26(48)----windows internals 第6版 mark david alex

本书中大部分知识是通过阅读windows源码、与开发者交流获取的，但并非所有的内容都一直正确。Windows内部的许多细节可以通过各种工具了解，比如说windows自带的工具，或者windows调试工具。这些工具稍后会有介绍。

为了帮助读者探索windows内部机制，我们包含了“实验”部分，讲述如何查看windows某些内部特性的步骤。建议读者亲自动手做一下这些实验，以便加深印象。

性能监视器

本书中，我们会经常提到性能监视器和资源监视器。性能监视器有三个功能，分别是系统监视，查看性能计数器日志和设置警报（通过使用数据收集器集合，它包含性能计数器日志以及跟踪和配置数据）。为了简单起见，当我们提到性能监视器时指的是系统监视功能。

性能监视器比其他任何单个工具都能提供更多的信息，它包含数百个基础和扩展的计数器。对于本书中的重要主题，都会列出相关的性能计数器。

性能监视器对每个计数器都有一个简单描述，在添加计数器窗口中选中一个计数器，然后选中显示描述复选框皆可看到。

虽然本书中进行的所有系统监视都可以通过性能监视器完成，windows也包含了一个资源监视器（通过任务管理器的性能tab上点击资源管理器启动，或者在运行对话框输入，resmon.exe来启动），显示系统的4个主要资源。cpu 硬盘 网络 和内存。在基础状态下，它显示的信息和任务管理器一样。通过扩展部分，可以看到更多信息。

cpu标签展示每个进程的cpu使用情况，和任务管理器一样。同时，它增加了平均cpu使用率，这样可以知道哪个进程最活跃。cpu选项卡包含了服务及其cpu使用率和平均CPU使用率。每一个服务进程通过寄宿的服务组来识别。和process explorer一样，选择一个进程（通过选择复选框）可以展示进程打开的命名句柄列表，以及进程加载的模块列表。查找句柄框可以查找哪个进程打开了资源。

内存选项卡和任务管理器显示的信息基本一样。物理内存条状图显示了当前物理内存的组织，包括硬件保留的，在使用的，已修改的，备用和可用的。第二部分第十章对这些术语进行详细描述。

磁盘选项卡，显示基于文件的信息，可以方便查看经常读取、写入和访问的文件。这些信息可以通过进程来进一步过滤。

网络选项卡，显示活跃网络连接，发起连接的进程以及数据流量。这些信息极大地方便了查看原本不容易查看的后台网络活动。同时，也能按进程显示活跃的tcp连接，远程和本地的端口和数据，包延迟等。还能按进程查看监听端口列表，从而允许管理员查看，哪个服务或者应用程序，在特定端口上等待连接。进程，端口的协议和防火墙策略也被显示出来。

注意所有的windows性能计数器都可以通过编程来获取。第4章有进一步讲述。