Изучение пользовательского режима ОС Windows 10

1.

Изучение пользовательского режима ОС
Windows 10

2.

Что доступно пользователю и
приложениям?
Компоненты ОС:
Вызовы функций подсистем (Win32 API, POSIX API, и
тд)
Дескрипторы (Handles) Windows объектов
Службы (Services)
Реестр
Локальные и групповые политики
Конфигурационные файлы
Component Object Models (COM)

3.

Что доступно пользователю и
приложениям?
Утилиты:
Доп. утилиты от Microsoft из Sysinternals suite для всего
sc/services.msc для служб
diskpart/diskmgmt.msc для носителей информации
regedit для реестра
COMView для COM-объектов
gpedit.msc для локальных и групповых политик
Средства восстановления (dism, sfc)
Инструментирование/автоматизация (WMI, PowerShell)

4.

Windows Services
Способ запускать приложения, драйверы устройств и
модули ядра в отдельной, независимой от пользователя
сессии;
Не используют UI, но могут порождать оконные процессы;
Многие ключевые компоненты Windows обеспечивают
присутствие в пространстве пользователя в виде таких
служб;
Реализуются в виде специальных скомпилированных DLLфайлов или скриптов с необходимым интерфейсом
(набором функций), загружаемых хост-процессами
svchost.exe;
Иногда службы называют драйверами пользовательского
режима. Для разработки есть User-Mode Driver Framework
и Kernel-Mode Driver Framework.

5.

Windows Services

6.

Windows Services

7.

Windows Services
Для ускорения процесса загрузки можно отключить
службы, бесполезные для виртуальной машины
используя sc, services.msc, либо computer
management:
Windows update
Windows search (или ограничить индексацию)
Volume shadow copy
Microsoft Edge службы
One Drive службы
Можно использовать утилиту Autoruns

8.

Объекты
Устройства (Devices)
События (Events)
Мьютексы (Mutants)
Семафоры (Semaphores)
ALPC-порты
Ссылки (Links, aliases)
Таймеры
Секции (mapped areas)

9.

Объекты

10.

Объекты
Некоторые из устройств (Devices) являются
носителями информации. Управление
носителями информации доступно с
помощью утилиты diskmgmt.msc .
Там же можно найти раздел
восстановления Windows,
который можно использовать
для починки компонент
незагружающейся системы, а
можно вовсе удалить для
освобождения места.
Некоторые функции в
графической утилите не
доступны: например, для
удаления раздела
восстановления придется
использовать консольную

11.

Реестр
Хранилище конфигураций ОС и программ
Каждый корень хранится в файловой
системе %SystemRoot%\System32\Config\:
HKEY_LOCAL_MACHINE
HKEY_CURRENT_CONFIG
HKEY_CLASSES_ROOT
HKEY_CURRENT_USER
HKEY_USERS
HKEY_PERFORMANCE_DATA

12.

Реестр
Импорт/экспорт через .reg файлы
HKLM\Hardware заполняется при загрузке ОС
HKLM\SYSTEM\CurrentControlSet и
HKCU\System\CurrentControlSet содержат список и
параметры служб
HKCR содержит классы COM-объектов,
ассоциаций для файлов

13.

Component Object Models
Binary Objects: клиент и сервер
Независимы от языка (ABI compatibility)
Независимы от платформы
Независимы от местоположения
Функционал в виде абстрактных классов (в С++ интерфейсов)
Настраиваемость
Описаны в реестре

14.

Component Object Models

15.

Component Object Models
Примеры реализации:
VBX, OCX, ActiveX (для Internet Explorer)
DCOM (Distributed COM), COM+
OLE (вставки)
CORBA
JavaBeans, EJB

16.

Шифрование
В файловую систему NTFS встроена возможность
шифрования файлов
BitLocker – утилита для шифрования раздела
жесткого диска

17.

Сетевой экран
Интерфейс для настройки правил фильтрации
пакетов из сетевых интерфейсов
Использует набор API Windows Filtering Platform, с
помощью которого можно написать свой драйвер
для управления сетевыми интерфейсами

18.

Задания
Изучить инструменты из Sysinternals suite
Изучить службы: управление службами через графический
и консольный интерфейсы
Показать доступные объекты Windows. Какие типы
объектов пространства имён BaseNamedObjects доступны
из режима пользователя?
Изучить реестр: структура, основные ветки, ассоциации,
хранилище COM-объектов, хранилище служб,
расположение на диске
Изучить возможности шифрования и управление сетевыми
интерфейсами