بررسی روال شروع به کار ویندوز با استفاده از ابزار ProcessMonitor

در پست قبلی مروری بر روی پروسه‌های اصلی ویندوز داشتیم. در این پست ابتدا ابزار ProcessMonitor و کاربرد آن معرفی شده و سپس به کمک آن روال شروع به کار پروسه‌ها در ویندوز بررسی می‌شوند.

ابزار ProcessMonitor یکی از ابزارهای SysInternals است که برای بررسی Internals ویندوز به کار می‌روند. به کمک این ابزار می‌توان از رویدادهای ایجاد و حذف پروسه، نخ، فراخوانی WinAPIها، دسترسی به رجیستری و فعالیت‌های شبکه‌ای که در برنامه‌ها رخ می‌دهد اطلاع پیدا کرده و آن‌ها را رصد نمود. یکی از قابلیت‌های جالب این ابزار این است که می‌تواند در Boot ویندوز شروع به جمع‌آوری اطلاعات کرده و فعالیت پروسه‌هایی که در زمان بوت ایجاد و حذف می‌شوند را به همراه رویدادهای آن‌ها ثبت نماید.

مهم‌ترین پروسه‌ای که در ویندوز وجود دارد system است که همیشه PID برابر ۴ داشته و کرنل سیستم‌عامل و درایورها تحت آن فعالیت می‌کنند. این پروسه برای شروع به کار ویندوز یک پروسه‌ی smss را در session صفر ایجاد می‌کند که به عنوان master عمل کرده و اولین پروسه‌ی user mode ای است که در ویندوز کار می‌کند. برای فعالیت ویندوز حداقل دو session صفر و یک وجود دارند که سرویس‌ها در session‌ صفر بوده و لاگین consoleای به ویندوز با session یک مدیریت می‌شود. پروسه‌ی smss master به ازای هر sessionای که ایجاد می‌شود یک smss‌ در آن session‌ایجاد می‌کند که پس از ساختن session از بین می‌رود.

مثلا در session صفر بخشی از وظیفه‌ی smss ایجاد csrss, wininit است که خود wininit پروسه‌های services, lsass را ایجاد می‌کند. یا در session یک وظیفه‌ی smss فرزند ایجاد csrss, winlogon است که خود winlogon باید logonUI را ایجاد کند که user/pass را از کاربر دریافت نماید.

در این ویدئو که بخشی از یکی از کلاس‌هایم است به کمک ProcessMonitor‌ چرخه‌ی ایجاد پروسه‌های ویندوز به صورت کامل بررسی می‌شود.

لطفا پست را برای علاقه‌مندان ارسال کنید.
لینک ویدئو در یوتیوب:
https://youtu.be/U6DEVvOT_d0
لینک ویدئو در آپارات:
https://www.aparat.com/v/MaX9N

#ShortWinInternals #windows #internals #processes #ProcessMonitor #WinBoot