がベース アドレスとは異なるアドレスで読み込まれた場合、ローダーは、読み込まれた DLL イメージ内のすべての相対アドレスを修正して、その違いを考慮する必要があります。

これらの修正または再配置により、アプリケーションの起動時間が長くなる可能性があるため、言うまでもなく、開発者は再配置が発生しないようにしたいと考えています。 ただし、ListDLL などのプログラムの出力を調べて、読み込みアドレスとベース アドレスを比較するのは面倒です。 そのため、バージョン 2.22 の ListDL では、出力で DLL を再配置したことを示す新しいオプション -r を採用しました。

ListDLLs v2.22 のダウンロード: http://www.sysinternals.com/listdlls.htm.

TDIMON V1.0

TDImon は、強力な SysInternals 監視ツール スイートに含まれる最新の機能で、システムで行われた TCP および UDP アクティビティが表示されます。 このツールの名前は、TCP/IP スタックに対するインターフェイスの TCP および UDP アクティビティを監視することに由来しており、このインターフェイスはトランスポート ドライバー インターフェイス (TDI) と呼ばれています。 すべてのアプリケーションとドライバーの TCP および UDP アクティビティは、このインターフェイスを通過する必要があります。つまり、TCP や UDP のアクティビティが検出されずに TDImon をこっそり通り抜けることはないということです。

TDIMon は、同系統の Filemon、Regmon、Portmon、DebugView と同じ GUI を共有し、他の監視ツールと同様に、アクティビティ、タイムスタンプを実行するプロセス名を表示し、フィルター処理と強調表示機能を備えています。 これにより、TDIMon は管理者にとっては、ネットワーク トラブルシューティング ツールとして、アプリケーション開発者にとっては TCP/IP デバッグ ツールとして最適なものとなりました。 TDImon は、Windows 95、98、NT 4、Windows 2000 で動作します。

TDImon v1.0 のダウンロード: http://www.sysinternals.com/tdimon.htm.

LDMDUMP V1.0

Windows 2000 には、ソフト パーティション分割と呼ばれる新しいパーティション分割形式が採用されています。これは、すべての Windows オペレーティング システムでこれまで使用されてきた MS-DOS スタイルのパーティション分割の欠点を一部克服しています。 論理ディスク マネージャー (LDM) と呼ばれるコンポーネントが、ソフトパーティションでフォーマットされたディスク上のボリュームを管理します。これはダイナミック ディスクと呼ばれます (MS-DOS スタイルのパーティション分割を使用するディスクはベーシック ディスクと呼ばれます)。 ダイナミック ディスクには、パーティション ミラーリングの実装により向上した堅牢性だけでなく、ファイル システム ドライバーが認識およびマウントできるようにシステムを再起動することなく、マルチパーティション ボリュームを作成できるという利点があります。

Microsoft では、LDM パーティション分割データベースの形式は文書化されていません。実際には、UNIX ボリューム管理ソフトウェアで同じデータベースを使用している Veritas からテクノロジのライセンスを取得しているため、ライセンス契約によって Microsoft はドキュメント化ができなくなっている可能性があります。 最終的には LDM への Win32 IOCTL インターフェイスが作成されるかもしれませんが、それまでの間に、この形式を理解し、ダイナミック ディスクのデータベース内でピアリングする際に使用できる LDMDump というツールについて記載します。 LDMDump は、Windows 2000 Resource Kit の DmDiag ツールとほぼ同じ情報にはなりますが、LDMDump の方がはるかにクリーンな方法 (と思われる) で情報を提示します。 現時点では、このツールのソース コードは提供していませんが、独自のアプリケーション用のライセンス取得に関心がある場合は、お問い合わせください。

http://www.sysinternals.com/publ.htm. にある Windows 2000 Magazine の「Inside Storage, Part 2」のコラムに記載されている LDM データベースについて確認してください

LDMDump v1.0 のダウンロード: http://www.sysinternals.com/ldmdump.htm.

AUTORUNS V1.1

過去 2 か月の間にリリースされた AutoRuns について既にご存知かもしれません。 AutoRuns には、そのような情報が指定されている (と思われる) レジストリおよび .INI ファイル内のすべての場所の自動実行設定が表示されます。 ユーザーからのフィードバックにより、AutoRuns が見逃していたいくつかの場所の情報を得て、この最新バージョンで表示されるようになりました。

AutoRuns v1.1 のダウンロード: http://www.sysinternals.com/misc.htm.

6 月/7 月の INTERNALS のコラム

Win32 サービスと標準的な Win32 アプリケーションとの違いについて、疑問に思ったことはありますか? または、NT ブートやシャットダウン シーケンスに時間がかかるものについて興味を持ったことがあるかもしれません。 Windows 2000 Magazine の Win32 サービスに関する 2 部構成の 6 月/7 月シリーズでは、これらの質問などに回答しています。

第 1 部では、Win32 サービスの構造について掘り下げ、クライアント アプリケーションからのコマンドを受け入れる方法について説明します。 続いて、起動とシャットダウンなど、Win32 サービスの管理を担当する Service Control Manager (SCM) について説明します。 第 2 部では、システムの起動中に行われるサービス起動プロセスの説明を終わらせ、SCM がサービスをシャットダウンする方法についてお話しします。 また、Microsoft が Windows 2000 の SCM に対して行った改善点を取り上げ、SrvAny Resource Kit ツールについても掘り下げていきます。

Windows 2000 Magazine の購読者は、http://www.sysinternals.com/publ.htm. からオンラインでコラムを読むことができます

INTERNALS INFORMATION

Windows NT のビルド履歴

過去のニュースレターから学んだように、ビルド チームがその日のコード チェック インを使用して新しいビルドを生成すると、Windows NT (現在の Windows 2000) のビルド番号が毎日インクリメントします。以前のベータ版とリリース候補の CD を使用し、Windows NT を私よりも長く使用している他のユーザーの助けを借りて、パブリック リリース (ベータ、リリース候補、完全リリース) に対応するビルド番号の一覧をまとめました。 日付はビルドのリリース日ではなく、ビルドの日付であることに注意してください。 たとえば、Win2K の最終ビルドである 2195 は 12 月に作成されましたが、2 月に一般公開されました。

Windows NT/2000 タイマー解像度

Windows NT/2000 では、QueryPerformanceCounter を含むサービスが提供されています。これにより、Pentium サイクル カウンターの解像度まで時間を測定できますが、間隔タイミング サービスの解像度はやや低くなります。 実際、既定のタイマー解像度はシステム クロック間隔と同じであり、ユニプロセッサ x86 システムでは 10 ミリ秒 (通常、SMP システムで 7.5 ミリ秒または 15 ミリ秒) となります。 アプリケーションでは、ユーザー空間でマルチメディア タイマー機能を使用して解像度を 1 ミリ秒に増やすことができますが、ドライバーがより高い解像度を必要とする場合は、Windows 2000 までは無視されていました。

Windows 2000 では、ドライバーがシステム タイマーの間隔を 1 ミリ秒に短縮できる新しい DDK 関数 ExSetTimerResolution が導入されています。 マルチメディアタイマーと ExSetTimerResolution の内部で何が起きているのかを知りたいですか? http://www.sysinternals.com/timer.htm. にある「Inside Windows NT High Resolution Timers」を参照してください

安全なシステム メモリ マッピング

ドライバー開発者向けの新しい Windows 2000 カーネル関数に関するトピックについては、MmGetSystemAddressForMdlSafe に言及する価値があります。 以前のバージョンの Windows NT では、ドライバーを開発する場合に、ユーザーのバッファーまたは特定の物理メモリ位置に対するシステム アドレス空間ポインターを取得するには、物理バッファーを記述した MDL (メモリ記述子リスト) を MmGetSystemAddressForMdl に渡す必要がありました。

システムのアドレス空間に仮想マッピングを作成するには、システム ページ テーブル エントリ (システム PTE) と呼ばれるリソースを使用します。ここでは、マップされるすべての物理ページに対して 1 つのシステム PTE が必要になります。 残念ながら、システム PTE はリソースが限られており、ドライバーが大量のメモリをマッピングしている場合に不足する可能性があります。 MmGetSystemAddressForMdl が必要なシステム PTE を取得できない場合、どうなりますか? マップされた仮想アドレスとして NULL を返すなど、何か役に立つことをしてくれると想像するでしょう。 しかし、違います。あきらめてブルースクリーンになります。 このような動作は、要求を行うドライバーに悪影響を与えます。

Windows 2000 の MmGetSystemAddressForMdlSafe は、MmGetSystemAddressForMdl がすべきことを行い、バッファーのマッピングを作成するのに十分なシステム PTE がない場合は NULL を返します。 ドライバーを指す厄介なダンプを回避するには、この関数を使用します。 NT 4 と Windows 2000 で実行するドライバーがある場合は、Windows 2000 でこの新しい API を利用できるように、プラットフォームごとに 1 つずつ、2 つの異なるバージョンをリリースする価値があります。

キーボードの再マッピング

私と同じならば、PC のキーボードの caps-lock キーの位置に ctrl キーがある UNIX キーボードで始めていることでしょう。 入力率を向上させ、Windows 9x と Windows NT でのデバイス ドライバー開発について学習するために行うべき最初のドライバー プロジェクトの 1 つは、これらの両方のオペレーティング システムにキーボード再マッピング ドライバーを実装することでした。 Windows 9x バージョンは http://www.sysinternals.com/c2cap95.htm で、Windows NT/2K バージョンは http://www.sysinternals.com/ctrl2cap.htm. で確認できます

Windows NT/2K には、キーボード フィルター ドライバーの使用に代わる方法があります。 レジストリでエントリを再マップするスキャンコードを定義することで、キーボードの動作を完全に再プログラミングできます。 実際、Windows 2000 Resource Kit には、キーボードのグラフィカル表現を使用してキーを入れ替えることができる RemapKey というツールが含まれています。 Microsoft の Web サイトにあるこの記事では、キーボード リマッパーとそのしくみについて説明しています (http://www.microsoft.com/HWDEV/input/W2kscan-map.htm.) このツールは NT 4 でも動作します。

それでは、Windows 2000 Resource Kit がなく、それになるべく費用を使いたくないとします (あらゆる種類の優れたツールやドキュメントが満載なので、そうすることをお勧めします)。 その場合は、キーボードを手動で再マッピングすることができます。 先ほど参照した Microsoft の記事では、キーボード ドライバーが再マッピング コード (HKLM\ SYSTEM\CurrentControlSet\Control\Keyboard Layout\Scancode Map) を検索するレジストリ キーの形式が示されています。この記事は、Microsoft からも入手でき、キーに対応するスキャンコードが示されています (http://www.microsoft.com/hwdev/download/desinit/scancode.zip.)

必要なことが、caps-lock と ctrl キーを入れ替えるだけの場合は (私のキーボード フィルターでは、caps-lock キーをまったく使わないので、完全に取り除かれていることにご注意ください)、次のテキスト ("----" 区切り記号を含まない) をファイル (swapcaps.reg のような名前を付ける) にコピーし、ファイルをダブルクリックするだけです。 設定はレジストリにインポートされ、再起動後に有効になります。

REGEDIT4

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout]
"Scancode Map"=hex:00,00,00,00,00,00,00,00,03,00,00,00,3a,00,1d,00,1d,00,3a,00,\
  00,00,00,00

マッピングを元に戻す場合は、レジストリから Scancode Map の値を削除して再起動します。

非表示の Windows 98 ファイル システムのログ記録

Windows 98 システム ディレクトリを参照して、\Windows\Applog という名前のサブディレクトリに気付いたことがありますか? このディレクトリの中には、最近実行したアプリケーションと名前が一致し、.LGC や .LGD のような拡張子のファイルが見つかるでしょう。 メモ帳でファイルの 1 つを開くと、ファイル システムのアクティビティ トレースが明確に表示され、ファイル名、オフセット、およびオープンとクローズの呼び出しが含まれています。 ウイルスがこれらのログを生成しているのでしょうか?それとも、Windows 98 に含まれている、アプリケーションの使用パターンを Microsoft に報告するシークレット ユーティリティでしょうか? どちらも違います (もしどちらかの場合は、SysInternals ニュースレターではなく、トレード プレスで本件について読んでいることでしょう)。 これは、Windows 98 の "最も頻繁に使用されるアプリケーションを最大 36% 高速で読み込む" 機能の一部です。

HKLM\Software\Microsoft\Windows\CurrentVersion\Run の Taskmon エントリにより、Windows 98 は Taskmon という名前のブート中にサービス プログラムを起動します。 Taskmon は FioLog (\Windows\System\FioLog.Vxd) という名前の VxD を読み込んで、ファイル システム アクティビティ フックをインストールすることで、アプリケーションの起動時にファイルの使用状況を確認できるようにします。 Taskmon は、HKLM\Software\Microsoft\Windows\CurrentVersion\Taskmon\ExcludeApps に記載されているものを除き、すべてのアプリケーションの起動中に実行されるファイル システム アクティビティを監視します。 FioLog は、アプリケーションのスタートアップ ファイル システムのアクティビティを Applog ディレクトリに記録します。 作成するログ ファイルは、.LGA の拡張子で始まります。 ログを削除するタイミングと、最後の文字がインクリメントされた新しい拡張子を持つアプリケーションに対して新しいログを作成するタイミングを判断する方法は明確にはありません。 サンプル ログ ファイルの一部を次に示します。

{
o da3034d0 d000 "C:\WINDOWS\NOTEPAD.EXE"
R da3034d0 0 40
R da3034d0 80 f8
R da3034d0 80 1c0
R da3034d0 7000 1000
R da3034d0 6000 e00
o da2b2610 156000 "C:\WINDOWS\SYSTEM\SHELL32.DLL"
R da2b2610 83000 1000
o da2b2f40 45110 "C:\WINDOWS\SYSTEM\SHLWAPI.DLL"
R da2b2f40 3c000 1000
R da2b2f40 3c000 1000
...

行は 4 つのフィールドに分割されています。1 つ目は操作コードです。ここで o が開かれ、R が読み取られ、C が閉じられます。 FioLog は、アプリケーションの起動を最適化するために、アプリケーション起動中の読み取り操作のみを記録し、W (書き込み用) は表示されません。 2 番目のフィールドは内部ファイル ポインターです。 3 番目と 4 番目のフィールドは、行の操作コードに従って解釈する必要があります。 操作コードが R の場合、3 番目のフィールドはファイル オフセットで、4 番目のフィールドは読み取り長さになります。 ただし、操作コードが o の場合、3 番目のフィールドはオープン フラグで、4 番目のフィールドは開かれているファイルの名前です。 このトレースの例では、notepad.exe を開くとファイル ポインター da3034d0 が返されます。これは、後続の読み取り操作で使用されていることがわかります。

デフラグ操作を起動すると、Defrag.Exe プログラムが CvtApLog (\Windows\System\Cvtaplog.exe) という名前のプログラムを実行してログ ファイルを処理します。 CvtApLog では、ClusAlgo.Dll (\Windows\System\Clusalgo.dll) という名前の DLL を使用して、読み取るログ ファイルを指定して最適なクラスターの配置を把握し、最適化プロセスをガイドする \Windows\Applog\Applog.d* という名前のファイルにこの情報を記録します。 また、\Windows\Applog\Optlog.txt という名前のファイルも生成されます。このファイルは、ログ ファイルが指示するアプリケーション起動における最適化をまとめたものです。 Optlog.txt ファイルの部分的な内容を次に示します。

Program Launch Optimization Log - Created Tue Jun 13 11:42:52 2000

Programs Eligible for Optimization:
Ord Flag ProgName Uses   LastExecDate Program Path                           
1        RUNDLL32 65     2000.06.13   C:\WINDOWS\RUNDLL32.EXE                
2        ATIPTAAB 31     2000.06.13   C:\WINDOWS\SYSTEM\ATIPTAAB.EXE         
3        NOTEPAD  22     2000.06.13   C:\WINDOWS\NOTEPAD.EXE                 
4        PING     9      2000.06.10   C:\WINDOWS\PING.EXE                    
…             
17       IEXPLORE 2      2000.06.01   C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE

Programs Ineligible for Optimization:
Ord Flag ProgName Uses   LastExecDate Program Path                           
18  S    GREP     5      2000.06.13   C:\BIN\GREP.EXE                        
19  S    STRINGS  12     2000.06.13   C:\BIN\STRINGS.EXE                     
20  S    ATI2CWXX 31     2000.06.13   C:\WINDOWS\SYSTEM\ATI2CWXX.EXE         

Control Parameters:
Use app profile        = Yes
Minimum log size    = 1000
Maximum no use days = 90
Maximum apps        = 50

Flags for Ineligible Programs:
S = Log size smaller than <Minimum log size>
U = Program not used for more than <Maximum no use days>
P = No profile for program
E = Associated program no longer exists
D = Log deleted (may be combined with one of the above)

Windows 98 に搭載されている、アプリケーションの起動中に使用したファイルの一部をディスク上の連続した領域に移動する機能は、Microsoft が Intel からライセンスを取得したテクノロジです (これを確認するには、Defrag.exe を手動で実行し、「Intel Application Launch Accelerator」というテキストを入力します)。

WINDEV '00 WEST

先週、WinDev '00 East が開催され、660 人という記録的な人数が参加しました (ホテルの収容人数)。 会議には、COM の神と言われる Don Box からドライバーの専門家である Jamie Hanrahan、Brian Catlin に至るまで、Windows 開発のあらゆる分野の著名人が講演者として出席しました。 私のセッションには、"Windows 2000 Internals"、"Advanced Drivers"、"Windows NT/2000 File System Drivers"、"Cluster Server" が含まれていました。

逃したことを悔やんでいる皆様。喜ばしいことに、もう一度チャンスがあります。 WinDev '00 West は、9 月 11 日から 15 日までカリフォルニア州サンタ クララでの開催が予定されており、同じ講演者が参加します。 私は同様のセッションを行い、WinDev East と同じように、私の質問に答えてくれたり、特に洞察力のある質問をしてくれた参加者には、SysInternals の T シャツを無料でプレゼントします。 詳細については、http://www.butrain.com/windev/west/default.htm. を参照してください。

近日公開予定

"セキュリティで保護された" Windows 98 レジストリ キー

Windows 98 レジストリはセキュリティに対応していませんが、Microsoft は非表示のレジストリ キーを定義するメカニズムを実装しています。 このステルス技術を利用するアプリケーションは何ですか? もちろん、Internet Explorer です。 次回は、IE が隠すキーと、Windows 98 での実装方法について説明します。

Systems Internals ニュースレターをお読みいただき、ありがとうございました。

公開日: 2000 年 6 月 14 日 (水) 午後 7:08 by ottoh

[ニュースレター アーカイブ ^] [< Vol. 2、No. 2] [Vol. 2、No. 4 >]