《深入解析Windows操作系统》笔记第1章

在看第一章，做了几个实验，书上的东西我就不copy了

实验1 查看进程树

用tlist工具(在Windows调试工具箱中)

在命令行下打开tlist工具

E:\Program Files\Debugging Tools for Windows (x86)>tlist /t
System Process (0)
System (4)
  smss.exe (716)
    csrss.exe (772)
    winlogon.exe (812)
      services.exe (856)
        ati2evxx.exe (1032) ATI video bios poller
        svchost.exe (1048)
          TXPlatform.exe (5248) OleMainThreadWndName
          wmiprvse.exe (3700)
        svchost.exe (1128)
        svchost.exe (1272)
          FsSvr.exe (1852)
        svchost.exe (1408)
        svchost.exe (1448)
        spoolsv.exe (1776)
        AlipaySecSvc.exe (504)
          Alipaybsm.exe (1996) bsm
          AlipaySafeTran.exe (6040) Miser
        svchost.exe (580)
        svchost.exe (2860)
        svchost.exe (1688)
      lsass.exe (868)
      ati2evxx.exe (1692) ATI video bios poller client
explorer.exe (2044) Program Manager
  URNotes.exe (2504)
  YodaoDict.exe (2976) 有道词典
    WordBook.exe (1544)
  Thunder.exe (3724)
    ThunderPlatform.exe (3252) CXLAccountClient
    HaoZip.exe (4620)
  Foxit Reader.exe (3972) 深入解析WINDOWS操作系统(第4版).pdf - Foxit Reader
  chrome.exe (3640) 编辑文章 - 博客频道 - CSDN.NET - Google Chrome
    chrome.exe (4692)
  TM.exe (1604)
  cmd.exe (3284) C:\WINDOWS\system32\cmd.exe - tlist /t
    cmd.exe (4132)
      tlist.exe (2552)
ctfmon.exe (448)
conime.exe (2544)
jfCacheMgr.exe (468) AX7W72ICOSBB2UOVVLWWTB56RGN6EVKS.mkv.jfenc 块信息

QQMusic.exe (3708)
  QQMusicExternal.exe (4048) QQMusicExternal_P2P_WndClsTitle_1_3708
  QQMusicExternal.exe (2064) {EB630422-EB3D-4D8C-BC3A-43546B37C399}_LISTENER_WNA
ME

在这个树视图里面可以很清楚看见哪个进程的父进程和子进程是什么

例如想要知道QQ软件产生了哪些保护进程就可以用这个看吧

实验2 windows只记录了子进程B的父进程A，却没有记录父进程A的父进程？

1 打开一个cmd

2 在cmd里面输入start cmd从而打开两个cmd

3 在第二个cmd里面随便创建一个进程,例如mspaint

4 把第二个cmd关闭掉

5 打开任务管理器,找到第一个cmd的进程(不是在应用程序标签而是在进程标签)

6 右键该进程: 结束进程树

可以发现mspaint并未被结束,那是因为第二个cmd被终止了,windows无法从上到下结束mspaint.。而因为没有记录mspaint祖父进程是什么,所以windows就没有结束mspaint

实验3 查看内核模式和用户模式的CPU时间分布

1 打开开始菜单-管理工具-性能

2 点击性能工具右手边的工具栏按钮: 新计数器集

3 点击按钮: +, 在弹出的对话框中添加%Previliged Time和%User Time

4 点击关闭

5 猛移鼠标10秒,你会发现两条线直线上升

上升得快的那条是内核时间,上升得慢的是用户时间。这是因为大部分图形和窗口系统运行在内核模式下，而同时也有在用户模式下执行代码。

后面说道WinDbg的使用,但是我输入命令却得不到回应,这是因为Symbols文件没设置恰当。

实际上应该如此设置E:\Symbols;SRV*E:\Symbols*http://msdl.microsoft.com/download/symbols

这样设置告诉WinDbg如果文件损坏了就到网上去下载

现在书上的命令都可以打了