オンサイトセミナー
豊田孝の「IT談話館」 Windowsメモリフォレンジックを依頼する WinDbg




本「IT談話館」はDKOMベースの高度なメモリフォレンジックサービスを提供しています!


Windows XP/7/8/10のプロセス間親子関係とサンドボックス


 使用中のWindowsシステムの健康度を診断する場合、プロセスの存在を無視することはできません。たとえば、あるプロセスがウィルスに感染している場合、内部構成が変更され、通常とは大きく異なる動きになります。また、プロセス間通信やカーネルオブジェクトの操作に何らかの問題がある場合には、パフォーマンスが著しく低下したり、時には、システムクラッシュが発生します。本「IT談話館」は、メモリダンプの解析作業では、ダンプ採取時のWindowsシステム内部の全体像を把握する観点から、プロセスとスレッドの解析を重視しています。

 本稿では、Windows XP/7/8/10それぞれの環境で採取されたカーネルメモリダンプを本「IT談話館」の独自解析コードで解析し、プロセス間の親子関係の変遷を考察しています。プロセス間の親子関係は、本館別稿「Windows 7/8/10、セキュリティー、Tokenオブジェクト」に目を通されるとお分かりになりますが、子プロセスは親プロセスのセキュリティー特性を継承したり、サンドボックスの実装手段であり、Windows Vista以降のWindowsシステムでは極めて重要な意味を担っています。同様の背景から、子プロセスを生み出す親プロセスの存在を隠蔽し、重要プロセスの系譜分析の難度化も進められています。

 まずはWindows XPのメモリダンプの解析結果からご覧いただきましょう。
kd> .dumpdebug
----- 32 bit Kernel Summary Dump Analysis

DUMP_HEADER32:
MajorVersion        0000000f
MinorVersion        00000a28
KdSecondaryVersion  00000000
DirectoryTableBase  08f20000
PfnDataBase         81000000
PsLoadedModuleList  8055c620
PsActiveProcessHead 805626d8
MachineImageType    0000014c
NumberProcessors    00000001
BugCheckCode        0000008e
BugCheckParameter1  c0000005
BugCheckParameter2  80568ecc
BugCheckParameter3  f38f61a0
BugCheckParameter4  00000000
PaeEnabled          00000000
KdDebuggerDataBlock 8054e260
SecondaryDataState  00000000
ProductType         00000001
SuiteMask           00000110

SUMMARY_DUMP32:
DumpOptions         504d4453
HeaderSize          00003000
BitmapSize          0000ff00
Pages               00003896
Bitmap.SizeOfBitMap 0000ff00

KiProcessorBlock at 8055b520
  1 KiProcessorBlock entries:
  ffdff120


Parent+: 0x0000--->	Child: 0x0004	ActiveThreads->0070	System
Parent+: 0x0004--->	Child: 0x0198	ActiveThreads->0003	smss.exe
Parent+: 0x0198--->	Child: 0x01c8	ActiveThreads->0010	csrss.exe
Parent+: 0x0198--->	Child: 0x01e0	ActiveThreads->0023	winlogon.exe
Parent+: 0x01e0--->	Child: 0x020c	ActiveThreads->0016	services.exe
Parent+: 0x01e0--->	Child: 0x0218	ActiveThreads->0017	lsass.exe
Parent+: 0x020c--->	Child: 0x02d4	ActiveThreads->0018	svchost.exe
Parent+: 0x020c--->	Child: 0x0314	ActiveThreads->0010	svchost.exe
Parent+: 0x020c--->	Child: 0x0358	ActiveThreads->0086	svchost.exe
Parent+: 0x020c--->	Child: 0x03a0	ActiveThreads->0026	blinksvc.exe
Parent+: 0x020c--->	Child: 0x03d8	ActiveThreads->0013	svchost.exe
Parent+: 0x02d4--->	Child: 0x0400	ActiveThreads->0008	blinkrm.exe
Parent+: 0x020c--->	Child: 0x0514	ActiveThreads->0014	spoolsv.exe
Parent+: 0x020c--->	Child: 0x0560	ActiveThreads->0006	alg.exe
Parent+: 0x020c--->	Child: 0x0598	ActiveThreads->0006	mdm.exe
Parent+: 0x020c--->	Child: 0x05c0	ActiveThreads->0002	tcpsvcs.exe
Parent+: 0x020c--->	Child: 0x05e0	ActiveThreads->0005	snmp.exe
Parent+: 0x020c--->	Child: 0x0658	ActiveThreads->0004	wdfmgr.exe
Parent+: 0x020c--->	Child: 0x06c8	ActiveThreads->0015	EEYEEVNT.exe
Parent+: 0x0358--->	Child: 0x05a8	ActiveThreads->0008	wuauclt.exe
Parent+: 0x01bc--->	Child: 0x04bc	ActiveThreads->0013	explorer.exe
Parent-: 0x02d4--->	Child: 0x05d4	ActiveThreads->0000	wmiprvse.exe
Parent+: 0x04bc--->	Child: 0x095c	ActiveThreads->0001	hkcmd.exe
Parent+: 0x04bc--->	Child: 0x0964	ActiveThreads->0001	jusched.exe
Parent+: 0x04bc--->	Child: 0x0970	ActiveThreads->0002	reader_sl.exe
Parent+: 0x04bc--->	Child: 0x0984	ActiveThreads->0001	ctfmon.exe
 この情報は、32ビットWindows XP環境におけるプロセスの起動順序を示しています。「Parent+: 0x0000」プロセスによって起動されたSystemプロセスがまずSMSS(セッションマネージャー)プロセスを起動しています。次に、SMSSプロセスがCSRSSプロセスとwinlogon.exeプロセスを起動するという具合に、プロセス間の親子関係がすっきりしています。この"すっきり"感は、セキュリティー確保の視点からは好ましいことではなく、Windowsバージョンが上がるに従い、消えていきます(参照)。

 上記情報内のwmiprvseプロセスを見ますと、アクティブなスレッドを一個も持っていませんから、実務解析では、詳細な解析対象になります。なお、Systemプロセスを起動する「Parent+: 0x0000」プロセスに興味をお持ちの方は、本館別稿「WinDbg、ProcMon、Minimal Process、ルートキット」を一読されるのも一興かもしれません。

 Windows 7のプロセスオブジェクトの解析結果は次のようになっています。
64ビットWindows 7


DUMP_HEADER64:
MajorVersion        0000000f
MinorVersion        00001db1
KdSecondaryVersion  00000000
DirectoryTableBase  00000000`00187000
PfnDataBase         fffffa80`00000000
PsLoadedModuleList  fffff800`03c98890
PsActiveProcessHead fffff800`03c7a590
MachineImageType    00008664
NumberProcessors    00000008
BugCheckCode        00000019
BugCheckParameter1  00000000`00000021
BugCheckParameter2  fffffa80`10952000
BugCheckParameter3  00000000`00001040
BugCheckParameter4  922858cc`6c8a01b9
KdDebuggerDataBlock fffff800`03c440d0
SecondaryDataState  00000000
ProductType         00000001
SuiteMask           00000110

SUMMARY_DUMP64:
DumpOptions         504d4453
HeaderSize          0004b000
BitmapSize          00240000
Pages               00030cf1
Bitmap.SizeOfBitMap 00240000

KiProcessorBlock at fffff800`03d02c40
  8 KiProcessorBlock entries:
  fffff800`03c45e80 fffff880`009e8180 fffff880`03364180 fffff880`033d5180 
  fffff880`009b2180 fffff880`034a4180 fffff880`03515180 fffff880`03586180


Parent+: 0x0000--->	Child: 0x0004	ActiveThreads->0200	System
Parent+: 0x0004--->	Child: 0x01ac	ActiveThreads->0003	smss.exe
Parent+: 0x01f4--->	Child: 0x023c	ActiveThreads->0010	csrss.exe
Parent+: 0x01ac--->	Child: 0x02ac	ActiveThreads->0018	psxss.exe
Parent+: 0x02b4--->	Child: 0x02c0	ActiveThreads->0011	csrss.exe
Parent+: 0x01f4--->	Child: 0x02cc	ActiveThreads->0003	wininit.exe
Parent+: 0x02cc--->	Child: 0x02f8	ActiveThreads->0009	services.exe
Parent+: 0x02cc--->	Child: 0x0308	ActiveThreads->0007	lsass.exe
Parent+: 0x02cc--->	Child: 0x0310	ActiveThreads->0010	lsm.exe
Parent+: 0x02b4--->	Child: 0x0330	ActiveThreads->0003	winlogon.exe
Parent+: 0x02f8--->	Child: 0x03a4	ActiveThreads->0012	svchost.exe
Parent+: 0x02f8--->	Child: 0x03f4	ActiveThreads->0004	nvvsvc.exe
Parent+: 0x02f8--->	Child: 0x0184	ActiveThreads->0007	svchost.exe
Parent+: 0x02f8--->	Child: 0x03e8	ActiveThreads->0023	svchost.exe
Parent+: 0x02f8--->	Child: 0x0408	ActiveThreads->0033	svchost.exe
Parent+: 0x02f8--->	Child: 0x0430	ActiveThreads->0026	svchost.exe
Parent+: 0x02f8--->	Child: 0x0450	ActiveThreads->0056	svchost.exe
Parent+: 0x03e8--->	Child: 0x04d8	ActiveThreads->0008	audiodg.exe
Parent+: 0x02f8--->	Child: 0x0524	ActiveThreads->0004	CTAudSvc.exe
Parent+: 0x02f8--->	Child: 0x0578	ActiveThreads->0005	svchost.exe
Parent+: 0x02f8--->	Child: 0x05ec	ActiveThreads->0034	svchost.exe
Parent+: 0x03f4--->	Child: 0x0610	ActiveThreads->0009	nvxdsync.exe
Parent+: 0x03f4--->	Child: 0x0620	ActiveThreads->0006	nvvsvc.exe
Parent+: 0x02f8--->	Child: 0x0704	ActiveThreads->0014	spoolsv.exe
Parent+: 0x02f8--->	Child: 0x0754	ActiveThreads->0018	svchost.exe
Parent+: 0x02f8--->	Child: 0x07dc	ActiveThreads->0004	armsvc.exe
Parent+: 0x02f8--->	Child: 0x0520	ActiveThreads->0004	CLMSMonitorSer
Parent+: 0x02f8--->	Child: 0x05b8	ActiveThreads->0021	CLMSServerPDVD
Parent-: 0x0520--->	Child: 0x0604	ActiveThreads->0000	CLMSServerPDVD
Parent+: 0x02f8--->	Child: 0x053c	ActiveThreads->0037	ekrn.exe
Parent+: 0x02f8--->	Child: 0x0720	ActiveThreads->0022	svchost.exe
Parent+: 0x02f8--->	Child: 0x0724	ActiveThreads->0004	LMS.exe
Parent+: 0x02f8--->	Child: 0x0824	ActiveThreads->0011	mbae-svc.exe
Parent+: 0x02f8--->	Child: 0x0864	ActiveThreads->0006	mdm.exe
Parent-: 0x0824--->	Child: 0x08dc	ActiveThreads->0000	mbae64.exe
Parent+: 0x02f8--->	Child: 0x09ec	ActiveThreads->0044	sqlservr.exe
Parent+: 0x02f8--->	Child: 0x0a1c	ActiveThreads->0005	nTuneService.e
Parent+: 0x02f8--->	Child: 0x0a98	ActiveThreads->0003	o2flash.exe
Parent+: 0x02f8--->	Child: 0x0ab8	ActiveThreads->0004	PnkBstrA.exe
Parent+: 0x02f8--->	Child: 0x0af4	ActiveThreads->0012	Rebit-Pro-Svc.
Parent+: 0x02f8--->	Child: 0x0be0	ActiveThreads->0004	TCPSVCS.EXE
Parent+: 0x02f8--->	Child: 0x0bf4	ActiveThreads->0007	snmp.exe
Parent+: 0x02f8--->	Child: 0x0784	ActiveThreads->0005	svchost.exe
Parent+: 0x02f8--->	Child: 0x0a10	ActiveThreads->0005	ThpSrv.exe
Parent+: 0x02f8--->	Child: 0x0ab4	ActiveThreads->0005	TODDSrv.exe
Parent+: 0x02f8--->	Child: 0x0c18	ActiveThreads->0019	TosCoSrv.exe
Parent+: 0x02f8--->	Child: 0x0c7c	ActiveThreads->0008	TecoService.ex
Parent+: 0x02f8--->	Child: 0x0cac	ActiveThreads->0013	UNS.exe
Parent+: 0x02f8--->	Child: 0x0cc4	ActiveThreads->0004	svchost.exe
Parent+: 0x02f8--->	Child: 0x0cd8	ActiveThreads->0013	svchost.exe
Parent+: 0x02f8--->	Child: 0x0d00	ActiveThreads->0010	WLIDSVC.EXE
Parent+: 0x02f8--->	Child: 0x0d78	ActiveThreads->0013	SearchIndexer.
Parent+: 0x0d00--->	Child: 0x0db0	ActiveThreads->0004	WLIDSVCM.EXE
Parent+: 0x02f8--->	Child: 0x0e08	ActiveThreads->0008	nfsclnt.exe
Parent+: 0x03a4--->	Child: 0x0f78	ActiveThreads->0013	WmiPrvSE.exe
Parent+: 0x02f8--->	Child: 0x1044	ActiveThreads->0005	svchost.exe
Parent+: 0x0408--->	Child: 0x10e8	ActiveThreads->0008	WUDFHost.exe
Parent+: 0x03a4--->	Child: 0x1228	ActiveThreads->0009	WmiPrvSE.exe
Parent+: 0x02f8--->	Child: 0x1354	ActiveThreads->0012	taskhost.exe
Parent+: 0x0408--->	Child: 0x13dc	ActiveThreads->0005	dwm.exe
Parent+: 0x13d4--->	Child: 0x13e4	ActiveThreads->0029	explorer.exe
Parent+: 0x0a1c--->	Child: 0x10d8	ActiveThreads->0002	nTuneCmd.exe
Parent+: 0x13e4--->	Child: 0x1174	ActiveThreads->0007	SynTPEnh.exe
Parent-: 0x03a4--->	Child: 0x1180	ActiveThreads->0000	explorer.exe
Parent+: 0x13e4--->	Child: 0x09dc	ActiveThreads->0003	TPwrMain.exe
Parent+: 0x13e4--->	Child: 0x0d08	ActiveThreads->0001	SmoothView.exe
Parent+: 0x13e4--->	Child: 0x0740	ActiveThreads->0014	TCrdMain.exe
Parent+: 0x1174--->	Child: 0x12a8	ActiveThreads->0001	SynTPHelper.ex
Parent+: 0x13e4--->	Child: 0x12ac	ActiveThreads->0008	Teco.exe
Parent+: 0x13e4--->	Child: 0x1008	ActiveThreads->0004	ThpSrv.exe
Parent+: 0x0740--->	Child: 0x1384	ActiveThreads->0001	TCrdKBB.exe
Parent+: 0x13e4--->	Child: 0x0640	ActiveThreads->0003	TosNcCore.exe
Parent+: 0x13e4--->	Child: 0x07e4	ActiveThreads->0006	TosReelTimeMon
Parent+: 0x13e4--->	Child: 0x0ae0	ActiveThreads->0003	HDMICtrlMan.ex
Parent+: 0x13e4--->	Child: 0x12b8	ActiveThreads->0006	XBoxStat.exe
Parent+: 0x02f8--->	Child: 0x12b4	ActiveThreads->0017	wmpnetwk.exe
Parent+: 0x0974--->	Child: 0x01e8	ActiveThreads->0012	SmartAudio.exe
Parent+: 0x13e4--->	Child: 0x1018	ActiveThreads->0007	DashUI.exe
Parent+: 0x02f8--->	Child: 0x0538	ActiveThreads->0015	svchost.exe
Parent+: 0x0450--->	Child: 0x1450	ActiveThreads->0005	taskeng.exe
Parent+: 0x1450--->	Child: 0x148c	ActiveThreads->0004	NDSTray.exe
Parent+: 0x0ae0--->	Child: 0x14d4	ActiveThreads->0001	HCMSoundChange
Parent+: 0x13e4--->	Child: 0x1560	ActiveThreads->0014	LCore.exe
Parent+: 0x13e4--->	Child: 0x156c	ActiveThreads->0001	rundll32.exe
Parent+: 0x13e4--->	Child: 0x1574	ActiveThreads->0037	rundll32.exe
Parent+: 0x13e4--->	Child: 0x157c	ActiveThreads->0009	egui.exe
Parent+: 0x13e4--->	Child: 0x17b0	ActiveThreads->0034	SkyDrive.exe
Parent+: 0x13e4--->	Child: 0x17d0	ActiveThreads->0028	sidebar.exe
Parent+: 0x13e4--->	Child: 0x17e0	ActiveThreads->0020	Power2GoExpres
Parent+: 0x13e4--->	Child: 0x0df4	ActiveThreads->0008	TosBtMng.exe
Parent+: 0x03a4--->	Child: 0x1448	ActiveThreads->0006	dllhost.exe
Parent+: 0x01e4--->	Child: 0x1728	ActiveThreads->0014	IAStorIcon.exe
Parent+: 0x01e4--->	Child: 0x1744	ActiveThreads->0008	TWebCamera.exe
Parent+: 0x13e4--->	Child: 0x120c	ActiveThreads->0001	ONENOTEM.EXE
Parent+: 0x02f8--->	Child: 0x16d4	ActiveThreads->0003	CFIWmxSvcs64.e
Parent+: 0x01e4--->	Child: 0x1530	ActiveThreads->0010	ToshibaService
Parent+: 0x01e4--->	Child: 0x0c34	ActiveThreads->0013	VolPanlu.exe
Parent+: 0x01e4--->	Child: 0x180c	ActiveThreads->0006	SBRecon.exe
Parent+: 0x01e4--->	Child: 0x1820	ActiveThreads->0037	PowerDVD13Agen
Parent+: 0x01e4--->	Child: 0x19a4	ActiveThreads->0005	mbae.exe
Parent+: 0x01e4--->	Child: 0x1b1c	ActiveThreads->0004	rundll32.exe
Parent+: 0x01e4--->	Child: 0x1a18	ActiveThreads->0002	jusched.exe
Parent+: 0x02f8--->	Child: 0x1a98	ActiveThreads->0009	TosBtSrv.exe
Parent+: 0x02f8--->	Child: 0x1bf0	ActiveThreads->0005	CFSvcs.exe
Parent+: 0x02f8--->	Child: 0x147c	ActiveThreads->0006	AL6Licensing.e
Parent+: 0x02f8--->	Child: 0x1b08	ActiveThreads->0006	CTAELicensing.
Parent+: 0x02f8--->	Child: 0x1aec	ActiveThreads->0031	DkService.exe
Parent+: 0x02f8--->	Child: 0x1a14	ActiveThreads->0022	TPCHSrv.exe
Parent+: 0x02f8--->	Child: 0x1830	ActiveThreads->0005	TosSmartSrv.ex
Parent+: 0x0444--->	Child: 0x1ca8	ActiveThreads->0003	TosSENotify.ex
Parent+: 0x0394--->	Child: 0x1ddc	ActiveThreads->0003	TPCHWMsg.exe
Parent+: 0x148c--->	Child: 0x1e80	ActiveThreads->0002	CFSwMgr.exe
Parent+: 0x0df4--->	Child: 0x1ec0	ActiveThreads->0006	TosA2dp.exe
Parent+: 0x02f8--->	Child: 0x1f0c	ActiveThreads->0005	TurboBoost.exe
Parent+: 0x1c90--->	Child: 0x1f20	ActiveThreads->0005	GoogleUpdate.e
Parent+: 0x02f8--->	Child: 0x1fd0	ActiveThreads->0011	IAStorDataMgrS
Parent+: 0x1f20--->	Child: 0x1fe4	ActiveThreads->0005	GoogleCrashHan
Parent+: 0x0df4--->	Child: 0x1c78	ActiveThreads->0006	TosBtHid.exe
Parent+: 0x1f20--->	Child: 0x1bec	ActiveThreads->0005	GoogleCrashHan
Parent+: 0x0df4--->	Child: 0x1ccc	ActiveThreads->0001	TosBtHSP.exe
Parent+: 0x02f8--->	Child: 0x1e94	ActiveThreads->0006	PresentationFo
Parent+: 0x02f8--->	Child: 0x216c	ActiveThreads->0008	TMachInfo.exe
Parent-: 0x0824--->	Child: 0x18b4	ActiveThreads->0000	mbae64.exe
Parent-: 0x0824--->	Child: 0x18f0	ActiveThreads->0000	mbae64.exe
Parent+: 0x21b8--->	Child: 0x2108	ActiveThreads->0018	Arc.exe
Parent+: 0x2108--->	Child: 0x2004	ActiveThreads->0023	ArcOSBrowser.e
Parent+: 0x192c--->	Child: 0x0d50	ActiveThreads->0005	crypticError.e
Parent+: 0x1178--->	Child: 0x1948	ActiveThreads->0014	iexplore.exe
Parent+: 0x1948--->	Child: 0x1a34	ActiveThreads->0031	iexplore.exe
Parent+: 0x1948--->	Child: 0x23a0	ActiveThreads->0034	iexplore.exe
Parent+: 0x14e4--->	Child: 0x234c	ActiveThreads->0005	crypticError.e
Parent+: 0x1f8c--->	Child: 0x17ec	ActiveThreads->0061	GameClient.exe
 「Parent+: 0x01f4」や「Parent+: 0x02b4」などの親なしプロセスが追加投入され、Windows XP時代と比較しますと、親子関係が不明瞭になっています。また、詳しい説明は別稿「Windows 7/8/10、セキュリティー、Tokenオブジェクト」に譲りますが、複数のブラウザー(iexplore.exe)プロセスが親子関係を形成しながら動作している点にも注目です。この点は後ほど、Google社のChromeブラウザーを取り上げる箇所で再度触れることになります。
 このケースでは、SMSSプロセスにより「psxss.exe」サブシステムが起動されています。このサブシステムに関してはGoogleなどで検索しますと、いろいろな情報を取得することができます。

 Windows 8.1のプロセスオブジェクトの解析結果は次のようになっています。
64ビットWindows 8.1


DUMP_HEADER64:
MajorVersion        0000000f
MinorVersion        00002580
KdSecondaryVersion  00000000
DirectoryTableBase  00000001`bea5e000
PfnDataBase         fffffa80`00000000
PsLoadedModuleList  fffff801`68956350
PsActiveProcessHead fffff801`6893c0a0
MachineImageType    00008664
NumberProcessors    00000004
BugCheckCode        00000133
BugCheckParameter1  00000000`00000000
BugCheckParameter2  00000000`00000501
BugCheckParameter3  00000000`00000500
BugCheckParameter4  00000000`00000000
KdDebuggerDataBlock fffff801`68923a20
SecondaryDataState  00000000
ProductType         00000001
SuiteMask           00000310
Attributes          00000000

BITMAP_DUMP:
DumpOptions         00000000
HeaderSize          48000
BitmapSize          22f200
Pages               368e8

KiProcessorBlock at fffff801`689e0d40
  4 KiProcessorBlock entries:
  fffff801`68972180 ffffd001`30bd4180 ffffd001`30d50180 ffffd001`30dce180


Parent+: 0x0000--->	Child: 0x0004	ActiveThreads->0149	System
Parent+: 0x0004--->	Child: 0x0150	ActiveThreads->0002	smss.exe
Parent+: 0x01f4--->	Child: 0x0208	ActiveThreads->0009	csrss.exe
Parent+: 0x01f4--->	Child: 0x0288	ActiveThreads->0001	wininit.exe
Parent+: 0x0288--->	Child: 0x02f4	ActiveThreads->0004	services.exe
Parent+: 0x0288--->	Child: 0x02fc	ActiveThreads->0006	lsass.exe
Parent+: 0x02f4--->	Child: 0x0354	ActiveThreads->0019	svchost.exe
Parent+: 0x02f4--->	Child: 0x0388	ActiveThreads->0015	svchost.exe
Parent+: 0x02f4--->	Child: 0x0124	ActiveThreads->0002	nvvsvc.exe
Parent+: 0x02f4--->	Child: 0x0184	ActiveThreads->0025	svchost.exe
Parent+: 0x02f4--->	Child: 0x02bc	ActiveThreads->0036	svchost.exe
Parent+: 0x02f4--->	Child: 0x0398	ActiveThreads->0023	svchost.exe
Parent+: 0x02f4--->	Child: 0x0424	ActiveThreads->0023	svchost.exe
Parent+: 0x02f4--->	Child: 0x04bc	ActiveThreads->0017	svchost.exe
Parent+: 0x02f4--->	Child: 0x050c	ActiveThreads->0002	AsLdrSrv.exe
Parent+: 0x02f4--->	Child: 0x0558	ActiveThreads->0003	GFNEXSrv.exe
Parent+: 0x0424--->	Child: 0x0598	ActiveThreads->0014	wlanext.exe
Parent+: 0x0598--->	Child: 0x05a0	ActiveThreads->0001	conhost.exe
Parent+: 0x02f4--->	Child: 0x05f4	ActiveThreads->0017	spoolsv.exe
Parent+: 0x02f4--->	Child: 0x0614	ActiveThreads->0010	svchost.exe
Parent+: 0x02f4--->	Child: 0x0630	ActiveThreads->0022	svchost.exe
Parent+: 0x02f4--->	Child: 0x06f0	ActiveThreads->0002	armsvc.exe
Parent+: 0x02f4--->	Child: 0x070c	ActiveThreads->0008	AppleMobileDev
Parent+: 0x02f4--->	Child: 0x0734	ActiveThreads->0003	InsOnSrv.exe
Parent+: 0x02f4--->	Child: 0x075c	ActiveThreads->0002	mDNSResponder.
Parent+: 0x02f4--->	Child: 0x077c	ActiveThreads->0011	officeclicktor
Parent+: 0x02f4--->	Child: 0x07b4	ActiveThreads->0002	DptfParticipan
Parent+: 0x02f4--->	Child: 0x07e8	ActiveThreads->0002	DptfPolicyConf
Parent+: 0x02f4--->	Child: 0x040c	ActiveThreads->0002	DptfPolicyCrit
Parent+: 0x0424--->	Child: 0x0434	ActiveThreads->0005	dasHost.exe
Parent+: 0x02f4--->	Child: 0x0484	ActiveThreads->0002	DptfPolicyLpmS
Parent+: 0x02f4--->	Child: 0x0518	ActiveThreads->0019	EvtEng.exe
Parent+: 0x02f4--->	Child: 0x05e0	ActiveThreads->0004	GfExperienceSe
Parent+: 0x02f4--->	Child: 0x0830	ActiveThreads->0050	NIS.exe
Parent+: 0x02f4--->	Child: 0x0894	ActiveThreads->0003	NvNetworkServi
Parent+: 0x02f4--->	Child: 0x092c	ActiveThreads->0004	nvstreamsvc.ex
Parent+: 0x02f4--->	Child: 0x0968	ActiveThreads->0002	RegSrvc.exe
Parent+: 0x02f4--->	Child: 0x0980	ActiveThreads->0006	svchost.exe
Parent+: 0x02f4--->	Child: 0x09a8	ActiveThreads->0013	ZeroConfigServ
Parent+: 0x0354--->	Child: 0x09e4	ActiveThreads->0003	unsecapp.exe
Parent+: 0x0354--->	Child: 0x0a50	ActiveThreads->0007	WmiPrvSE.exe
Parent+: 0x02f4--->	Child: 0x0b68	ActiveThreads->0003	svchost.exe
Parent+: 0x092c--->	Child: 0x0c10	ActiveThreads->0060	nvstreamsvc.ex
Parent+: 0x0c10--->	Child: 0x0c18	ActiveThreads->0002	conhost.exe
Parent-: 0x0734--->	Child: 0x0a28	ActiveThreads->0000	InsOnWMI.exe
Parent+: 0x02f4--->	Child: 0x1154	ActiveThreads->0015	SearchIndexer.
Parent+: 0x08e4--->	Child: 0x11e8	ActiveThreads->0006	GoogleCrashHan
Parent+: 0x08e4--->	Child: 0x128c	ActiveThreads->0003	GoogleCrashHan
Parent+: 0x02f4--->	Child: 0x1318	ActiveThreads->0007	devmonsrv.exe
Parent+: 0x02f4--->	Child: 0x137c	ActiveThreads->0007	obexsrv.exe
Parent+: 0x02f4--->	Child: 0x13e0	ActiveThreads->0002	IntelMeFWServi
Parent+: 0x02f4--->	Child: 0x04d4	ActiveThreads->0002	jhi_service.ex
Parent+: 0x02f4--->	Child: 0x06bc	ActiveThreads->0004	LMS.exe
Parent+: 0x02f4--->	Child: 0x0ca8	ActiveThreads->0008	wmpnetwk.exe
Parent+: 0x02f4--->	Child: 0x15b8	ActiveThreads->0010	iPodService.ex
Parent+: 0x1ccc--->	Child: 0x0130	ActiveThreads->0013	csrss.exe
Parent+: 0x1ccc--->	Child: 0x0af4	ActiveThreads->0002	winlogon.exe
Parent+: 0x0af4--->	Child: 0x0f7c	ActiveThreads->0009	dwm.exe
Parent+: 0x0124--->	Child: 0x175c	ActiveThreads->0008	nvxdsync.exe
Parent+: 0x0124--->	Child: 0x0748	ActiveThreads->0004	nvvsvc.exe
Parent-: 0x0424--->	Child: 0x149c	ActiveThreads->0000	TabTip.exe
Parent+: 0x050c--->	Child: 0x1e28	ActiveThreads->0003	HControl.exe
Parent+: 0x0734--->	Child: 0x1570	ActiveThreads->0003	InsOnWMI.exe
Parent+: 0x0830--->	Child: 0x0fb0	ActiveThreads->0045	NIS.exe
Parent+: 0x02bc--->	Child: 0x0868	ActiveThreads->0011	taskhostex.exe
Parent+: 0x02bc--->	Child: 0x19a8	ActiveThreads->0004	BatteryLife.ex
Parent+: 0x02bc--->	Child: 0x0d98	ActiveThreads->0002	USBChargerPlus
Parent+: 0x02bc--->	Child: 0x134c	ActiveThreads->0001	ASUS Console S
Parent+: 0x02bc--->	Child: 0x1994	ActiveThreads->0001	AsPatchTouchPa
Parent+: 0x02bc--->	Child: 0x1688	ActiveThreads->0001	ACMON.exe
Parent+: 0x02bc--->	Child: 0x1dcc	ActiveThreads->0001	ColorUService.
Parent+: 0x1e28--->	Child: 0x11a8	ActiveThreads->0002	KBFiltr.exe
Parent+: 0x0a44--->	Child: 0x18cc	ActiveThreads->0002	ATKOSD2.exe
Parent+: 0x1974--->	Child: 0x1a14	ActiveThreads->0001	DMedia.exe
Parent+: 0x0f70--->	Child: 0x00f8	ActiveThreads->0007	NvBackend.exe
Parent+: 0x1dd8--->	Child: 0x1d40	ActiveThreads->0072	explorer.exe
Parent+: 0x0354--->	Child: 0x1920	ActiveThreads->0023	livecomm.exe
Parent+: 0x0354--->	Child: 0x11a4	ActiveThreads->0024	SkyDrive.exe
Parent+: 0x0424--->	Child: 0x0b2c	ActiveThreads->0011	TabTip.exe
Parent+: 0x0b2c--->	Child: 0x086c	ActiveThreads->0001	TabTip32.exe
Parent+: 0x175c--->	Child: 0x0348	ActiveThreads->0006	nvtray.exe
Parent+: 0x0354--->	Child: 0x1250	ActiveThreads->0014	RuntimeBroker.
Parent+: 0x0bb4--->	Child: 0x160c	ActiveThreads->0001	AsusTPLoader.e
Parent+: 0x160c--->	Child: 0x1b5c	ActiveThreads->0003	QuickGesture64
Parent+: 0x160c--->	Child: 0x0950	ActiveThreads->0003	QuickGesture.e
Parent+: 0x160c--->	Child: 0x0ba4	ActiveThreads->0013	AsusTPCenter.e
Parent+: 0x0ba4--->	Child: 0x1b7c	ActiveThreads->0001	AsusTPHelper.e
Parent+: 0x1e34--->	Child: 0x0fc8	ActiveThreads->0002	igfxpers.exe
Parent+: 0x0354--->	Child: 0x147c	ActiveThreads->0002	igfxsrvc.exe
Parent+: 0x1d40--->	Child: 0x0c04	ActiveThreads->0001	igfxtray.exe
Parent+: 0x1d40--->	Child: 0x04ec	ActiveThreads->0001	hkcmd.exe
Parent+: 0x1d40--->	Child: 0x1c44	ActiveThreads->0002	DptfPolicyLpmS
Parent+: 0x1d40--->	Child: 0x16d0	ActiveThreads->0002	rundll32.exe
Parent+: 0x1d40--->	Child: 0x1140	ActiveThreads->0041	chrome.exe
Parent+: 0x1d40--->	Child: 0x0e78	ActiveThreads->0001	googledrivesyn
Parent+: 0x1d40--->	Child: 0x0a24	ActiveThreads->0006	ScanToPCActiva
Parent+: 0x1d40--->	Child: 0x06c4	ActiveThreads->0027	GROOVE.EXE
Parent+: 0x1140--->	Child: 0x1468	ActiveThreads->0007	chrome.exe
Parent+: 0x1280--->	Child: 0x1050	ActiveThreads->0002	PDVD10Serv.exe
Parent+: 0x1140--->	Child: 0x185c	ActiveThreads->0010	chrome.exe
Parent+: 0x1140--->	Child: 0x18d0	ActiveThreads->0010	chrome.exe
Parent+: 0x1140--->	Child: 0x0fc4	ActiveThreads->0011	chrome.exe
Parent+: 0x1140--->	Child: 0x0eb4	ActiveThreads->0011	chrome.exe
Parent+: 0x1140--->	Child: 0x1680	ActiveThreads->0015	chrome.exe
Parent+: 0x1140--->	Child: 0x1ec8	ActiveThreads->0012	chrome.exe
Parent+: 0x1140--->	Child: 0x13f4	ActiveThreads->0012	chrome.exe
Parent+: 0x1140--->	Child: 0x0f68	ActiveThreads->0012	chrome.exe
Parent+: 0x1140--->	Child: 0x0624	ActiveThreads->0012	chrome.exe
Parent+: 0x1140--->	Child: 0x139c	ActiveThreads->0012	chrome.exe
Parent+: 0x1280--->	Child: 0x02d8	ActiveThreads->0001	jusched.exe
Parent+: 0x1140--->	Child: 0x177c	ActiveThreads->0013	chrome.exe
Parent+: 0x1140--->	Child: 0x10d8	ActiveThreads->0012	chrome.exe
Parent+: 0x1140--->	Child: 0x1e1c	ActiveThreads->0017	chrome.exe
Parent+: 0x1140--->	Child: 0x0298	ActiveThreads->0010	chrome.exe
Parent+: 0x1280--->	Child: 0x1d28	ActiveThreads->0007	iTunesHelper.e
Parent+: 0x1280--->	Child: 0x0824	ActiveThreads->0001	hpwuschd2.exe
Parent+: 0x1140--->	Child: 0x157c	ActiveThreads->0001	cmd.exe
Parent+: 0x157c--->	Child: 0x1ecc	ActiveThreads->0002	conhost.exe
Parent+: 0x157c--->	Child: 0x108c	ActiveThreads->0004	coNatHst.exe
Parent+: 0x1140--->	Child: 0x1f20	ActiveThreads->0002	nacl64.exe
Parent+: 0x1f20--->	Child: 0x187c	ActiveThreads->0016	nacl64.exe
Parent+: 0x0e78--->	Child: 0x10b8	ActiveThreads->0028	googledrivesyn
Parent+: 0x02bc--->	Child: 0x1af8	ActiveThreads->0005	RAVBg64.exe
Parent+: 0x02bc--->	Child: 0x1730	ActiveThreads->0006	RAVCpl64.exe
Parent+: 0x0354--->	Child: 0x0a34	ActiveThreads->0036	glcnd.exe
Parent+: 0x0354--->	Child: 0x035c	ActiveThreads->0006	SettingSyncHos
Parent+: 0x1140--->	Child: 0x1734	ActiveThreads->0009	chrome.exe
Parent+: 0x1140--->	Child: 0x1e80	ActiveThreads->0019	chrome.exe
Parent+: 0x1140--->	Child: 0x07f8	ActiveThreads->0009	chrome.exe
Parent+: 0x06c4--->	Child: 0x0620	ActiveThreads->0024	MSOSYNC.EXE
Parent+: 0x1154--->	Child: 0x1f98	ActiveThreads->0006	SearchProtocol
Parent+: 0x1154--->	Child: 0x1d00	ActiveThreads->0005	SearchFilterHo
Parent+: 0x0184--->	Child: 0x0e14	ActiveThreads->0005	audiodg.exe
Parent+: 0x0354--->	Child: 0x1840	ActiveThreads->0043	WWAHost.exe
 csrssプロセスとwininitプロセスは、Windows XP時代と異なり、SMSSプロセスではなく、「Parent+: 0x01f4」プロセスにより起動され、親子関係が不明瞭になっています。この親子関係のボカシはWindows 7から開始され、Windows 8.1に引き継がれています。また、詳しい説明は別稿「Windows 7/8/10、セキュリティー、Tokenオブジェクト」に譲りますが、先のWindows 7の場合と同様、複数のブラウザー(Chrome)プロセスが親子関係を形成しながら動作している点にも注目です。Google社はChromeのSandbox化を強力に推進し、ブラウザー市場における首位の座に着いているといわれます。

 セキュリティーの観点からは、cmd.exeから生み出される子プロセスに注意する必要があるかもしれません。ネットワーク情報などを収集するために、コマンドラインプロセスが起動されることが多々あります。

 Windows 10のプロセスオブジェクトの解析結果は次のようになっています。
64ビットWindows 10


DUMP_HEADER64:
MajorVersion        0000000f
MinorVersion        00002800
KdSecondaryVersion  00000000
DirectoryTableBase  00000000`26c49000
PfnDataBase         fffffa80`00000000
PsLoadedModuleList  fffff802`2973f030
PsActiveProcessHead fffff802`29739380
MachineImageType    00008664
NumberProcessors    00000002
BugCheckCode        000000d1
BugCheckParameter1  ffffc001`cd97b010
BugCheckParameter2  00000000`00000002
BugCheckParameter3  00000000`00000000
BugCheckParameter4  fffff800`9d9c1385
KdDebuggerDataBlock fffff802`29723b20
SecondaryDataState  00000000
ProductType         00000001
SuiteMask           00000110
Attributes          00000000

BITMAP_DUMP:
DumpOptions         00000000
HeaderSize          2b000
BitmapSize          140000
Pages               1d36b

KiProcessorBlock at fffff802`297e02c0
  2 KiProcessorBlock entries:
  fffff802`2977d180 ffffd001`5cc55180


Parent+: 0x0000--->	Child: 0x0004	ActiveThreads->0144	System
Parent+: 0x0004--->	Child: 0x0144	ActiveThreads->0002	smss.exe
Parent+: 0x01f0--->	Child: 0x01f8	ActiveThreads->0011	csrss.exe
Parent+: 0x01f0--->	Child: 0x024c	ActiveThreads->0002	wininit.exe
Parent+: 0x024c--->	Child: 0x02b4	ActiveThreads->0005	services.exe
Parent+: 0x024c--->	Child: 0x02c8	ActiveThreads->0009	lsass.exe
Parent+: 0x02b4--->	Child: 0x0318	ActiveThreads->0019	svchost.exe
Parent+: 0x02b4--->	Child: 0x0350	ActiveThreads->0012	svchost.exe
Parent-: 0x02b4--->	Child: 0x03a0	ActiveThreads->0000	sppsvc.exe
Parent+: 0x02b4--->	Child: 0x01b0	ActiveThreads->0023	svchost.exe
Parent+: 0x02b4--->	Child: 0x0130	ActiveThreads->0075	svchost.exe
Parent+: 0x02b4--->	Child: 0x0008	ActiveThreads->0023	svchost.exe
Parent+: 0x02b4--->	Child: 0x0448	ActiveThreads->0027	svchost.exe
Parent+: 0x02b4--->	Child: 0x0484	ActiveThreads->0037	svchost.exe
Parent+: 0x02b4--->	Child: 0x0504	ActiveThreads->0024	svchost.exe
Parent+: 0x02b4--->	Child: 0x05fc	ActiveThreads->0012	spoolsv.exe
Parent+: 0x02b4--->	Child: 0x06f0	ActiveThreads->0020	svchost.exe
Parent+: 0x02b4--->	Child: 0x0728	ActiveThreads->0009	svchost.exe
Parent+: 0x02b4--->	Child: 0x0764	ActiveThreads->0002	armsvc.exe
Parent+: 0x02b4--->	Child: 0x07a8	ActiveThreads->0015	svchost.exe
Parent+: 0x02b4--->	Child: 0x07e4	ActiveThreads->0016	mqsvc.exe
Parent+: 0x02b4--->	Child: 0x0704	ActiveThreads->0015	TosCoSrv.exe
Parent+: 0x02b4--->	Child: 0x0518	ActiveThreads->0012	msdtc.exe
Parent+: 0x02b4--->	Child: 0x0994	ActiveThreads->0014	dllhost.exe
Parent+: 0x0318--->	Child: 0x0378	ActiveThreads->0004	dllhost.exe
Parent+: 0x02b4--->	Child: 0x03fc	ActiveThreads->0040	MsMpEng.exe
Parent+: 0x02b4--->	Child: 0x0a90	ActiveThreads->0017	SearchIndexer.
Parent+: 0x02b4--->	Child: 0x0bb0	ActiveThreads->0004	VSSVC.exe
Parent+: 0x02b4--->	Child: 0x0b50	ActiveThreads->0020	svchost.exe
Parent+: 0x02b4--->	Child: 0x0674	ActiveThreads->0006	svchost.exe
Parent+: 0x02b4--->	Child: 0x092c	ActiveThreads->0014	svchost.exe
Parent+: 0x1a80--->	Child: 0x03dc	ActiveThreads->0012	csrss.exe
Parent+: 0x1a80--->	Child: 0x140c	ActiveThreads->0005	winlogon.exe
Parent+: 0x140c--->	Child: 0x1cc4	ActiveThreads->0008	dwm.exe
Parent+: 0x0130--->	Child: 0x0b70	ActiveThreads->0010	sihost.exe
Parent+: 0x0130--->	Child: 0x0e7c	ActiveThreads->0011	taskhostw.exe
Parent-: 0x140c--->	Child: 0x0d3c	ActiveThreads->0000	userinit.exe
Parent+: 0x0d3c--->	Child: 0x0614	ActiveThreads->0053	explorer.exe
Parent+: 0x0318--->	Child: 0x14a4	ActiveThreads->0017	RuntimeBroker.
Parent+: 0x0318--->	Child: 0x0464	ActiveThreads->0030	SearchUI.exe
Parent+: 0x0614--->	Child: 0x11bc	ActiveThreads->0006	RAVCpl64.exe
Parent+: 0x0614--->	Child: 0x10dc	ActiveThreads->0001	TPwrMain.exe
Parent+: 0x0614--->	Child: 0x18f4	ActiveThreads->0001	SmoothView.exe
Parent+: 0x0614--->	Child: 0x11c0	ActiveThreads->0012	TCrdMain.exe
Parent+: 0x0614--->	Child: 0x0ce4	ActiveThreads->0015	OneDrive.exe
Parent+: 0x02b4--->	Child: 0x16a8	ActiveThreads->0004	svchost.exe
Parent+: 0x0318--->	Child: 0x1b94	ActiveThreads->0011	ImeBroker.exe
Parent+: 0x0318--->	Child: 0x1d60	ActiveThreads->0004	ApplicationFra
Parent+: 0x0318--->	Child: 0x0a60	ActiveThreads->0035	ShellExperienc
Parent+: 0x0008--->	Child: 0x1d4c	ActiveThreads->0006	audiodg.exe
Parent-: 0x0614--->	Child: 0x13d0	ActiveThreads->0000	thunderbird.ex
Parent+: 0x0318--->	Child: 0x1434	ActiveThreads->0008	WmiPrvSE.exe
Parent+: 0x0318--->	Child: 0x11fc	ActiveThreads->0010	InstallAgent.e
Parent-: 0x1564--->	Child: 0x1be0	ActiveThreads->0000	chrome.exe
Parent+: 0x0614--->	Child: 0x1bf0	ActiveThreads->0003	NotMyfault.exe
Parent+: 0x0a90--->	Child: 0x1318	ActiveThreads->0008	SearchProtocol
Parent+: 0x0a90--->	Child: 0x1f20	ActiveThreads->0006	SearchFilterHo
 Windows 7から導入された重要プロセスの親子関係の不明瞭化はWindows 8.1からWindows 10へもそのまま継承されています。そのほかに注目すべき点は、ActiveThreadsの値が「0」となっているプロセスが多い点です。スレッド数が「0」という値は、常識的にはあり得ない数値であり、一般論的には、次のような疑念を生じさせます。 たとえば、上の情報内のuserinitプロセスは次のような特徴を持っています。
1: kd> !process 0x0d3c
Searching for Process with Cid == d3c
PROCESS ffffe001526e4080
    SessionId: 1  Cid: 0d3c    Peb: 7ff651b2f000  ParentCid: 140c
    DirBase: 71622000  ObjectTable: 00000000  HandleCount:   0.
    Image: userinit.exe
    VadRoot 0000000000000000 Vads 0 Clone 0 Private 0. Modified 4. Locked 0.
    DeviceMap ffffc001cd2b2630
    Token                             ffffc001cd05f060
    ElapsedTime                       00:21:03.137
    UserTime                          00:00:00.015
    KernelTime                        00:00:00.046
    QuotaPoolUsage[PagedPool]         0
    QuotaPoolUsage[NonPagedPool]      0
    Working Set Sizes (now,min,max)  (5, 50, 345) (20KB, 200KB, 1380KB)
    PeakWorkingSetSize                1149
    VirtualSize                       0 Mb
    PeakVirtualSize                   2097200 Mb
    PageFaultCount                    1203
    MemoryPriority                    BACKGROUND
    BasePriority                      8
    CommitCharge                      0

No active threads

1: kd> dt _eprocess ffffe001526e4080
nt!_EPROCESS
   +0x000 Pcb              : _KPROCESS

   [---]

   +0x304 CreateReported   : 0y1
   +0x304 NoDebugInherit   : 0y0
   +0x304 ProcessExiting   : 0y1
   +0x304 ProcessDelete    : 0y1
   +0x304 ControlFlowGuardEnabled : 0y1
   +0x304 VmDeleted        : 0y1
   +0x304 OutswapEnabled   : 0y0
   +0x304 Outswapped       : 0y0
   +0x304 FailFastOnCommitFail : 0y0
   +0x304 Wow64VaSpace4Gb  : 0y0
   +0x304 AddressSpaceInitialized : 0y11
   +0x304 SetTimerResolution : 0y0
   +0x304 BreakOnTermination : 0y0
   +0x304 DeprioritizeViews : 0y0
   +0x304 WriteWatch       : 0y0
   +0x304 ProcessInSession : 0y0
   +0x304 OverrideAddressSpace : 0y0
   +0x304 HasAddressSpace  : 0y1
   +0x304 LaunchPrefetched : 0y1
   +0x304 Background       : 0y0
   +0x304 VmTopDown        : 0y0
   +0x304 ImageNotifyDone  : 0y1
   +0x304 PdeUpdateNeeded  : 0y0
   +0x304 VdmAllowed       : 0y0
   +0x304 ProcessRundown   : 0y1
   +0x304 ProcessInserted  : 0y1
   +0x304 DefaultIoPriority : 0y010
   +0x304 ProcessSelfDelete : 0y1
   +0x304 SetTimerResolutionLink : 0y0
   +0x308 CreateTime       : _LARGE_INTEGER 0x01d0cdc1`b9923cf8
   +0x310 ProcessQuotaUsage : [2] 0
   [---]
 このプロセスは、必要がなくなれば、自分自身で動作を停止する特殊なプロセスです。なお、Windows 10の場合、クラウドとの連携が強化され、Windowsカーネル内部の更新タイミングを予測できなくなりました。同じWindows 10と一口に言いましても、ビルド番号や適応パッチに応じて異なるカーネル層が用意されています(参照)。



本「IT談話館」はDKOMベースの高度なメモリフォレンジックサービスを提供しています!



 今回使用いたしました解析コードは、「Windows内部解析者のツールボックス」に収録してございます。


サービスメニュー
Windowsクラッシュダンプ解析サービス 技術資料 WinDbg

Copyright©豊田孝 2004- 2017
本日は2017-10-21です。