Недокументированные и малоизвестные возможности Windows XP

 • smss.ASR — является обычной программой smss.exe, расширение которой было изменено. Smss.exe — диспетчер сеансов, начинающий работу при входе пользователя в систему и управляющий запуском различных сервисов и служб.

 • NTDLL.ASR — является копией библиотеки ntdll.dll, расширение которой было изменено.

В этом каталоге также содержатся файлы кустов DEFAULT, SAM, SECURITY, SOFTWARE, SYSTEM. Их описание будет приведено при рассказе о содержимом каталога %systemroot%\system32\config.

■ %systemroot%\system32\CatRoot — хранит все цифровые подписи драйверов и системных файлов операционной системы Windows (в виде файлов с расширением CAT). Все они хранятся в одном из вложенных разделов данного каталога, название которого создано в формате CLSID-номера ActiveX-объекта (GUID-формате). Кроме цифровых подписей для стандартных драйверов и системных файлов, в этом каталоге также могут находиться цифровые подписи для драйверов и других файлов устройств, которые были протестированы в лаборатории Microsoft и помещены в список HCL (список совместимых аппаратных средств). После успешного тестирования устройства Microsoft передает производителю этого устройства файл каталога (СAT-файл) для его продукции, который впоследствии должен поставляться вместе с каждым экземпляром данного устройства. Именно наличие этого файла каталога и проверяется при установке устройства, если в диалоге Параметры подписывания драйверов установлен переключатель Предупреждать — каждый раз предлагать выбор действия или переключатель Блокировать — запретить установку неподписанного драйвера программного обеспечения.

■ %systemroot%\system32\config — является, наверное, самым важным каталогом в Windows — именно в нем находятся главные файлы кустов реестра.

Кроме них, каталог хранит и другие файлы, к реестру не имеющие никакого отношения. Вкратце рассмотрим его содержимое.

 • AppEvent.Evt — является журналом событий приложений. Именно с ним мы и работали при изучении оснастки eventwvr.msc (Просмотр событий (локальных)►Приложение).

 • DEFAULT — содержит раздел реестра HKEY_USERS\.DEFAULT.

ПРИМЕЧАНИЕ

Кроме файла DEFAULT, в описанном выше каталоге находятся также файлы DEFAULT.LOG и DEFAULT.SAV. Первый из них является журналом транзакций и содержит все изменения параметров данного куста за текущий сеанс работы компьютера. Второй же включает в себя куст HKEY_USERS\.DEFAULT, который был создан во время тестовой фазы установки операционной системы. Тоже относится и к другим файлам кустов — все они имеют своих тезок с расширениями SAV и LOG.

 • DnsEvent.Evt — является журналом событий сервера DNS. В этой книге не рассматривалась возможность работы с журналом сервера DNS, поскольку это не являлось главной темой книги.

 • FileRep.Evt — представляет собой первый журнал событий репликации.

 • NTDS.Evt — является журналом событий службы каталогов Windows XP.

 • NtFrs.Evt — представляет собой второй журнал событий репликации.

 • SAM — является разделом реестра HKEY_LOCAL_MACHINE\SAM. По умолчанию данный раздел не может просмотреть даже администратор, хотя это может сделать система. Да вам и самим доступно это проверить — просто приспособьте приведенный ранее метод получения прав администратора, если у вас есть права опытного пользователя, не к взлому, а к получению окна редактора реестра, открытого от имени учетной записи системы.

 • SecEvent.Evt — представляет собой журнал событий безопасности. Именно с ним мы и работали при изучении оснастки eventwvr.msc (Просмотр событий (локальных)►Безопасность).

 • SECURITY — является разделом реестра HKEY_LOCAL_MACHINE\SECURITY. По умолчанию данный раздел не может просмотреть даже администратор, хотя это может сделать система. Содержимое этой ветви вы также сможете просмотреть, модернизировав метод получения прав администратора, если у вас есть права пользователя.

 • SOFTWARE — содержит раздел реестра HKEY_LOCAL_MACHINE\SOFTWARE.

 • SysEvent.Evt — является журналом системных событий. Именно с ним мы работали при изучении оснастки eventvwr.msc (Просмотр событий (локальных)►Система).

 • System — содержит раздел реестра HKEY_LOCAL_MACHINE\SYSTEM.

 • Userdiff — используется для обновления профилей пользователей более ранних версий операционных систем с целью их применения в Windows NT 4.0 и в более новых операционных системах Windows.

■ %systemroot%\SYSTEM32\dhcp\Backup — содержит резервную копию базы данных этого DHCP-сервера (DHCP-сервер предназначен для выдачи временных IP-адресов и автоматического конфигурирования стека TCP/IP на компьютерах сети). В резервную копию входят следующие данные:

 • сведения о выданных IP-адресах и времени окончания их аренды;

 • настройки параметров данного DHCP (параметрами корпорация Microsoft назвала дополнительные сведения о конфигурировании стека TCP/IP, которые получают компьютеры вместе с IP-адресом);

 • сведения об областях действия (перечень компьютеров, которые могут воспользоваться услугами данного DHCP-сервера).

Интервал обновления резервной копии базы данных DHCP-сервера по умолчанию равен 60 минутам, но его можно переопределить с помощью DWORD-параметра BackupInterval (значение указывается в минутах) из ветви реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DhcpServer\Parameters.

■ %systemroot%\system32\DllCache — содержит копии всех системных файлов Windows XP (не только библиотек, но и программ) и необходим при повреждении или несанкционированном системой изменении оригинального системного файла для его переустановки. Данный каталог сжат и скрыт.

■ %systemroot%\system32\DNS — хранит файлы настройки DNS (служба для трансляции символьных адресов компьютеров (например, www.mail.ru) в числовые IP-адреса (например, 192.100.1.34) или, если используется зона обратного разрешения, наоборот), а также сами файлы зон данного DNS. Файлы зон являются обычными текстовыми файлами с расширением DNS, которые содержат ресурсные записи (существует много типов ресурсных записей, но наиболее используемыми являются записи типа А, которые как раз и предназначеныдля трансляции символьных адресов в числовые) только о компьютерах данной зоны DNS.

Следует учитывать, что способ хранения зон в виде текстовых файлов считается устаревшим. Если в сети используется Active Directory, то предпочтительнее хранить зоны в виде объектов объекта контейнерного типа dnsZone, что дает определенные преимущества.

■ %systemroot%\system32\IAS — содержит две очень интересные системные базы данных, описывающие те или иные разрешения для протоколов, сервисов, а также сведения о различных используемых в системе свойствах.

■ %systemroot%\system32\restore — хранит файлы программы Восстановление системы, а также саму эту программу (rstrui.exe). Одним из наиболее интересных файлов этого каталога является файл filelist.xml, описывающий файлы, каталоги, а также расширения файлов, которые не должны входить в точку восстановления или, наоборот, должны входить в точку восстановления.