11、Windows系统服务活动监控与WoW64机制深入解析

Windows系统服务活动监控与WoW64机制深入解析

1. 实验：查看系统服务活动

通过观察系统对象中的“System Calls/Sec”性能计数器，可以监控系统服务活动。具体操作步骤如下：
1. 运行性能监视器。
2. 点击“监控工具”下的“性能监视器”。
3. 点击“添加”按钮，将计数器添加到图表中。
4. 选择“系统”对象，再选择“System Calls/Sec”计数器。
5. 再次点击“添加”按钮，将计数器添加到图表。

由于系统每秒出现数十万次系统调用是正常现象，特别是处理核心较多的时候，所以可能需要将最大值调整为更高的值。

2. WoW64概述

WoW64（64位Windows上的Win32仿真）是允许在64位平台（可能属于不同架构）上执行32位应用程序的软件。它最初是在旧版Windows NT 3.51的alpha和MIPS版本中运行x86代码的研究项目，自1995年左右以来有了显著发展。2001年微软发布Windows XP 64位版本时，WoW64被纳入操作系统，用于在新的64位操作系统中运行旧的x86 32位应用程序。在现代Windows版本中，WoW64已扩展为支持在ARM64系统上运行ARM32应用程序和x86应用程序。

2.1 WoW64核心用户模式DLL

DLL名称	功能
Wow64.dll	在用户模式下实现WoW64核心，创建