Часть 2: Изучение потоков и дескрипторов
Цель
Изучить потоки и дескрипторы. С процессом связаны один или несколько потоков. Поток — это единица выполнения процесса. Дескриптор — абстрактная ссылка на блоки памяти или объекты, управляемые операционной системой.
Используемое программное обеспечение
Средство Process Explorer (procexp.exe), входящее в состав Windows SysInternals Suite.
Шаг 1: Исследовать потоки
Открываем командную строку.
В окне Process Explorer щелкаем правой кнопкой мыши conhost.exe и выбираем Properties... (Свойства...). Переходим на вкладку Threads (Потоки), чтобы просмотреть активные потоки процесса conhost.exe.
Какая информация доступна в окне Properties (Свойства)? Видны id тредов, сколько CPU использует, время запуска и тд
Шаг 2: Изучение дескрипторов.
В Process Explorer щелкаем View (Просмотр) > Show Lower Pane (Показать нижнюю панель) > Handles (Дескрипторы), чтобы увидеть дескрипторы, связанные с процессом conhost.exe.
Изучите свойства этих дескрипторов. На какие объекты указывают эти дескрипторы? - На разные процессы, файлы и директории
Часть 3: Изучение реестра Windows
Реестр Windows — это иерархическая база данных, в которой хранится большинство параметров конфигурации операционной системы и рабочего стола.
Для того чтобы получить доступ к реестру Windows, выбираем Start (Пуск)> Search (Поиск), находим regedit и выбираем Registry Editor (Редактор реестра). Нажимаем кнопку Yes (Да) в ответ на вопрос, разрешить ли приложению вносить изменения. Редактор реестра имеет пять ветвей. Эти ветви находятся на верхнем уровне реестра.
HKEY_CLASSES_ROOT — фактически является подразделом Classes раздела HKEY_LOCAL_MACHINE\Software\. В нем хранится информация, используемая зарегистрированными приложениями, например, привязка к расширениям файлов, а также данные программных идентификаторов (ProgID), идентификаторов классов (CLSID) и идентификаторов интерфейсов (IID).
Раздел HKEY_CURRENT_USER содержит параметры и настройки для пользователей, которые в настоящее время вошли в систему.
В разделе HKEY_LOCAL_MACHINE хранится информация о конфигурации, соответствующая локальному компьютеру.
Раздел HKEY_USERS содержит параметры и настройки для всех пользователей локального компьютера. Раздел HKEY_CURRENT_USER является подразделом HKEY_USERS.
Раздел HKEY_CURRENT_CONFIG хранит информацию об оборудовании, которая используется во время начальной загрузки локального компьютера.
Переходим в раздел реестра EulaAccepted приложения Process Explorer. Выбираем раздел HKEY_CURRENT_USER > Software > Sysinternals > Process Explorer. Прокручиваем вниз, чтобы найти параметр EulaAccepted. В настоящее время для параметра EulaAccepted установлено значение 0x00000001(1).
Дважды щелкаем параметр реестра EulaAccepted. В данный момент параметр имеет значение 1. Значение 1 означает, что лицензионное соглашение было принято пользователем.
Меняем значение 1 на значение 0 в поле Value (Значение). Значение 0 указывает, что EULA не было принято. Для продолжения нажимаем ОК. Какое значение для этого раздела реестра отображается в столбце данных? 0
Открываем Process Explorer. Переходим в папку, куда был загружен пакет SysInternals. Открываем папку SysInternalsSuite, затем открываем procexp.exe. Что вы видите при открытии Process Explorer? Окно условий лицензирования ПО SysInternals.