オンサイトセミナー
豊田孝の「IT談話館」 Windowsメモリダンプ解析を依頼する WinDbgとシステム分析




メモリ解析サービス



WinDbg、WMI、システムロガー


 本稿では、Etw LoggerとWMIの初歩的な関係を紹介します。Etw LoggerのEtwはEvent Trace for Windows、WMIはWindows Management Instrumentationそれぞれの略語であり、基本的には、システム管理者向けのツール基盤です。Etw LoggerとWMIは、次のように、Windows XP時代にはそれほど密接な統合関係にあったわけではありません。
kd> vertarget
Windows XP Kernel Version 2600 (Service Pack 2) UP Free x86 compatible
Product: WinNt, suite: TerminalServer SingleUserTS
Built by: 2600.xpsp_sp2_gdr.070227-2254
Machine Name:
Kernel base = 0x804d9000 PsLoadedModuleList = 0x8055c620
Debug session time: Wed Jun  4 19:50:12.855 2008 (UTC + 9:00)
System Uptime: 0 days 0:09:06.425

kd> !wmitrace.strdump
This command requires a minimum of Vista on the target.
 この実行結果は、Etw LoggerとWMIの関係がWindows Vistaから本格的にカーネル内部で統合されたことを宣言していますが、新しいバージョンのWinDbgは次のような異なる結果を返してきます。
kd> vertarget
Windows XP Kernel Version 2600 (Service Pack 2) UP Free x86 compatible
Product: WinNt, suite: TerminalServer SingleUserTS
Built by: 2600.xpsp_sp2_gdr.070227-2254
Machine Name:
Kernel base = 0x804d9000 PsLoadedModuleList = 0x8055c620
Debug session time: Wed Jun  4 19:50:12.855 2008 (UTC + 9:00)
System Uptime: 0 days 0:09:06.425

kd> !wmitrace.strdump
This command requires a minimum of Win7 on the target.
 WinDbgはWindowsシステムそのものをデバッグ、あるいは、品質を向上するツールとして設計されている性格上、カーネルレベルの最新機能はいち早くWinDbgに統合されるのが基本ですが、少なくとも、Windows XPに加え、VistaでもWinDbgとの統合が進んでいない印象です。

 Windows 7以降の環境で採取された「カーネルメモリダンプやActive Memory Dump」をWinDbgにロードし、上記と同一のコマンドを実行すると、次のような情報が返されてきます。
1: kd> vertarget
Windows 10 Kernel Version 17134 MP (2 procs) Free x64
Product: WinNt, suite: TerminalServer SingleUserTS
Built by: 17134.1.amd64fre.rs4_release.180410-1804
Machine Name:
Kernel base = 0xfffff802`b820d000 PsLoadedModuleList = 0xfffff802`b85bb170
Debug session time: Thu Aug 16 12:02:05.563 2018 (UTC + 9:00)
System Uptime: 0 days 3:54:33.418

1: kd> !wmitrace.strdump
(WmiTrace) StrDump Generic
  LoggerContext Array @ 0xFFFFAA81DDEAE4C0 [64 Elements]
    Logger Id 0x02 @ 0xFFFFAA81E915A480 Named 'Circular Kernel Context Logger'
    Logger Id 0x03 @ 0xFFFFAA81DE1BD040 Named 'Eventlog-Security'
    Logger Id 0x04 @ 0xFFFFAA81DDF3BAC0 Named 'AppModel'
    Logger Id 0x05 @ 0xFFFFAA81E0D28040 Named 'MpWppTracing-20180816-080950-00000003-ffffffff'
    Logger Id 0x06 @ 0xFFFFAA81DDFEDA80 Named 'DefenderApiLogger'
    Logger Id 0x07 @ 0xFFFFAA81DDFE7040 Named 'DefenderAuditLogger'
    Logger Id 0x08 @ 0xFFFFAA81DDFE6040 Named 'DiagLog'
    Logger Id 0x09 @ 0xFFFFAA81DDFE5040 Named 'EventLog-Application'
    Logger Id 0x0a @ 0xFFFFAA81DE1BF040 Named 'EventLog-ForwardedEvents'
    Logger Id 0x0b @ 0xFFFFAA81DE1BE040 Named 'EventLog-Microsoft-Windows-Sysmon-Operational'
    Logger Id 0x0c @ 0xFFFFAA81DE1BC040 Named 'EventLog-System'
    Logger Id 0x0d @ 0xFFFFAA81DE239040 Named 'FaceRecoTel'
    Logger Id 0x0e @ 0xFFFFAA81DE238040 Named 'FaceUnlock'
    Logger Id 0x0f @ 0xFFFFAA81DE237040 Named 'LwtNetLog'
    Logger Id 0x10 @ 0xFFFFAA81DE2358C0 Named 'Microsoft Security Client'
    Logger Id 0x11 @ 0xFFFFAA81DE235300 Named 'Microsoft Security Client OOBE'
    Logger Id 0x12 @ 0xFFFFAA81DE22BAC0 Named 'NtfsLog'
    Logger Id 0x13 @ 0xFFFFAA81E8F02040 Named '8696EAC4-1288-4288-A4EE-49EE431B0AD9'
    Logger Id 0x14 @ 0xFFFFAA81DE22A540 Named 'TileStore'
    Logger Id 0x15 @ 0xFFFFAA81DE228040 Named 'UBPM'
    Logger Id 0x16 @ 0xFFFFAA81DE227900 Named 'WdiContextLog'
    Logger Id 0x17 @ 0xFFFFAA81DE225AC0 Named 'WiFiSession'
    Logger Id 0x18 @ 0xFFFFAA81E07FF9C0 Named 'umstartup'
    Logger Id 0x19 @ 0xFFFFAA81E7849040 Named 'UserNotPresentTraceSession'
    Logger Id 0x1a @ 0xFFFFAA81E784F040 Named 'COM'
    Logger Id 0x1b @ 0xFFFFAA81EA7FF980 Named 'Terminal-Services-LSM'
    Logger Id 0x1c @ 0xFFFFAA81E90B8A80 Named 'Terminal-Services-RCM'
    Logger Id 0x1d @ 0xFFFFAA81E101FAC0 Named 'UserMgr'
    Logger Id 0x1e @ 0xFFFFAA81E80AE040 Named 'WFP-IPsec Diagnostics'
    Logger Id 0x1f @ 0xFFFFAA81E81459C0 Named 'SYSMON TRACE'
    Logger Id 0x20 @ 0xFFFFAA81DFF9D040 Named 'SHS-08162018-080849-7-5f'
    Logger Id 0x21 @ 0xFFFFAA81E7FA6340 Named 'MSMQ'
    Logger Id 0x22 @ 0xFFFFAA81E863E040 Named 'WDSC-08162018-080851-7-20'
    Logger Id 0x23 @ 0xFFFFAA81E8A98040 Named 'Diagtrack-Listener'
    Logger Id 0x24 @ 0xFFFFAA81EA92E040 Named 'ScreenOnPowerStudyTraceSession'
    Logger Id 0x25 @ 0xFFFFAA81EB7A4040 Named 'NetCfgTrace'
 ご覧のように、現在登録されているEtwロガーがNamed欄に表示されてきます。一覧を見ると、たとえば、「Eventlog-Security」や「EventLog-System」などの日常的に馴染みのあるロガーが含まれています。また、米MicrosoftのAzureチームを率いるMark Russinovich氏作成の「Sysmon」がインストールされ、実行中であることも分かります。

 一口にEtwロガーといっても、次のように、個々のロガーには固有の特徴があります。
-Thread->0x0000000000000000	LoggerId->0x02	LoggerName->Circular Kernel Context Logger
	Security->0	RT->0	Auto->1	KT->1
	LogFileName->

+Thread->0xffffaa81de1bd700	LoggerId->0x03	LoggerName->Eventlog-Security
	Security->0	RT->1	Auto->1	KT->0
	LogFileName->

-Thread->0x0000000000000000	LoggerId->0x04	LoggerName->AppModel
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81e87c2700	LoggerId->0x05	LoggerName->MpWppTracing-20180816-080950-00000003-ffffffff
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\ProgramData\Microsoft\Windows Defender\Support\MpWppTracing-20180816-080950-00000003-ffffffff.bin

+Thread->0xffffaa81ddfe8040	LoggerId->0x06	LoggerName->DefenderApiLogger
	Security->1	RT->1	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81ddfe7700	LoggerId->0x07	LoggerName->DefenderAuditLogger
	Security->1	RT->1	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81ddfe6700	LoggerId->0x08	LoggerName->DiagLog
	Security->0	RT->1	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81ddfe5700	LoggerId->0x09	LoggerName->EventLog-Application
	Security->0	RT->1	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81de1bf700	LoggerId->0x0a	LoggerName->EventLog-ForwardedEvents
	Security->0	RT->1	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81de1be700	LoggerId->0x0b	LoggerName->EventLog-Microsoft-Windows-Sysmon-Operational
	Security->0	RT->1	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81de1bc700	LoggerId->0x0c	LoggerName->EventLog-System
	Security->0	RT->1	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81de239700	LoggerId->0x0d	LoggerName->FaceRecoTel
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->%SystemRoot%

+Thread->0xffffaa81de238700	LoggerId->0x0e	LoggerName->FaceUnlock
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->%SystemRoot%

+Thread->0xffffaa81de237700	LoggerId->0x0f	LoggerName->LwtNetLog
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->C:\WINDOWS\System32\LogFiles\WMI\LwtNetLog.etl

+Thread->0xffffaa81de230040	LoggerId->0x10	LoggerName->Microsoft Security Client
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->C:\ProgramData\Microsoft\Microsoft Security Client\Support\Application.etl

+Thread->0xffffaa81de22b040	LoggerId->0x11	LoggerName->Microsoft Security Client OOBE
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->C:\ProgramData\Microsoft\Microsoft Security Client\Support\EppOobe.etl

-Thread->0x0000000000000000	LoggerId->0x12	LoggerName->NtfsLog
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81de861080	LoggerId->0x13	LoggerName->8696EAC4-1288-4288-A4EE-49EE431B0AD9
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\WINDOWS\ServiceProfiles\NetworkService\AppData\Local\Microsoft\Windows\DeliveryOptimization\Logs\dosvc.20180815_231328_285.etl

-Thread->0x0000000000000000	LoggerId->0x14	LoggerName->TileStore
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81de226040	LoggerId->0x15	LoggerName->UBPM
	Security->0	RT->1	Auto->1	KT->0
	LogFileName->

+Thread->0xffffaa81de225040	LoggerId->0x16	LoggerName->WdiContextLog
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->C:\WINDOWS\System32\WDI\LogFiles\WdiContextLog.etl.002

+Thread->0xffffaa81de224040	LoggerId->0x17	LoggerName->WiFiSession
	Security->0	RT->0	Auto->1	KT->0
	LogFileName->%SystemRoot%\System32\LogFiles\WMI\Wifi.etl

+Thread->0xffffaa81df92f700	LoggerId->0x18	LoggerName->umstartup
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\WINDOWS\system32\umstartup.etl

+Thread->0xffffaa81e6de8700	LoggerId->0x19	LoggerName->UserNotPresentTraceSession
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\WINDOWS\system32\SleepStudy\UserNotPresentSession.etl

-Thread->0x0000000000000000	LoggerId->0x1a	LoggerName->COM
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->

+Thread->0xffffaa81e78424c0	LoggerId->0x1b	LoggerName->Terminal-Services-LSM
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\WINDOWS\system32\LogFiles\WMI\Terminal-Services-LSM-20180815-230833.etl

+Thread->0xffffaa81e784c4c0	LoggerId->0x1c	LoggerName->Terminal-Services-RCM
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\WINDOWS\system32\LogFiles\WMI\Terminal-Services-RCM-20180815-230833.etl

+Thread->0xffffaa81e101c700	LoggerId->0x1d	LoggerName->UserMgr
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\WINDOWS\system32\UserMgrLog.etl

+Thread->0xffffaa81e80f4700	LoggerId->0x1e	LoggerName->WFP-IPsec Diagnostics
	Security->0	RT->1	Auto->0	KT->0
	LogFileName->C:\ProgramData\Microsoft\Windows\wfp\wfpdiag.etl

+Thread->0xffffaa81e8186080	LoggerId->0x1f	LoggerName->SYSMON TRACE
	Security->0	RT->1	Auto->0	KT->0
	LogFileName->

+Thread->0xffffaa81e7fa7080	LoggerId->0x20	LoggerName->SHS-08162018-080849-7-5f
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\ProgramData\Microsoft\Windows Security Health\Logs\SHS-08162018-080849-7-5f-17134.1.amd64fre.rs4_release.180410-1804.etl

+Thread->0xffffaa81e863c240	LoggerId->0x21	LoggerName->MSMQ
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\WINDOWS\ServiceProfiles\NetworkService\msmqlog.bin

+Thread->0xffffaa81dfe6f700	LoggerId->0x22	LoggerName->WDSC-08162018-080851-7-20
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\ProgramData\Microsoft\Windows Security Health\Logs\WDSC-08162018-080851-7-20-17134.1.amd64fre.rs4_release.180410-1804.etl

+Thread->0xffffaa81e8a98700	LoggerId->0x23	LoggerName->Diagtrack-Listener
	Security->0	RT->1	Auto->0	KT->0
	LogFileName->

+Thread->0xffffaa81df310080	LoggerId->0x24	LoggerName->ScreenOnPowerStudyTraceSession
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\WINDOWS\system32\SleepStudy\ScreenOn\ScreenOnPowerStudyTraceSession-2018-08-16-10-23-19.etl

+Thread->0xffffaa81eb71b700	LoggerId->0x25	LoggerName->NetCfgTrace
	Security->0	RT->0	Auto->0	KT->0
	LogFileName->C:\WINDOWS\Logs\NetSetup\service.0.etl
 この情報は本館の「独自解析コード」で取得しています。解析コードのロジックを作業目的に応じて変更すれば、この情報を高度なシステム健康度診断に活用できます。本館主筆の「豊田孝」はWindows内部解析分野では世界の先頭を走っています。

 情報内のThreadはロガーシステムスレッド、RTはRealTime、KTはKernelTrace、をそれぞれ示します。ロガースレッドを持たず、KTが有効となっているロガーは「Circular Kernel Context Logger」だけですが、このロガー(正確には、カーネルそのもの)のトレースデータはXPerf相当データであり、WPAなどの分析ツールにロードすることができます。

 Etwロガーは、記録内容をETLなどのファイルに格納するロガーとメモリ内に直接保存するロガーに大別できます。後者のロガーの場合、File欄が次のように空白になります。
LoggerId->0x02	File->
LoggerId->0x03	File->
LoggerId->0x04	File->
LoggerId->0x05	File->C:\ProgramData\Microsoft\Windows Defender\Support\MpWppTracing-20180816-080950-00000003-ffffffff.bin
LoggerId->0x06	File->
LoggerId->0x07	File->
LoggerId->0x08	File->
LoggerId->0x09	File->
LoggerId->0x0a	File->
LoggerId->0x0b	File->
LoggerId->0x0c	File->
LoggerId->0x0d	File->%SystemRoot%
LoggerId->0x0e	File->%SystemRoot%
LoggerId->0x0f	File->C:\WINDOWS\System32\LogFiles\WMI\LwtNetLog.etl
LoggerId->0x10	File->C:\ProgramData\Microsoft\Microsoft Security Client\Support\Application.etl
LoggerId->0x11	File->C:\ProgramData\Microsoft\Microsoft Security Client\Support\EppOobe.etl
LoggerId->0x12	File->
LoggerId->0x13	File->C:\WINDOWS\ServiceProfiles\NetworkService\AppData\Local\Microsoft\Windows\DeliveryOptimization\Logs\dosvc.20180815_231328_285.etl
LoggerId->0x14	File->
LoggerId->0x15	File->
LoggerId->0x16	File->C:\WINDOWS\System32\WDI\LogFiles\WdiContextLog.etl.002
LoggerId->0x17	File->%SystemRoot%\System32\LogFiles\WMI\Wifi.etl
LoggerId->0x18	File->C:\WINDOWS\system32\umstartup.etl
LoggerId->0x19	File->C:\WINDOWS\system32\SleepStudy\UserNotPresentSession.etl
LoggerId->0x1a	File->
LoggerId->0x1b	File->C:\WINDOWS\system32\LogFiles\WMI\Terminal-Services-LSM-20180815-230833.etl
LoggerId->0x1c	File->C:\WINDOWS\system32\LogFiles\WMI\Terminal-Services-RCM-20180815-230833.etl
LoggerId->0x1d	File->C:\WINDOWS\system32\UserMgrLog.etl
LoggerId->0x1e	File->C:\ProgramData\Microsoft\Windows\wfp\wfpdiag.etl
LoggerId->0x1f	File->
LoggerId->0x20	File->C:\ProgramData\Microsoft\Windows Security Health\Logs\SHS-08162018-080849-7-5f-17134.1.amd64fre.rs4_release.180410-1804.etl
LoggerId->0x21	File->C:\WINDOWS\ServiceProfiles\NetworkService\msmqlog.bin
LoggerId->0x22	File->C:\ProgramData\Microsoft\Windows Security Health\Logs\WDSC-08162018-080851-7-20-17134.1.amd64fre.rs4_release.180410-1804.etl
LoggerId->0x23	File->
LoggerId->0x24	File->C:\WINDOWS\system32\SleepStudy\ScreenOn\ScreenOnPowerStudyTraceSession-2018-08-16-10-23-19.etl
LoggerId->0x25	File->C:\WINDOWS\Logs\NetSetup\service.0.etl
 情報内の赤色の「LoggerId->0x0b File->」は「Sysmon」ですが、ファイルを作成せず、メモリ内にトレースデータを保存しています。そのメモリ内の保存内容を確認したい場合には、次のようなコマンドを実行し、保存内容を取り出すことができます。
1: kd> !wmitrace.eventlogdump b

[---]

==========
Event 5 : 
============

 <Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
  <System>
   <Provider Name='Microsoft-Windows-Sysmon' Guid='{5770385f-c22a-43e0-bf4c-06f5698ffbd9}'/>
   <EventID>     1   </EventID>
   <Version>     5   </Version>
   <Level>     4   </Level>
   <Task>     1   </Task>
   <Opcode>     0   </Opcode>
   <Keywords>     0x8000000000000000   </Keywords>
   <TimeCreated SystemTime='2018-08-16T03:01:53.962647300Z'/>
   <EventRecordID>     5   </EventRecordID>
   <Correlation/>
   <Execution ProcessID='2224' ThreadID='3836' ProcessorID='0' KernelTime='1615' UserTime='1972'/>
   <Channel>   </Channel>
   <Computer>     Toyota-PC   </Computer>
   <Security UserID='S-1-5-18'/>
  </System>
  <EventData>
   <Data Name='UtcTime'>     2018-08-16 03:01:53.916   </Data>
   <Data Name='ProcessGuid'>     {95979B25-E921-5B74-0000-001079B64200}   </Data>
   <Data Name='ProcessId'>     8492   </Data>
   <Data Name='Image'>     C:\Windows\System32\svchost.exe   </Data>
   <Data Name='CommandLine'>     c:\windows\system32\svchost.exe -k localsystemnetworkrestricted -p -s Netman   </Data>
   <Data Name='CurrentDirectory'>     C:\WINDOWS\system32\   </Data>
   <Data Name='User'>     NT AUTHORITY\SYSTEM   </Data>
   <Data Name='LogonGuid'>     {95979B25-B263-5B74-0000-0020E7030000}   </Data>
   <Data Name='LogonId'>     0x3e7   </Data>
   <Data Name='TerminalSessionId'>     0   </Data>
   <Data Name='IntegrityLevel'>     System   </Data>
   <Data Name='Hashes'>     MD5=32569E403279B3FD2EDB7EBD036273FA,IMPHASH=3A8297483C1777054C7BAFEA5E6A8853   </Data>
   <Data Name='ParentProcessGuid'>     {95979B25-B260-5B74-0000-0010C4A60000}   </Data>
   <Data Name='ParentProcessId'>     712   </Data>
   <Data Name='ParentImage'>     C:\Windows\System32\services.exe   </Data>
   <Data Name='ParentCommandLine'>     C:\WINDOWS\system32\services.exe   </Data>
  </EventData>
 </Event>   

TimeCreated SystemTime='2018-08-16T03:01:53.962647300Z'
Publisher name: Microsoft-Windows-Sysmon
Event message:
Process Create:
UtcTime: 2018-08-16 03:01:53.916
ProcessGuid: {95979B25-E921-5B74-0000-001079B64200}
ProcessId: 8492
Image: C:\Windows\System32\svchost.exe
CommandLine: c:\windows\system32\svchost.exe -k localsystemnetworkrestricted -p -s Netman
CurrentDirectory: C:\WINDOWS\system32\
User: NT AUTHORITY\SYSTEM
LogonGuid: {95979B25-B263-5B74-0000-0020E7030000}
LogonId: 0x3E7
TerminalSessionId: 0
IntegrityLevel: System
Hashes: MD5=32569E403279B3FD2EDB7EBD036273FA,IMPHASH=3A8297483C1777054C7BAFEA5E6A8853
ParentProcessGuid: {95979B25-B260-5B74-0000-0010C4A60000}
ParentProcessId: 712
ParentImage: C:\Windows\System32\services.exe
ParentCommandLine: C:\WINDOWS\system32\services.exe

[---]
 この情報は、親プロセス「services.exe」(ParentProcessId: 712)が子プロセス「svchost.exe」(ProcessId: 8492)を起動した時点での各種データを示しています。実はEventLogでも同様の情報を確認することができます。が、この親子関係が不自然な場合、WinDbg環境でカーネルレベルの高度な解析作業にそのまま進むことができます。
1: kd> !process 0n8492 0
Searching for Process with Cid == 212c
PROCESS ffffaa81eaf86080
    SessionId: 0  Cid: 212c    Peb: 437ee4e000  ParentCid: 02c8
    DirBase: 1116f0000  ObjectTable: ffffe606ea891500  HandleCount: 212.
    Image: svchost.exe

1: kd> dt _kprocess ffffaa81eaf86080 Header.
ntdll!_KPROCESS
   +0x000 Header  : 
      +0x000 Lock    : 0n11927555
      +0x000 LockNV  : 0n11927555
      +0x000 Type    : 0x3 ''
      +0x001 Signalling : 0 ''
      +0x002 Size    : 0xb6 ''
      +0x003 Reserved1 : 0 ''
      +0x000 TimerType : 0x3 ''
      +0x001 TimerControlFlags : 0 ''
      +0x001 Absolute : 0y0
      +0x001 Wake    : 0y0
      +0x001 EncodedTolerableDelay : 0y000000 (0)
      +0x002 Hand    : 0xb6 ''
      +0x003 TimerMiscFlags : 0 ''
      +0x003 Index   : 0y000000 (0)
      +0x003 Inserted : 0y0
      +0x003 Expired : 0y0
      +0x000 Timer2Type : 0x3 ''
      +0x001 Timer2Flags : 0 ''
      +0x001 Timer2Inserted : 0y0
      +0x001 Timer2Expiring : 0y0
      +0x001 Timer2CancelPending : 0y0
      +0x001 Timer2SetPending : 0y0
      +0x001 Timer2Running : 0y0
      +0x001 Timer2Disabled : 0y0
      +0x001 Timer2ReservedFlags : 0y00
      +0x002 Timer2ComponentId : 0xb6 ''
      +0x003 Timer2RelativeId : 0 ''
      +0x000 QueueType : 0x3 ''
      +0x001 QueueControlFlags : 0 ''
      +0x001 Abandoned : 0y0
      +0x001 DisableIncrement : 0y0
      +0x001 QueueReservedControlFlags : 0y000000 (0)
      +0x002 QueueSize : 0xb6 ''
      +0x003 QueueReserved : 0 ''
      +0x000 ThreadType : 0x3 ''
      +0x001 ThreadReserved : 0 ''
      +0x002 ThreadControlFlags : 0xb6 ''
      +0x002 CycleProfiling : 0y0
      +0x002 CounterProfiling : 0y1
      +0x002 GroupScheduling : 0y1
      +0x002 AffinitySet : 0y0
      +0x002 Tagged  : 0y1
      +0x002 EnergyProfiling : 0y1
      +0x002 SchedulerAssist : 0y0
      +0x002 ThreadReservedControlFlags : 0y1
      +0x003 DebugActive : 0 ''
      +0x003 ActiveDR7 : 0y0
      +0x003 Instrumented : 0y0
      +0x003 Minimal : 0y0
      +0x003 Reserved4 : 0y000
      +0x003 UmsScheduled : 0y0
      +0x003 UmsPrimary : 0y0
      +0x000 MutantType : 0x3 ''
      +0x001 MutantSize : 0 ''
      +0x002 DpcActive : 0xb6 ''
      +0x003 MutantReserved : 0 ''
      +0x004 SignalState : 0n0
      +0x008 WaitListHead : _LIST_ENTRY [ 0xffffaa81`eb342f90 - 0xffffaa81`eb342f90 ]

1: kd> dt _kwait_block 0xffffaa81`eb342f90
ntdll!_KWAIT_BLOCK
   +0x000 WaitListEntry    : _LIST_ENTRY [ 0xffffaa81`eaf86088 - 0xffffaa81`eaf86088 ]
   +0x010 WaitType         : 0x2 ''
   +0x011 BlockState       : 0x4 ''
   +0x012 WaitKey          : 0
   +0x014 SpareLong        : 0n0
   +0x018 Thread           : 0xffffaa81`e0d224c0 _KTHREAD
   +0x018 NotificationQueue : 0xffffaa81`e0d224c0 _KQUEUE
   +0x020 Object           : 0xffffaa81`eaf86080 Void
   +0x028 SparePtr         : (null) 
 WindowsはSaaSとして提供される時代に入り、その内部は頻繁に更新されています。更新内容の多くは、いろいろな事情から、公にされることはほとんどありません。最新のユーザー空間とカーネル空間に関する信頼できる情報を取得するには、インターネットなどでは語られない高度な内部解析技術が必須とされています。時代が求める人材の育成と技術の習得には、「時間と予算の投資」が必要です。




メモリ解析サービス




ビジネスメニュー
Windowsクラッシュダンプ解析サービス 技術資料

Copyright©豊田孝 2004- 2018
本日は2018-10-18です。