在计算机领域，总线（来源于拉丁语omnibus）是用于在计算机内部组件之间进行数据传输的通信子系统。总线上传递的数据类型包括数据信息、地址信息、控制信息。

在个人计算机上，总线一般分为5类：

1. 数据总线（Data Bus）：在CPU与RAM或其它设备之间来回传送需要处理或是需要储存的数据。数据总线的宽度决定了CPU与外界数据交换的最大速率。数据总线有一系列的传输线组成，每条传输线同一时刻只能传输1bit的数据，如果数据总线位宽为64位，就意味着有64根传输线
2. 地址总线（Address Bus）：CPU通过地址总线来指定存储器的地址，地址总线决定了CPU能访问的最大内存空间大小
3. 控制总线（Control Bus）：将处理器控制单元（Control Unit）的信号传送到周边设备，一般常见的为USB总线
4. 扩展总线（Expansion Bus）：可连接扩展槽，以增添设备
5. 局部总线（Local Bus）：直接的连接CPU与部分扩展总线的插槽，避免扩展总线引入的性能瓶颈，提高数据吞吐量

 在Intel的处理器产品线中，总线还可以按如下方式分类：

1. 系统总线：一般特指PCI/PCIe总线，带宽高，支持热插拔。内部总线、外部总线都挂接在系统总线上
2. 外部总线：诸如USB、SATA、IDE、1394、以太网等暴露在外的，都属于外部总线
3. 内部总线：外部总线上的一些零散小芯片使用
4. 前端总线：CPU与北桥、内存的连接总线，北桥是PCI/PCIe的发源地

CPU时钟频率速度（主频）=系统总线速率（外频）×倍频系数，某些主板可以通过跳线设置倍频系数、系统总线频率。

在早期，并没有倍频这一概念，CPU主频与外频是一致的。然而CPU的速率越来越快，开始出现倍频——让CPU主频与总线频率之间呈现倍数关系，这样CPU可以高速运作，而外设以低频运作。

在早期，系统总线、前端总线的工作频率也是一致的，目前前端总线往往是系统总线的数倍速度。

CPU设计初期是往高频率方向发展的，然而最终遭遇到物理极限的限制。这时为了继续提高处理能力，只能向多核心、多CPU的方向发展了。

CPU有多个，而内存是大家共享的，这时SMP架构出现了。所谓对称多处理（Symmetric multiprocessing，SMP）是指每个处理器核心的地位都是平等的（所谓对称），对所有计算机资源（特别是内存）具有相同的使用权限。

SMP的优点是并行度高，然而系统总线的带宽有限，因此处理器的数目不能无限添加，系统性能和处理器数量也不是线性关系。

Linux对SMP的早期支持依赖于一个全局大锁，直到2.6才有效的发挥SMP的能力。

SMP的最大问题在于总线带宽有限，当很多CPU都通过北桥来读写内存，北桥带宽的瓶颈很快就出现了。

为了解决此问题，硬件工程师开始把北桥中的内存控制器拆分，让CPU与特定内存插槽、内存控制器关联在一起。当CPU访问自己本地内存（Local Access）时，速度很快，而需要访问其它CPU的内存（Remote Access）时速度就慢了。这就是所谓非统一内存访问（Non-Uniform Memory Access，NUMA）的由来。

NUMA一定程度上保证了单台主机的扩容能力，然而操作系统面临的问题则是，如何尽可能的避免Remote Access。Linux的默认策略是：

1. 优先尝试在请求线程当前所处的CPU的本地内存中进行分配
2. 如果本地内存不足，尝试淘汰（Reclaim）其中无用的页

外设组件互连标准（Peripheral Component Interconnect），是一种连接电脑主板和外部设备的总线标准。基于PCI标准连接到主板的外设，要么嵌入到主板的集成电路中，要么通过主板上的PCI插槽连接。

目前PCI总线已经被更先进的技术，例如PCI Express（PCIe）逐步取代。

PCI子系统包含四级模块：

1. Bus，一个PCI子系统最多256个Bus，常用的是Bus 0和Bus 1
2. Device，即连接到Bus上的设备，如声卡，网卡等，每个Bus最多32个
3. Function，每个Device有至少有一个Function 0，最多8个
4. Register，每个Function有256字节的的Registers

SCSI是一种用于计算机和智能设备之间（硬盘、软驱、光驱、打印机、扫描仪等）系统级接口的独立处理器标准。与IDE最大的不同是，IDE的工作需要CPU全程参与，而SCSI卡自带处理器，因而CPU占用极低。

集因特网小型计算机系统接口（Internet Small Computer System Interface），又称为IP-SAN，是一种基于Internet和SCSI-3协议下的存储技术，与传统的SCSI相比，其优势为：

1. 将原先仅用于单机的SCSI协议通过TCP/IP网络传输
2. 连接的服务器数量没有限制，而SCSI-3有15的限制

iSCSI让计算机可以透过高速的局域网来把SAN模拟成为本地的储存装置。它让两个主机通过 IP 网络相互协商然后交换 SCSI 命令，用局域网仿真了高性能本地存储总线。与某些SAN协议不同，iSCSI 不需要专用的电缆，被认为是光纤通道（Fiber Channel）的一个低成本替代方法。

亦称指令集，是计算机体系结构（Computer Architecture）中与编程相关的部分，其包括了：基本（native）数据类型、指令、寄存器、寻址模式、内存架构、中断、异常处理、外部I/O几个方面的内容。指令集包括了一系列面向机器语言的操作码（Opcodes），这些操作码由特定的CPU实现。

复杂指令集计算机（CISC）、精简指令集计算机（RISC）是根据指令集的复杂度来区分的，前者包含很多不常使用的指令，并且导致指令长度不固定。大部分RISC具有固定的指令长度，通常与机器字一样长。

每条指令由一个Opcode、0个或者多个算子组成，这些算子可能是寄存器编号、内存位置或者字面值。

从功能上，指令可以分为以下几种类型：

1. 数据读写操作指令：设置寄存器的值、读取寄存器的值、取出数据并计算、保存计算结果、从硬件读写数据
2. 算术与逻辑运算指令：对两个寄存器中的值进行加减乘除、执行位操作、执行逻辑与、逻辑非、逻辑或、比较两个寄存器中数据的大小
3. 控制流指令：分支——跳跃到某个地址继续执行、条件分支、间接分支——跳跃前，将下一条指令的位置存储起来，作为子程序的返回地址

 注意术语“微架构”与指令集架构没有直接关系，前者代表了一种处理器硬件的设计方式，不同微架构的处理器可以实现同一套指令集。

x86包含了一系列指令集架构，它们都是可变指令长度的CISC，最早由英特尔在1978年面市的“Intel 8086”CPU上开发出来。三年后IBM PC开始使用8086，x86逐渐成为个人计算机的标准平台。

x86这个名称的由来是Intel早期CPU的名称：Intel 8086、80186、80286、80386、80486，后续的处理器由于商标的问题，改用“Pentium”之类的名称。现在Intel把x86-32称为IA-32，尽管x86系列包含16位处理器。与IA-32对应的是IA-64，这是早在1990年代就提出的，在安腾系列处理器中使用的独立64位架构，与IA-32完全不兼容。

除了Intel以外，还有若干厂商实现了x86指令集的CPU，其中包括AMD的Athlon系列处理器。有趣的是，2003年，AMD发布了针对x86架构的64位扩充，命名为AMD64，Intel则被迫推出了与AMD64兼容的CPU，并命名为Intel 64。不同操作系统厂商对AMD64使用不同的称呼：Apple称之为x86-64或者x86_64；Sun和微软称之为x64；BSD和Linux称之为amd64，并把32位版本成为i386。

在计算机领域，“字（Word）”是用于表示其自然的数据单位的术语，对应了CPU一次性处理事务的固定比特位宽度。字在多个方面有体现，例如大部分通用寄存器的尺寸是一个字长；CPU与内存之间数据传输的单位也是字长；内存地址也通常用字长来表示。

为了保证向后兼容，实际的体系结构下经常把字固定为某个长度，以Intel为例，由于后续的处理器都是对8086的扩充，所以IA-32、AMD64架构下，字一直保持16位的大小，对VC的数据类型WORD、DWORD执行sizeof可以明确的看到这一点。

64位、32位是人们经常提到的名词，但是所谓64位到底指的是什么？如果一颗处理器是64位的，通常是指：

1. 该CPU的各种指针寄存器是64位的，因此理论上支持16EB的存储器
2. 该CPU的通用寄存器是64位的，因此支持64位二进制整数的直接算术与逻辑运算
3. 该CPU具有64位宽的地址、数据总线

现实的情况比较复杂，由于硬件设计、操作系统限制，64位机支持的存储器大小远远小于16EB，地址总线的宽度也往往没有64位。

可以认为是x86指令集的64位版本。AMD64理论上支持2^64比特（16EB）的寻址空间，并引入了若干64位通用寄存器和其它的特性增强。由于AMD64保留了全部16位、32位x86指令，因此它完全向后兼容（Backwards Compatible ）16位、32位的x86代码。首片支持AMD64的CPU是2003年发布的AMD Opteron。

AMD64具有以下特性：

所有的通用寄存器被从32位扩充到64位，因此所有的64位算术、逻辑、寄存器-内存操作可以直接在64位整数上操作；压栈/弹出操作默认8字节步长；指针默认8字节宽。

除了扩展通用寄存器的长度外，其数量也被加倍，从8扩展到16，因此，可以在寄存器上存放更多的局部变量，而避免存放在栈上。

128位SSE寄存器的数量也从8增加到16。

AMD64定义了64位的虚拟地址格式，理论上最大支持16EB的地址空间，目前只使用了其中的低48位，因此支持256TB的虚拟地址空间。

AMD64的初始版本允许40位的物理地址，因此最大支持1TB的物理内存。当前版本的实现则使用48位物理地址，可以支持256TB的物理内存。由于页表条目结构的限制，未来最多可以扩展到52位物理地址。

当AMD64在遗留模式（实模式、保护模式）下运行时，PAE由36位扩展到52位，因此物理地址的限制与长模式一致。相比之下，32位的x86处理器在物理地址扩展（PAE）模式下最多支持64GB的物理内存，不使用PAE则最多4GB内存。

在AMD64架构下，允许根据当前指令指针（RIP）来访问相对位置的数据，可以实现位置无关代码（Position Independent Code），这在共享库、动态加载代码中更加高效。

NX位是页表的最高位，允许操作系统指定哪些虚拟地址空间的页可以包含executable代码，哪些不能。尝试执行NX页的代码，会导致内存访问违例（Memory Access Violation）。

这里所说的虚拟内存与Windows面向用户的“虚拟内存是两回事”，后者实际上是分页技术（Paging）。

操作系统将大小一致的、代表连续虚拟地址空间的数据块称为“页（Page）”；相应的，物理地址空间上与页大小一致的连续空间则被称为“页帧（Page Frame）”。32位x86处理器的内存管理单元（MMU，CPU中的特殊硬件）支持从4KB到4MB大小的页。

虚拟内存是同时使用硬件、软件实现的一种内存管理技术。它将应用程序使用的内存地址（即虚拟地址，Virtual Addresses）映射到计算机内存（即主存，Main Storage）的物理地址（Physical Addresses）。在应用程序看来，内存是一个连续的地址空间，实际上则可能是分散在物理内存上的多个片段。

虚拟地址与物理地址的映射（即页与页帧之间的映射）是由MMU完成的。操作系统可以利用MMU，把多个虚拟地址映射到同一物理地址，从而在分页技术的支持下，允许应用程序引用大于实际物理内存的虚拟地址。

大部分操作系统使用“页表（Page Table）”来存储虚拟地址与物理地址的映射关系，页面通常是一个简单的数组，pageTable[v] = p，代表虚拟页v与物理页p具有关联关系。为了节省空间，通常会使用多级页表（Multilevel Page Table ）,例如Linux在进行32位寻址时，使用二级页表。

分页是一种内存管理技术，允许从在主存、辅存之间存取、交换页，共应用程序使用。

当应用程序程序尝试访问的页当前没有映射到物理内存的情况，称为页面错误（Page fault），操作系统采取一种对程序透明的方式来处理页面错误：

1. 确定页在辅存中的位置
2. 获取一个空白的页帧（Page Frame）来作为数据的容器
3. 加载辅存中的页到页帧
4. 更新页表（Page Table），引用新的页帧
5. 返回控制器给应用程序，重试导致页面错误的指令

如果处理页面错误时，发现没有足够的内存以获取一个空白页帧，则操作系统会使用一个页面替换算法，将某个现存的页帧从内存中清除，并将其持久化到辅存（如果其内容被修改过）。大部分操作系统使用LRU算法或者基于工作集的算法来进行页面替换。

工作集这一概念，用于确定进程在一定时间区间内需要的内存的量。

在Unix-like的操作系统中，使用术语“交换（Swap）”来描述页面替换这一动作。

ARM，即高级精简指令集机器（Advanced RISC Machine），是一种精简指令集的指令集架构，广泛的使用在嵌入式系统中。ARM具有低成本、高性能、低能耗的特点。到2011年，ARM占有了95%的智能手机、90%的硬盘驱动器、20%的移动电脑处理器份额。

ARM指令设计快速而精简，大多在一个CPU周期内执行，整体电路化，不使用微码。

引导扇区是磁盘、软盘或光盘上的一个区域。其中包含由计算机固件负责加载到内存的机器码。

引导扇区的意义是，允许计算机启动过程能加载相同磁盘上的一个程序（通常是操作系统）。在IBM PC兼容机上，BIOS选择一个启动设备，然后将它的第一扇区拷贝到内存的0x7C00地址。其它系统中，可能完全不一样。

第一扇区可能存放着： MBR、VBR或者任何可执行代码。

MBR（Master Boot Record 主引导记录）是已经被分区的磁盘上的第一个扇区。MBR能够定位到活动分区（Active partition，Bootable）并调用其VBR。

VBR（Volume Boot Record 卷引导记录）可以是未分区磁盘（软盘、U盘）的第一扇区，或者某个分区的第一扇区。VBR可能包含用于加载（当前磁盘/当前分区）操作系统的代码。VBR也可能加载第二阶段引导程序（Bootloader）。

一般的，可以把以下内容看作操作系统的组成部分：

1. 内核
2. 设备驱动程序
3. 启动引导程序
4. 命令行Shell
5. 其它基本的用户界面工具、文件管理工具、系统管理工具

内核是操作系统的核心所在，通常包括以下部分：

1. 负责响应中断的中断服务程序
2. 负责管理多个进程从而分享处理器时间的调度程序
3. 负责管理进程地址空间的内存管理程序
4. 负责网络、进程间通信的系统服务程序

内核程序代码独立于普通应用程序，一般处于内核态（亦称系统态）运行。

这个概念最初的含义是：外在的事件打断正在执行的程序，转而执行处理这个事件的特定处理程序，处理结束后，回到被打断的程序继续执行。

在实模式下，BIOS提供的中断机制是依赖于以下两部分实现的：

1. 中断向量表（Interrupt Vector Table）：实模式中断机制的重要组成部分，表中记录所有中断号对应的中断服务程序的内存地址
2. 中断服务程序（Interrupt Services）：通过中断向量表的索引对中断进行响应，是一些具有特定功能的程序

在操作系统启动过程中，通常会关闭中断，并把BIOS在内存中的中断向量表、中断服务程序擦除，并替换为操作系统的中断处理机制，然后打开中断。

操作系统的“缓冲区”是一个内存区域，主要作为主机与外设（例如硬盘等块设备）进行数据交互的中转站，让主内存区域与外设隔离。

缓冲区包含的数据有：硬盘引导块。

主内存区域存放进程的各种数据，例如程序代码。

系统调用是用户程序与操作系统内核交互的接口。通常，用户程序通过C库函数简洁的进行系统调用，库函数与系统调用并不一定是一一对应关系，比如printf函数中包含了write系统调用（将数据写到控制台），同时还包括了数据缓存、格式化等逻辑。

在Linux中，函数system_call是系统调用的总入口，用户程序可以产生“系统调用软中断”，操作系统经由system_call找到具体系统函数，并调用。

系统调用软中断将用户程序与内核隔离——出于安全方面的考虑，用户程序不能直接访问内核——通过触发软中断，用户进程的执行并暂停，并转入内核态执行系统调用函数，然后再返回用户进程暂停处恢复执行，可以说，系统调用是“内核代为执行”的。系统调用函数本质上都是软中断服务程序。

直接调用系统调用是效率低下的操作，因为进入内核态  - 执行内核代码 - 返回用户代码这一过程本身就需要开销。应当尽量减少系统调用的次数，操作系统附带的标准函数库通常可以用来实现这一目的，例如带有I/O缓冲功能的标准I/O库。

操作系统的内核代码一般在内核态运行，内核态意味着独立的、受保护的内存空间以及完全的硬件访问权限。内核态与用户态的根本不同在于硬件控制的特权等级。

应用程序的代码则在用户态运行， 它们只能看到允许它们使用的部分系统资源，并且只使用某些特定的系统功能，不能直接访问硬件，也不能访问内核划分给其它程序的内存范围。

但是，应用程序进程在执行过程中，往往需要使用操作系统内核提供的功能，这里就涉及到进程的“权限提升”的问题，亦即从用户态转换到内核态的问题。

80386及以后的CPU包含了若干种特权级别的定义，在段描述符中，包含两位数字用于标记当前所执行代码的特权级，共可表示0、1、2、3四个级别，用户态对应的优先级是3，内核态对应的优先级是0，进程在运行过程中，可能多次改变其特权级别。

降低特权级别的改变有几种方法，其中一种是“中断返回”。当CPU执行指令iret时，硬件会自动把特权级下降为3，即导致进程在用户态运行。Linux系统函数move_to_user_mode函数可以模拟这种中断返回（所谓模拟，是指不发生真正中断的情况下“返回”）。

相应的，用户代码触发（软）中断，则可进入内核态，即提升特权级别。

CPU的活动，在某个时间点上，其活动必然是三者之一：

1. 运行于用户空间（用户态），执行用户进程
2. 运行于内核空间（内核态），处于进程上下文， 代表某个特定的进程执行，内核执行系统调用时，就是这一情况
3. 运行于内核空间（内核态），处于中断上下文， 与任何进程无关，处理某个特定的中断

当CPU空闲的时候，内核可能运行于一个空进程，处于进程上下文，但运行于内核空间。

本段内容不区分进程、线程两个概念。

CPU同一时刻只能运行一条指令，因而它只能同时执行一个进程。在多任务操作系统中，CPU不断的切换其执行的进程，给用户一种多个任务同时在执行的假象。

进程切换可能发生在下列场景：

1. 时间片用完时：每个进程在创建时，都被赋予有限的时间片，进程在用完时间片后，只要其处于用户态，就会立即切换到其它进程执行
2. 进程不具备进一步执行（Unrunnable）的条件时：比如进程处于内核态，已经没有代码需要执行，或者下一步执行需要外设提供的数据。这种情况下就可以立即切换到其它进程，以免浪费CPU时间。这种情况典型的例子是等待网络I/O完成

发生进程切换的时候，必然意味着上下文切换。

除非特别提及，本段内容不区分进程、线程两个概念。

在计算机领域，上下文切换是指存储/恢复进程状态（即上下文）的处理过程，该过程可以使进程恢复到下一次执行的最后状态，从而允许多个进程共享单颗CPU。上下文切换是多任务操作系统的基本特性。

以下三种原因会导致上下文切换：

1. 多任务（Multitasking）：进程不具备进一步执行的条件时，会立即执行上下文切换；对于抢占式多任务系统（Preemptive Multitasking）而言，当进程的时间片（ Time Slice）用完时，会触发时钟中断，强制的进行上下文切换
2. 中断处理：当发生中断时，硬件会自动切换一部分上下文（至少允许中断处理器能返回到被中断的代码处），切换后得到的空间用于存放中断上下文，中断处理器的代码在此上下文中执行，执行完毕后，则恢复到中断前的上下文状态。现代处理器和操作系统倾向于最小化需要切换的上下文部分，以减少中断处理消耗的时间
3. 内核态与用户态之间切换时：尽管单纯的内核态-用户态切换，并不需要上下文切换，但是某些操作系统还是可能在此时执行上下文切换

上下文包含的内容取决于CPU和操作系统，以Linux 2.6为例，以下内容需要被切换：

1. CPU寄存器的值，即所谓“硬件上下文”，包含了大量进程实时状态信息
2. 内核态栈：当进程进入内核态运行时，该栈会被自动创建
3. 页全局目录（Page Global Directory）：与虚拟地址空间有关

这是两种不同的操作系统内核设计方式：

1. 单内核：内核整体上作为一个大的过程来实现，运行在单独的地址空间上。所有内核服务都运行在一个大的内核地址空间上，其间的通信开销是微不足道的
2. 微内核：操作系统内核仅包含一个很小的函数集，通常包括几个同步原语、一个简单的调度程序、IPC机制，运行在内核之上的若干系统进程实现内存分配、系统调用处理、设备驱动等OS的核心功能。大部分微内核设计者最终都让系统进程运行于内核空间，例如Windows NT内核，这其实违背了微内核设计的原则

单内核设计的优点是：

1. 设计简单，性能高：所有内核例程运行在单独地址空间上，没有IPC开销。内核例程之间也不会引入上下文切换

微内核设计的优点是：

1. 模块化：微内核迫使程序员使用模块化方式设计，因为任何操作系统组件都是相对独立的程序，必须通过明确定义的接口与其他组件交互
2. 易于移植：与硬件相关的代码可以被封装到微内核中
3. 更加充分的利用内存：暂时不需要的系统进程可以被调出或撤销

Linux是单内核OS，为了达到微内核的优势，内核引入了模块（Module）机制，所谓模块就是一个目标文件，遵循了良好定义的接口，其代码可以在运行时链接到内核（或解除链接）。模块通常包括一组函数，用来实现文件系统、驱动程序等内核上层功能。

是IEEE发布的一套标准，该标准定义了一套API，从而使遵循POSIX的操作系统之间可以方便的进行应用程序的移植。所有类UNIX系统都遵循此标准。Windows NT内核也一定程度上实现了POSIX标准。

The post 操作系统知识集锦 appeared first on 绿色记忆.

要启用类似于Linux的mDNS以及基于.local的本地机器自动发现，可以安装Apple提供的Bonjour Print Services

在重命名网卡名称时，如果遇到“cannot rename this connection”这样的错误，可以按如下方式处理：

set DEVMGR_SHOW_NONPRESENT_DEVICES=1 
devmgmt.msc

rem 在打开的设备管理器中，选择View - Show Hidden Devices
rem 即可显示隐藏设备，这些设备都是垃圾，删除即可

定位到注册表：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders

手工修改即可。

定位到注册表：

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall

根据程序名称搜索子键，删除即可。

定位到注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager，在右侧面板修改BootExecute。

取值

autocheck autochk /k:E /k:N *

定位到注册表：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg

删除不需要的条目。 

rem 把指定目录下，已经标记删除的数据彻底删除
cipher /w:绝对路径

qwinsta /server:192.168.1.15
rwinsta 1 /server:192.168.1.15

sc create "Wlanap" binpath= "c:\Windows\System32\srvany.exe" displayname= "WLAN AccessPoint" depend= Tcpip start= auto 

rem 下面的内容导入注册表
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Wlanap\Parameters]
"application"="D:\\Programs\\Scripts\\startup.bat"

rem 设置网卡：
netsh wlan set hostednetwork mode=allow ssid=ChinaNet-1o09 key=passw0rd
rem 启动服务：
netsh wlan start hostednetwork
rem 关闭服务：
netsh wlan stop  hostednetwork

启动服务后，进入控制面板，设置当前与外网连接的网络为共享，并且设置Home networking connection为Windows自动创建的虚拟无线网卡。

设备无法通过此AP上网的可能原因：

1. DNS不正确，尝试设置设备的DNS
2. 与外网连接的网卡，如果设置多重IP地址，可能导致设备无法上网

1. 打开组策略编辑器：gpedit.msc  ，计算机配置 - 管理模板 - Windows组件 - 远程桌面服务 - 远程桌面会话主机 - 会话时间限制 ，全部改为未配置
2. 开始菜单 - 管理工具 - 远程桌面服务 - 远程桌面会话主机配置，RDP-Tcp右击，会话选项卡，改写用户设置，全部设置为从不，最后一项选择从会话断开

定位到注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion，修改右侧的键值ProductId。

定位到注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\DOS Devices，删除无效的盘符。

1. 运行

   devmgmt.msc

    打开设备管理器，在目标设备上右击 ⇨ 属性 ⇨ 详细信息 ⇨ 驱动程序关键字（Driver key），拷贝此字段的值
2. 打开注册表，定位到HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum，右击 ⇨ 权限，设置所有者（包括子容器）为当前用户，设置当前用户的权限为完全控制
3. 在Enum上执行查找，把第1步拷贝的Driver Key作为查询关键字，定位到需要修改是设备
4. 在右侧面板中执行修改

修改注册表，下面是更改exe的Open图标的例子：

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\exefile\shell\open]
"Icon"="%Windir%\\System32\\Application_Icon.ico,-1"

@echo off
sc config W32Time start= auto
net stop W32Time 

reg add HKLM\SYSTEM\CurrentControlSet\services\W32Time\TimeProviders\NtpServer /v Enabled /t REG_DWORD /d 0x00000001 /f 
reg add HKLM\SYSTEM\CurrentControlSet\services\W32Time\Config /v AnnounceFlags  /t REG_DWORD /d 0x00000005 /f

net start W32Time

rem 防止服务器与Internet时间同步
reg add HKLM\SYSTEM\CurrentControlSet\services\W32Time\TimeProviders\NtpClient /v Enabled /t REG_DWORD /d 0x00000000 /f 

@echo off

sc config W32Time start= auto
net stop W32Time 
reg add HKLM\SYSTEM\CurrentControlSet\services\W32Time\TimeProviders\NtpClient /v Enabled /t REG_DWORD /d 0x00000001 /f 
rem 设置NTP服务器
reg add HKLM\SYSTEM\CurrentControlSet\services\W32Time\TimeProviders\NtpClient /v SpecialPollTimeRemaining /t REG_MULTI_SZ /d 192.168.0.200,0 /f
rem 每2小时同步
reg add HKLM\SYSTEM\CurrentControlSet\services\W32Time\TimeProviders\NtpClient /v SpecialPollInterval /t REG_DWORD /d 0x00001c20 /f

net start W32Time

The post Windows知识集锦 appeared first on 绿色记忆.

/**
 * 获得当前系统日期和时间，以UTC（世界标准时间表示）
 * @param lpSystemTime 用于接收时间，指向SYSTEMTIME结构的指针
 */
void WINAPI GetSystemTime(LPSYSTEMTIME lpSystemTime);

typedef struct _SYSTEMTIME
{
    WORD wYear; //年度，1601-30827
    WORD wMonth; //月份，1-12
    WORD wDayOfWeek; //周几，0-6，0表示周日
    WORD wDay; //几号，1-31
    WORD wHour; //几点，0-23
    WORD wMinute; //几分，0-59
    WORD wSecond; //几秒，0-59
    WORD wMilliseconds; //毫秒数，0-999
} SYSTEMTIME, *PSYSTEMTIME;

/**
 * 获得当前系统的本地时间
 * @param lpSystemTime 用于接收时间，指向SYSTEMTIME结构的指针
 */
void WINAPI GetLocalTime(LPSYSTEMTIME lpSystemTime);

/**
 * 获得当前系统日期和时间，以UTC（世界标准时间表示）
 * @param lpSystemTime 用于接收时间，指向FILETIME 结构的指针
 */
void WINAPI GetSystemTimeAsFileTime( LPFILETIME lpSystemTimeAsFileTime );

/**
 * 64位数字，表示从1601年1月1日（UTC）到目前流逝的100纳秒的数目
 */
typedef struct _FILETIME
{
    DWORD dwLowDateTime;//低32位
    DWORD dwHighDateTime;//高32位
} FILETIME, *PFILETIME;

BOOL FileTimeToSystemTime( const FILETIME *lpFileTime, LPSYSTEMTIME lpSystemTime );
BOOL  SystemTimeToFileTime( const SYSTEMTIME *lpSystemTime,  LPFILETIME lpFileTime );

/**
 * 以UTC时间设置系统日期时间
 * @param lpSystemTime 新的时间，wDayOfWeek被忽略
 * @return 如果设置成功，返回非0值
 */
BOOL WINAPI SetSystemTime( const SYSTEMTIME *lpSystemTime );

DWORD GetLastError(void)

/**
 * 以本地时间设置系统日期时间
 * @param lpSystemTime 新的时间，wDayOfWeek被忽略
 * @return 如果设置成功，返回非0值
 */
BOOL WINAPI SetLocalTime( const SYSTEMTIME *lpSystemTime );

SYSTEMTIME systemtime;
//先清零，非法数据可能导致设置失败
ZeroMemory( &systemtime, sizeof( systemtime ) );
SetLocalTime( &systemtime );

The post 逆向常用Windows API记录 appeared first on 绿色记忆.

cmd /c "ipconfig> F:\ipconfig.txt"

可以通过 command /?来显示命令帮助。按F7可以显示命令历史的弹出窗口，按F8可以搜索以当前输入为前缀的命令历史

setx PATH "C:\Scripts;%PATH%"

where cmd.exe
#输出：C:\Windows\System32\cmd.exe

#在指定的目录下（包括子目录）寻找
where /r baseDir filename

route PRINT
route PRINT -4
route PRINT -6
rem 仅打印157开头的主机的路由信息
route PRINT 157*
rem 如果不提供IF，会尝试寻找最适合指定网关的网卡
route ADD 157.0.0.0 MASK 255.0.0.0  157.55.80.1 METRIC 3 IF 2
route ADD 3ffe::/32 3ffe::1
route CHANGE 157.0.0.0 MASK 255.0.0.0 157.55.80.5 METRIC 2 IF 2
route DELETE 157.0.0.0
route DELETE 3ffe::/32

runas /noprofile /user:mymachine\administrator cmd
runas /profile /env /user:mydomain\admin "mmc %windir%\system32\dsa.msc"
runas /env /user:user@domain.microsoft.com "notepad \"my file.txt\""

rem 査看系统中己配置的所有服务
sc query type= service state= all
rem 査看远程机器中己配置的所有服务
sc ServerName query type= service state= all
rem 一定要注意等于号后面的空格
sc \\192.168.1.100 query type= service state= all

rem 启动某服务
sc start ServiceName
rem 暂停某服务
sc pause ServiceName
rem 恢复暂停的服务
sc continue ServiceName
rem 终止某服务
sc stop ServiceName

rem 配置服务启动方式
sc config ServiceName start= Auto|Demand|Disabled|Delayed-Auto

rem 使用本地系统用户SYSTEM登陆
sc config ServiceName obj= LocalSystem

rem 关闭本地系统
shutdown /s /t ShutdownDelay /l /f
rem 重启本地系统
shutdown /r /t ShutdownDelay /l /f
rem 取消本地计算机的延迟关机
shutdown /a

rem 查看进程使用的模块（DLL）
tasklist /M
rem 显示系统进程与服务的对应关系
tasklist /Svc
rem 显示远程机器上的进程列表
tasklist /s 192.168.1.15 /u admin\pswd

rem 使用Eq/Ne/Gt/Lt/Ge/Le操作符可以对tasklist结果进行过滤
rem 过滤查询条件包括：
rem CPUTime        以hh:mm:ss格式呈现的任意有效值
rem Services       任意有效的字符串
rem ImageName      任意有效的字符串
rem MemUsage       以KB为计数单位的任意有效值
rem Modules        DLL名称
rem PID            任意有效的正整数
rem Session        任意有效的会话编号
rem SessionName    任意有效的字符串
rem Status         运行、无响应、未知
rem Username       任意有效的用户名，只包括用户名，或者以域\用户的格式
rem WindowTitle    任意有效的宁符串

rem 在silverstone上搜索占用CPU时间超过30分钟的进程:
tasklist /s silverstone /fi "Mcputime gt 00:30:00"
rem 在silverstone上搜索占用内存超过20000KB的进程:
tasklist /s silverstone /u admin\pswd /fi "memusage gt 20000"
rem 连续使用/fi可以添加多个过滤器

rem 终止进程ID为208的进程：
taskkill /pid 208
rem 终止镜像名为java.exe的所有进程：
taskkill /im java.exe
rem 终止silverstone上进程ID为208、1346、2048的进程: 
taskkill /s silverstone /pid 208 /pid 1346 /pid 2048 
rem 强制终止PID为1346的进程： 
taskkill  /f /pid 1346
rem 终止进程树，以PID为1248的进程开始，包括所有子进程: 
taskKill /t /pid 1248
rem 终止失去响应的cmd.exe进程
taskkill /im cmd.exe /fi "status eq not responding"

rem 创建计划任务
rem 命令格式（注意空格要双引号处理）：
rem schtasks /create /tn taskName /tr cmd /sc ScheduleType [/mo Modifier]
rem /st startTime(HH:MM) /sd startDate(系统默认日期格式)
rem /et endTime /ed endDate    /Z 完成后删除任务
rem   调度类型   说明
rem   MINUTE    以指定间隔（分钟为单位）执行，默认1分钟，Modifier：/mo 1-1439
rem   HOURLY    以指定间隔（小时为单位）执行，默认1小时，Modifier：/mo 1-23
rem   DAILY     以指定间隔（天为单位）执行，默认每天，Modifier：/mo 1-365
rem   WEEKLY    以指定间隔（周为单位）执行，默认每周一，Modifier：/mo 1-365    
rem   MONTHLY   以指定间隔（月为单位）执行，默认每月第一天，Modifier：/mo 1-12 
rem   ONCE      在指定的时间与日期执行一次
rem   ONEVENT   在指定事件发生时执行 /mo XPathString 事件查询字符串
rem   ONSTART   系统启动时运行
rem   ONLOGON   用户登录时运行
rem   ONIDLE    系统空闲时运行，/i 1-999系统空闲的分钟数
 
rem 创建一个任务，该任务立即运行一次，之后不再运行:
schtasks /create /tn "SysChecks" /tr c:\sch.bat /sc once
rem 创建一个任务，该任务在本地计算机上每隔15分钟运行：
schtasks /create /tn "SysChecks" /tr c:\sch.bat /sc minute /mo 15
 
rem 创建一个任务，该任务在本地计算机上每隔2天运行:
schtasks /create /tn "SysChecks" /tr c:\sch.bat /sc daily /mo 2
rem 创建一个任务，该任务在每隔两个星期的星期一（默认的运行日期）运行:
schtasks /create /tn "SysChecks" /tr c:\sch.bat /sc weekly /mo 2
rem 创建一个任务，该任务在每个星期的周一与周五运行：
schtasks /create /tn "SysChecks" /tr c:\sch.bat /sc weekly /d mon, fri
rem 创達一个任务，该任务在每个月的第1天运行：
schtasks /create /tn "SysChecks" /tr c:\sch.bat /sc monthly
rem 创建一个任务.该任务在每隔一个月的第5天运行：
schtasks /create /tn "SysChecks" /tr c:\sch.bat /sc monthly /mo 2 /d 5
rem 创建一个任务，该任务在每个月的最后一天运行：
schtasks /create /tn "SysChecks" /tr c:\sysch.bat /sc monthly /mo lastday
rem 删除计划任务
schtasks /delete /tn "SysChecks"

注意，命令中ROOTKEY使用简写： HKLM | HKCU | HKCR | HKU | HKCC 

数据类型列表：REG_SZ | REG_MULTI_SZ | REG_EXPAND_SZ |  REG_DWORD | REG_QWORD | REG_BINARY | REG_NONE

rem 显示注册表版本
REG QUERY HKLM\Software\Microsoft\ResKit /v Version
rem 显示远程机器上Setup的所有子键
EG QUERY \\silverstone\HKLM\Software\Microsoft\ResKit\Nt\Setup /s
rem 显示所有子键和值，多行文本使用#作为分隔符
REG QUERY HKLM\Software\Microsoft\ResKit\Nt\Setup /se #
rem 显示精确匹配SYSTEM的键、值、数据
REG QUERY HKLM /f SYSTEM /t REG_SZ /c /e

rem 在silverstone机器上添加Gmem键
REG ADD \\silverstone\HKLM\Software\Gmem
rem 添加一个值，名称为Data，类型为REG_BINARY，值为十六进制fe340ead，强制覆盖已有值
REG ADD HKLM\Software\Gmem /v Data /t REG_BINARY /d fe340ead /f

PsTools是Sysinternals公司推出的一个功能强大的远程管理工具包：

rem 压缩，把hello.txt压缩为hello.rar
rem -mN是可选参数N取值0-5越大压缩比越高
rem -df 可选参数，压缩后删除原文件
winrar a -m5 hello.rar hello.txt
rem 解压，不保留压缩文件中的目录结构
winrar e hello.rar
rem 解压，保留压缩文件中的目录结构
winrar x hello.rar

The post Windows命令知识集锦 appeared first on 绿色记忆.

任何一个目录下均有

.

..

.

..

pushd D:\Programs\chrome

rem 下面两条还是进入当前目录
cd D:\Programs\chrome\.
cd Programs\chrome\.\.\.

rem 进入上级目录
cd D:\Programs\chrome\..
rem 进入上级目录的上级目录
cd D:\Programs\chrome\..\..

rem expression被扩展为算术表达式
SET /A variable=expression
rem 从标准输入读入一行，promptString为读入前显示的文本
SET /P variable=[promptString]

FIND [/V] [/C] [/N] [/I] [/OFF[LINE]] "string" [[drive:][path]filename[ ...]]

ATTRIB [+R|-R] [+A|-A] [+S|-S] [+H|-H] [[drive:] [path] filename] [/S [/D]]

1>nul

2>nul

set BAT_PATH0=%~dp0
set BAT_PATH=%BAT_PATH0:~0,-1%
for %%f in (%BAT_PATH%) do set BAT_FOLDER=%%~nxf
echo %BAT_FOLDER%

rem 将第一个命令的输出作为第二个命令的输入
command1>commana2  
rem 将输出发送到指定的文件，必要的时候需要创建该文件或重写
command>[path]filename
rem 将输出附加到指定的文件（如果该文件存在），或者创建该文件并向其写入
command>>[path]filename
rem 从指定的文件中获取命令的输入，之后将命令的输出发送到指定的文件
command<[path] filename >[path]filename
rem 从指定的文件中获取命令的输入，之后将命令的输出附加到指定的文件
command<[path]filename>>[path]fllename
rem 创建指定的文件，之后将错误输出发送到该文件。如果该文件存在，则其内容会被重写
command 2> [path]filename
rem 将错误输出信总发送到标准输出
command 2>&1
rem 将标准错误丢弃，不显示
command 2> nul
rem 从指定的文件路径中提取命令的输入信息
command<[path]filename

setlocal命令可在批处理程序运行时设置自身的临时变量环境（仅对当前批处理程序有效），直到出现endlocal

#同时启用变量延迟扩展
setlocal enabledelayedexpansion

set命令用于创建、设置或者删除环境变量，命令格式：

set [[/a [expression]] [/p [variable=]] string]

参数说明：

1. /a

   ：将string设置成可求值的数学表达式，expression:合法的表达式，表达式支持的运算符按优先级降序如下：
   

   运算符	说明
   ()	分组
   ! ~ -	一元运算符
   * / % + -	算术运算符
   << >>	移位
   & ^ |	按位与非或
   =   *=   /=   %=   +=   -= &=   ^=   |=   <<=   >>=	赋值
   ,	表达式分隔符

2. /p

   ：将variable的值设置成输入行，variable:指定需要设置或修改的变量

3. string

   ：指定要与指定变量关联的字符串

举例：

REM 设置VAR1为Hello
SET VAR1=Hello
REM 提示用户输入
SET /P variable=请输入值
REM 设置变量为表达式的值，下面为VAR1递增
SET /a VAR1=VAR1+1
REM 设置VAR1为"Hello"
SET  VAR1="Hello"
REM 如果变量值包含命令关键字，可以使用双引号包围：
SET "VAR1=&"
REM 删除变量
SET VAR1=

注意对环境变量进行条件测试的时候，不能带%%。

REM 文件存在性测试（注意，不能用来测试环境变量）
IF [NOT] EXIST FILENAME.EXT Command
if not exist SERVICE_NAME  set "SERVICE_NAME=%SERVICE_NAME_DEFAULT%"
REM 如果有多行命令需要执行，可以用()包围：
set /p VENDER_NAME=
IF NOT Gmem=VENDER_NAME (
    echo.
)
REM 变量是否为空测试
IF DEFINED VAR_NAME (...)
REM 字符串为空测试，这个用于stdin读入变量无效
IF [%1] == [] ECHO "Empty argument."
REM 字符串相等性测试，加上双引号避免歧义
IF "%VAR_NAME%" == "1" ECHO .
REM 注意，如果VAR_NAME来自标准输入，或者可能为空，要加上双引号，否则可能出现
REM was unexpected at this time（此时不应有）错误
REM 如果字符串可能有空格，可以使用双引号，例如 "AUTOEXE .BAT"，"%1"（第一个参数）
IF [NOT] %1 == AUTOEXEC.BAT ECHO Parameter is AUTOEXEC.BAT
REM 上一条命令返回值测试
REM 其中值为整数，只要大于等于该值，判断为真。0表示没有错误
IF [NOT] ERRORLEVEL 值 Command
REM 比较字符串大小：op可以是：EQU、NEQ、LSS、LSQ、GTR、GEQ之一，/i表示忽略大小写
if [/i] stringl op string2 command [else expression]
REM 如果变量被定义，则执行
if defined variable command [else expression]

REM IF-ELSE结构
IF EXIST filename ( 
    del filename
) ELSE ( 
    echo filename missing
)

GOTO LABEL

:LABEL
ECHO done

1. %variable|%%variable：代表可替换的参教：
   使用%variable通过命令提示符执行for 命令，使用%%variable在批处理文件执行for命令
2. set:指定要用命令处理的一个或多个文件、目录、数值范围或文本字符串
3.  command:指定要对包括在指定(set)中的每个文件、目录、数值范围或文本字符 串所执行的命令
4. CommandLineOptions:命令使用的命令行选项

@echo off
set /a sum=0
REM 遍历当前目录中的文本文件并打印其内容，多行命令需要用()包围
for %%x in (*. txt) do (
    echo Printing content of file %%x
    type %%x
    echo.
set /a sum=sum+1
REM 从0开始，步进2，到10结束
for /L %%B in (0 2, 10) do echo %%B

REM 下面的语句首先会运行date /t命令，其输出为类似：“2001/01/01 周一”这样的形式
REM /F 表示以字符串方式处理命令输出、字符串或者文件内容
REM tokens用于定义for命令的变量个数，1-3表示第1、2、3个字符串并解析为变量
REM delims表示用于拆分字符串的分隔符，包括/、-
REM set表示把拆分的字符串依次赋值给%%A %%B %%C三个变量（后面的变量名在前面的ASCII码加1）
REM delims可以指定多个字符用于分隔
for /F "tokens=l-3 delims=/-" %%A in ('date /T') do set date=%%A%%B%%C

rem 提取NT Service的PID的例子，注意sc queryex命令输出多行
rem 下面的for命令以行为单位进行处理，并提取第一列、第三列
rem skip可以用于跳过指定数量的行
for /F "tokens=1,3 skip=3" %%a in ('sc queryex Tomcat7') do (
    echo %%a %%b
)
rem usebackq允许在源指定符中使用引号；eol指定行尾结束字符，之后的内容被忽视
for /f "tokens=3-5 usebackq eol=#" %%C in ("user data.txt") do  echo %%C
rem 命令输出如下：
rem SERVICE_NAME:
rem TYPE 110
rem STATE 4
rem (STOPPABLE, ACCEPTS_SHUTDOWN)
rem WIN32_EXIT_CODE 0
rem SERVICE_EXIT_CODE 0
rem CHECKPOINT 0x0
rem WAIT_HINT 0x0
rem PID 5812
rem FLAGS

REM tokens更复杂的例子
REM tokens=x 表示只提取第x列。
REM tokens=x,y 表示只提取第x列和第y列。
REM tokens=m-n 表示提取第m列至第n列。
REM tokens=x* 表示提取第x列和后面所有字符串都作为第x+1列。
REM tokens=x,* 等同tokens=x*
REM tokens=x,y,m-n 表示提取第x，y列以及第m至第n列。

@echo off
REM 这样才能将循环变量%%a赋值给环境变量
setlocal enabledelayedexpansion

title fuckbat

REM 遍历命令结果的2、10列
for /f "delims=, tokens=2,10" %%a in ('tasklist /NH /V /FI "IMAGENAME eq cmd.exe" /FO CSV') do (
REM  将循环变量赋值
    set task_title=title%%b
    set pid=%%a
REM 脱去外部的双引号，用!!的界定符访问变量pid， pid:"= 表示将pid中的"替换为空
    set pid=!pid:"=!
    
REM 如果将标题中的fuckbat替换为空后得到的值与之前不等，说明标题中有fuckbat，说明当前迭代的时当前进程
    if not "!task_title!"=="!task_title:fuckbat=!" (
        echo !pid! > pid.txt
    )
)
endlocal

语法格式：%a:搜索字符串=替换字符串%，举例：

set domain=www.gmem. cc
REM 替换空格为空串，结果：www.gmem.cc
set var=%domain: =%

语法格式：%a:~[m[,n]]%
a为变量名，m为偏移量（缺省为0），n为截取长度（缺省为全部）

考虑下面的例子：

@echo off 
set a=1 
set a=2 & echo %a%
REM 输出为1

REM 启用变量延迟
setlocal enabledelayedexpansion 
set a=1 
set a=2 & echo !a!
REM 输出为2

上半部分输出不是2的原因：

1. 批处理读取命令时是按行读取的（另外例如for命令等，其后用一对圆括号闭合的所有语句也当作一行）
2. 为了能够感知环境变量的动态变化，批处理设计了变量延迟——在读取了一条完整的语句之后，不立即对该行的变量赋值，而会在某个单条语句执行之前再进行赋值

@echo off
Setlocal EnableDelayedExpansion
set "VAR=<"
rem 输出：<
echo !VAR!
set "VAR1=value"
echo %VAR1%

java -jar .jar

创建VB脚本并调用：

createobject("wscript.shell").run "batch.bat arg1 arg2..." , 0

The post MS-DOS批处理学习笔记 appeared first on 绿色记忆.