Windows XP/7/8/10のセッションとプロセス

---

DKOMベースWindows内部解析技術入門

　本「IT談話館」は、Windowsメモリダンプの解析作業では、次のようなDKOM(Direct Kernel Object Manipulation)ベースの解析工程を採用しています。

1. 「Windowsカーネルアーキテクチャー」知識を基に問題仮説を設定する。
2. 上記問題仮説をC/C++とMASMの仕様を継承する「WinDbg内部解析専用言語」で独自解析コードとして実装する。
3. 上記解析コードを実行し、設定した問題仮説の真偽を実証する。
4. （必要に応じて）上記の工程を繰り返し、直面する問題を解決する。

　この解析工程は次のような広範囲の分野に適応できます。

• システムクラッシュ原因の解析と特定
• パフォーマンス低下因子の解析と特定
• アプリケーション性能の分析と評価
• マルウェア感染の解析と対策
• Windowsカーネルアーキテクチャーの内部解析と研究
• Windowsソフトウェアビジネス動向の調査と研究

　問題仮説を実装する「WinDbg内部解析専用言語」は、世界的に次のような評価を受けています。

• 習得に時間がかかる
• 希望通りに動作しない
• 適切な入門資料が存在しない

　本「IT談話館」は長年この「WinDbg内部解析専用言語」を使用している経験から、次のように評価しています。

• 適切な助言を受ければ、習得に時間はかからない
• 希望通りにきちんと動作する
• 適切な入門資料が存在しないのは確かである
• 世界の先頭を走るWindows内部解析者の必須ツールであり、習得する価値がある
• C/C++とMASMの仕様を継承しているため、メモリダンプの隅々を解析できる
• カーネル空間を直接解析できるため、Microsoft社の内部変更を把握できる

　「このページ」では、DKOM(Direct Kernel Object Manipulation)ベースの内部解析工程をカーネルメモリダンプやWindows 10 Active Memory Dumpに適応すると実際にどのようなことができるのかを紹介しています。

次へ