Windows NT

esentutl.exe (Extensible Storage Engine Utility) — это встроенная утилита командной строки в операционных системах Windows, предназначенная для обслуживания, восстановления, проверки и изменения баз данных Extensible Storage Engine (ESE), также известных как базы данных Jet Blue.

Основные функции

• Проверка целостности (/g): проверяет базу данных на наличие повреждений на уровне страниц.

Восстановление базы данных (/r и /p):

• /r выполняет мягкое восстановление (soft recovery) с помощью файлов журналов транзакций (.log).

• /p выполняет жесткое восстановление (hard recovery), исправляя поврежденные таблицы, что может привести к потере части данных.

• Дефрагментация (/d): сжимает базу данных, удаляя неиспользуемое пространство и создавая новый оптимизированный файл.

• Контрольная сумма (/k): проверяет контрольные суммы страниц базы данных для выявления аппаратных или системных ошибок записи.

Где применяется

Утилита используется для работы с системными компонентами Windows, использующими движок ESE:
• База данных службы Active Directory (ntds.dit).

• Почтовые базы данных Microsoft Exchange Server (исторически основная сфера применения).

• База данных обновлений Windows Update (SoftwareDistribution\DataStore\DataStore.edb).

• Поисковый индекс Windows Search.

| #Администрирование |
| #MSWindows |
| #АдмТейк |
| #NT |

Windows NT

Команда subst (от англ. substitute — заменить) в операционной системе Windows — это встроенная утилита командной строки, которая привязывает определенный локальный каталог (папку) к виртуальному диску с отдельной буквой (например, создаёт диск X: указывающий на папку C:\Users\Name\Documents).

Определение

subst — это консольная утилита, создающая в пространстве имён диспетчера объектов Windows символическую ссылку (симлинк) типа \??\X: на целевой путь файловой системы NT (например, \??\C:\Folder). Для пользователя и большинства программ созданный виртуальный диск выглядит и функционирует как обычный логический накопитель.

Контекст использования

Команда применяется в следующих сценариях:

• Обход ограничения по длине пути (MAX_PATH): В стандартном Windows API максимальная длина пути ограничена 260 символами. Сокращение пути (например, замена C:\Very\Long\Path\... на X:\) позволяет программам работать с файлами, глубина вложенности которых превышает этот лимит.

• Автоматизация и абсолютные пути: Использование виртуального диска позволяет жестко зафиксировать буквы дисков в скриптах компиляции, конфигурационных файлах или проектах автоматизации. Это обеспечивает переносимость кода между компьютерами, где реальные папки могут находиться в разных местах.

• Совместимость со старым ПО: Запуск устаревших программ, которые требуют для работы обязательного наличия определенного диска (например, D: или E:), но физически на компьютере присутствует только диск C:

Происхождение

Команда впервые появилась в операционной системе MS-DOS 3.1 в 1985 году. Она была введена для обеспечения обратной совместимости и упрощения навигации в древовидной структуре папок, которая тогда только развивалась. С тех пор утилита без изменений переносилась во все последующие версии операционных систем Microsoft, включая Windows NT, XP, 7, 10 и 11.

Примеры использования

Все команды выполняются в интерпретаторе командной строки (cmd.exe).

Создание виртуального диска

subst X: C:\Games\Strategy\MyGame

Результат: В системе создаётся диск X: Обращение к нему перенаправляет запросы в папку MyGame.

Просмотр существующих сопоставлений:

subst

Результат: Вывод списка всех активных виртуальных дисков, созданных через эту команду, и путей, к которым они привязаны (например: X:\: => C:\Games\Strategy\MyGame).

Удаление виртуального диска:

subst X: /D

Результат: Связь разрывается, диск X: исчезает из системы. Сама папка и файлы внутри неё остаются нетронутыми

Важные технические ограничения

1. Изоляция сессий: Диски, созданные через subst, по умолчанию видны только в рамках той пользовательской сессии, в которой была запущена команда. Если создать диск в обычной командной строке, он не будет виден в программах, запущенных от имени Администратора (и наоборот).

2. Временный характер: Созданные диски существуют только до перезагрузки ОС. Для автоматического создания при старте системы команду необходимо добавлять в автозагрузку (например, через RegEdit или Task scheduler).

3. Ограничения файловых операций: На виртуальных дисках subst недоступны некоторые низкоуровневые утилиты вроде chkdsk, format или diskpart.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #Legacy |
| #NT |

Дни рождения Windows NT

• Windows 2000 (NT 5.0): 17 февраля 2000 года
• Windows NT 3.1 (первая NT): 27 июля 1993 года
• Windows 10 (NT 10.0): 29 июля 2015 года
• Windows 11 (NT 10.0): 5 октября 2021 года

| #MSWindows |
| #АдмТейк |
| #Другое |
| #NT |

Legacy

Driver Verifier (Средство проверки драйверов) — это встроенный в операционную систему Windows утилитарный инструмент, предназначенный для мониторинга, тестирования и обнаружения ошибок в работе драйверов устройств режима ядра.

Основное назначение

Главная цель инструмента — принудительно выявить скрытые дефекты в коде драйверов, которые приводят к нестабильности системы, утечкам памяти или критическим ошибкам (синим экранам смерти / BSOD).

Принцип работы

В обычном режиме работы Windows может игнорировать или временно изолировать незначительные нарушения в поведении драйверов для поддержания работы системы. Driver Verifier меняет эти условия:

• Ужесточение правил: Он применяет к выбранным драйверам строгие протоколы тестирования (например, симуляцию нехватки ресурсов, проверку пулов памяти, контроль подлинности I/O-запросов).

• Намеренное провоцирование BSOD: Как только тестируемый драйвер совершает малейшую ошибку (например, пытается обратиться к недопустимому адресу памяти), Driver Verifier немедленно останавливает систему и вызывает BSOD с определенным кодом ошибки (например, DRIVER_VERIFIER_DETECTED_VIOLATION).

• Фиксация данных: В момент падения системы создается аварийный дамп памяти (Crash Dump), в котором четко фиксируется имя конкретного файла драйвера (с расширением .sys), вызвавшего сбой.

Основные режимы тестирования

• Special Pool (Специальный пул): Выделяет изолированные структуры памяти для отслеживания выхода за пределы выделенного буфера.

• Force IRQL Checking (Принудительная проверка IRQL): Проверяет правильность управления уровнями запросов прерываний.

• Low Resources Simulation (Имитация нехватки ресурсов): Искусственно создает дефицит памяти для проверки отказоустойчивости драйвера.

• Deadlock Detection (Обнаружение взаимных блокировок): Отслеживает конфликты потоков, способные вызвать зависание системы.

Порядок использования

1. Инструмент запускается через командную строку или окно «Выполнить» (Win + R) командой verifier.

2. Пользователь выбирает типы тестов и конкретные драйверы для проверки (чаще всего выбираются все сторонние драйверы, не созданные Microsoft).

3. Требуется перезагрузка компьютера для вступления настроек в силу.

4. После сбора информации инструмент необходимо отключить вручную (командой verifier /reset), иначе нагрузка на систему останется повышенной.


Инструмент используется разработчиками программного обеспечения, системными администраторами и специалистами по диагностике ПК для точного определения дефектных компонентов ОС.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #Legacy |
| #NT |

Windows NT

Event Viewer (Просмотр событий) — это встроенный в операционную систему Microsoft Windows инструмент с графическим интерфейсом, предназначенный для централизованного мониторинга и анализа системных журналов. Он регистрирует значимые события в работе аппаратного и программного обеспечения, разделяя их по категориям, уровням важности и уникальным кодам (Event ID).

Основные компоненты и типы журналов

Записи классифицируются по нескольким основным журналам Windows (Windows Logs):

• Application (Приложение): Фиксирует события, связанные с установленным программным обеспечением (ошибки сторонних программ, сбои служб приложений).

• Security (Безопасность): Содержит логи аудита системы безопасности (успешные и безуспешные попытки входа в систему, изменение прав доступа к файлам).

• System (Система): Фиксирует события, созданные компонентами самой Windows, такими как драйверы устройств, системные службы или аппаратное обеспечение (например, сбой подключения диска).

• Forwarded Events (Пересланные события): Хранит логи, перенаправленные с других компьютеров в локальной сети (используется в корпоративных средах).

Классификация уровней важности событий

Каждая запись в журнале имеет определенный статус:

• Information (Сведения): Уведомление об успешном выполнении задачи приложением или компонентом (например, запуск службы).

• Warning (Предупреждение): Индикация потенциальной проблемы, которая не критична в данный момент, но может вызвать сбой в будущем (например, заканчивающееся место на диске).

• Error (Ошибка): Свидетельство о критической проблеме, приведшей к потере функциональности, сбою службы или невозможности загрузить данные.

• Critical (Критический): Серьезный сбой, приведший к прекращению работы компонента или всей системы (например, аварийное завершение работы из-за потери питания).

Назначение и практическое применение

Инструмент используется системными администраторами и специалистами по технической поддержке для решения следующих задач:

1. Диагностика сбоев (Troubleshooting): Поиск конкретного кода ошибки (Event ID) и источника (Source) для определения причин «синих экранов» (BSOD), зависаний или аварийных завершений программ.
2. Аудит безопасности: Мониторинг несанкционированного доступа, отслеживание времени входа/выхода пользователей.

1. Оптимизация производительности: Выявление служб и драйверов, которые замедляют загрузку или работу операционной системы.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Legacy

azman.msc (Диспетчер авторизации / Authorization Manager) — это встроенная в операционную систему Windows оснастка Управления (MMC), предназначенная для управления ролевым управлением доступом (RBAC) в приложениях.

Основные функции и характеристики:

• Назначение: Позволяет разработчикам и системным администраторам создавать и назначать роли, операции и задачи для пользователей или групп внутри конкретных программ.

• Принцип работы: Вместо назначения прав на отдельные объекты (как в случае с ACL файловой системы), доступ предоставляется на основе бизнес-роли пользователя (например, «Менеджер», «Администратор», «Гость»).
• Хранение данных: Политики авторизации могут храниться либо в виде XML-файлов на диске, либо в службах каталогов Active Directory (AD DS) / Active Directory Lightweight Directory Services (AD LDS).

• Текущий статус: Компонент признан устаревшим. В современных версиях Windows Microsoft рекомендует использовать другие механизмы контроля доступа (например, встроенные средства управления доступом на базе утверждений/claims в Active Directory).

(P.S : я LDS прочитал как LSD.)

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #Legacy |
| #NT |

Windows NT

Файлы системных оснасток, используемые для администрирования Windows Server
• важно! половину нельзя открыть на классических Pro/home версиях •

dhcpmgmt.msc
dnsmgmt.msc
dsa.msc
iis.msc
sanmgr.msc
certsrv.msc
dssite.msc
ciadv.msc
rrasmgmt.msc
virtmgmt.msc
iscsicpl.msc
fxsadmin.msc
ocns.msc
wbadmin.msc
napclcfg.msc
tsconfig.msc
gpmc.msc
adsiedit.msc
servermanager.msc
tsadmin.msc

Объяснять функции каждого файла лень, поэтому выложено в формате списка, но ждите посты, где рассказывают про эти программы подробнее

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Legacy

OOBE (Out-of-Box Experience) — это встроенный в операционную систему пошаговый мастер первоначальной настройки. Он запускается автоматически при первом включении нового компьютера или сразу после завершения чистой установки Windows.

Технические функции OOBE

• Выбор региональных стандартов (язык интерфейса, раскладка клавиатуры, часовой пояс).

• Принятие лицензионного соглашения Microsoft.

• Подключение к сети (Wi-Fi или Ethernet).

• Авторизация пользователя через учетную запись Microsoft или создание локального профиля.

• Настройка базовых параметров конфиденциальности (отправка диагностических данных, геопозиционирование).

Программа выполняется до запуска графической оболочки (проводника Windows) и рабочего стола. Компоненты мастера настройки находятся по пути C:\Windows\System32\oobe\, а за координацию процесса в современных версиях Windows отвечает фоновый сервис C:\Windows\System32\UserOOBEBroker.exe.

Важный учёт

Главного файла msoobe.exe в современных версиях Windows (начиная с Windows 10 и 11) больше не существует в качестве самостоятельного процесса настройки. Вся логика современного OOBE работает на базе веб-технологий и JavaScript. Главным диспетчером процесса в фоновом режиме выступает файл UserOOBEBroker.exe (находится в C:\Windows\System32\), а сам графический интерфейс OOBE теперь завязан на приложение CloudExperienceHost (процесс wwahost.exe).

Хотя, исполняемый файл msoobe.exe существовал и отвечал за этот этап в старых версиях ОС (например, в Windows XP и Windows 7).

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #Legacy |
| #NT |

Windows NT

ODBC (Open Database Connectivity) — это стандартизированный программный интерфейс (API), который позволяет приложениям взаимодействовать с различными системами управления базами данных (СУБД) независимо от их типа и разработчика.
В операционной системе Windows ODBC работает как слой абстракции (прослойка) между пользовательской программой (например, Excel, 1С или самописным софтом) и самой базой данных (MS SQL Server, PostgreSQL, MySQL, Oracle).

Компоненты архитектуры ODBC в Windows

Взаимодействие через ODBC состоит из четырех четких элементов:

Приложение (Application).
Роль в системе Windows: Инициирует запросы к данным, вызывает функции ODBC API.
Пример: Microsoft Excel, аналитический софт, ERP-системы.

Диспетчер драйверов (Driver Manager).
Роль в системе Windows:Системный компонент Windows (odbc32.dll). Загружает нужные драйверы, проверяет параметры.
Пример:Администратор источников данных ODBC (запускается через odbcad32.exe)

Драйвер ODBC (Driver).
Роль в системе Windows:Библиотека (DLL), которая переводит стандартные функции ODBC в специфические команды конкретной СУБД.
Пример:Драйвер ODBC для SQL Server, PostgreSQL ODBC Driver.

Источник данных (Data Source / DSN).
Роль в системе windows:Именованная конфигурация в реестре Windows, содержащая параметры подключения (адрес сервера, имя БД, логин). Пример:Пользовательский DSN, Системный DSN или DSN файла

Как это работает технически

1. Запрос: Приложение отправляет SQL-запрос через стандартные функции ODBC API.

2. Маршрутизация: Диспетчер драйверов Windows принимает этот запрос и перенаправляет его конкретному драйверу, указанному в настройках DSN.

3. Трансляция: Драйвер переводит запрос на сетевой протокол и синтаксис конкретной СУБД.

4. Выполнение и возврат: База данных выполняет запрос, возвращает результат драйверу, драйвер передает его диспетчеру, а тот — обратно приложению в универсальном табличном формате.

Главное практическое назначение

Разработчику приложения не нужно писать отдельный код для интеграции сp MySQL, отдельный для Oracle и отдельный для SQL Server. Приложение пишется один раз под универсальный интерфейс ODBC, а подключение к конкретной базе данных настраивается сисадмином на целевом компьютере через утилиту «Источники данных ODBC».

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Windows NT

USN Journal (Update Sequence Number Journal), также известный как журнал изменений NTFS — это системная функция файловой системы NTFS в операционных системах Windows, которая регистрирует все изменения, происходящие с файлами и каталогами на диске.

Принцип работы и характеристики

• Фиксация событий: Журнал записывает факты создания, удаления, изменения, переименования файлов и папок, а также смену их атрибутов и прав доступа.

• Содержимое записей: Каждая запись содержит уникальный порядковый номер (USN), имя файла, тип произошедшего изменения и время его фиксации. Журнал не содержит данные самого файла или его содержимое до изменения.

• Циклический буфер: Журнал имеет фиксированный максимальный размер. При заполнении выделенного пространства новые записи перезаписывают самые старые.

• Идентификация изменений: Программы могут считывать журнал, сравнивать сохраненный ранее номер USN с текущим и мгновенно определять, какие файлы изменились с момента последней проверки.

Основное назначение

• Ускорение индексации: Используется поисковыми службами (например, Windows Search или сторонними утилитами вроде Everything) для обновления базы данных без полного сканирования жесткого диска.

• Репликация данных: Применяется службой репликации файлов (FRS) и службой DFS для синхронизации содержимого папок между серверами.

• Резервное копирование: Позволяет программам бэкапа быстро находить измененные файлы для создания инкрементных копий.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Windows NT

ETW (Event Tracing for Windows) — это встроенная в операционную систему Windows высокопроизводительная подсистема трассировки событий на уровне ядра. Она предназначена для логирования, мониторинга и отладки работы компонентов ОС, драйверов устройств и пользовательских приложений без необходимости перезагрузки системы или повторной компиляции исходного кода.

Архитектура и основные компоненты

Функционирование ETW базируется на взаимодействии трех основных элементов:

• Провайдеры (Providers): Компоненты (драйверы или приложения), которые содержат код трассировки и генерируют события.

• Сессии (Controllers/Sessions): Управляющие элементы, которые запускают и останавливают запись, определяют буферы памяти и направляют поток событий в файлы журналов (.etl) или в режиме реального времени потребителям.

• Потребители (Consumers): Приложения, которые считывают и анализируют данные событий из файлов трассировки или в режиме реального времени.

————————————

Режим выполнения:
Работает преимущественно в режиме ядра (Kernel-mode), что минимизирует накладные расходы на переключение контекста.

Производительность:
Способна обрабатывать десятки тысяч событий в секунду с минимальным влиянием на загрузку процессора (менее 5%).

Формат вывода:
Бинарные файлы трассировки с расширением .etl (Event Trace Log).

Инструменты сбора:
logman, xperf, Windows Performance Recorder (WPR).

Инструменты анализа: Windows Performance Analyzer (WPA), Event Viewer, tracerpt.

————————————

Механизм работы

Провайдер регистрируется в системе и ожидает команду от Контроллера. При активации сессии трассировки провайдер начинает записывать бинарные данные событий в предварительно выделенные буферы памяти ядра. По мере заполнения буферов подсистема ETW сбрасывает их на жесткий диск в файл .etl или передает напрямую Потребителю. Этот процесс происходит асинхронно, что предотвращает блокировку вызывающего потока в приложении-провайдере.

Практическое применение

• Профайлинг производительности: Анализ задержек ввода-вывода (I/O), использования процессора (CPU) и выделения оперативной памяти.

• Поиск неисправностей: Отладка зависаний драйверов, сбоев в работе системных служб и сетевых протоколов.

• Кибербезопасность (EDR/SIEM): Мониторинг подозрительной активности (создание процессов, внедрение кода, доступ к реестру) для обнаружения вредоносного ПО.


| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |

Windows NT

Amcache.hve — это защищённый от записи куст реестра Windows (Registry Hive), который операционная система использует для мониторинга и сохранения метаданных о запускаемых в системе приложениях, исполняемых файлах, драйверах и загружаемых библиотеках (DLL).
Этот файл располагается по пути C:\Windows\AppCompat\Programs\Amcache.hve и используется механизмом совместимости приложений (Application Compatibility) и службой отслеживания использования приложений (Application Experience) для оптимизации работы программ в среде Windows.

Ключевые функции и собираемые данные

Amcache.hve фиксирует информацию о процессах создания и запуска исполняемых файлов на диске. В нем содержатся следующие технические параметры:

• Идентификация файлов: Полный путь к исполняемому файлу (за исключением сетевых ресурсов), его имя и точный размер в байтах.

• Временные метки: Точное время первого создания файла (File Creation Time) и время последнего изменения файла на диске. В ряде случаев фиксируется время первого запуска.

• Хеш-суммы: Криптографический хеш SHA-1 исполняемого файла, что позволяет идентифицировать уникальные сборки программ независимо от изменения их названий.

• Атрибуты компиляции: Данные PE-заголовка (Portable Executable), включая дату компиляции файла (Linker Timestamp).

• Сведения об издателе: Имя разработчика, версия продукта и официальное название программы, извлеченные из ресурсов самого файла.

• Данные об установке: Сведения о связанных инсталляторах (MSI/EXE), датах установки приложений и записях в разделе «Программы и компоненты».

Значение для компьютерно-технической экспертизы (DFIR)

В контексте информационной безопасности и расследования инцидентов Amcache.hve является критически важным артефактом энергонезависимой памяти (Forensic Artifact). Из-за архитектурных особенностей он сохраняет информацию даже после того, как сам исполняемый файл был удален с диска или запущен с внешнего съемного накопителя (USB-флеш-карты). С его помощью криминалисты доказывают факт присутствия и исполнения вредоносного или несанкционированного программного обеспечения в системе.

| #Администрирование |
| #MSWindows |
| #Настройка |
| #АдмТейк |
| #NT |