17. Reducer.exe （Reduce Trace Data)

这个东西是一个命令行的事件追踪工具，可以用来处理Tracelog（后面会提到这个工具）产生的记录，形成每个线程，每个进程的工作量记录。

实际上呢，Reducer就是一个用来进一步分析工具，比如TraceDump（后面提到）可以允许你对一个追踪日志进行摘要，而Reducer则允许你进行拆分获得更多的细节，诸如：

事务统计表：响应时间，每秒的事务数，每个事务的磁盘读写，每个事务的网络流量，CPU的使用（包括核心和用户空间）。

映象统计表：事务有关的每个进程，每个进程相关的线程，每个进程的CPU使用（包括kernel和user)，每个进程的磁盘读写，每个进程的网络流量。

磁盘信息：总的磁盘读写，每个进程的磁盘读写。

OK，接下来介绍一下语法。

语法非常简单：

reducer -out filename -h│-help│-?

-out filename
输出的文件的名字，默认是Workload.txt

举例：这里我已经事先使用Tracelog生成了一个logfile.etl，然后，
reducer -out my_workload.txt c:\logfile.etl就行了。

+------------------------------------------------------------------------------+
│ WINDOWS 2000 Capacity Planning Trace
│
│ Version : 2128
│
│ Type : Default
│
+------------------------------------------------------------------------------+
│
│
│ Build : 2195
│
│ Processors: 1
│
│ Start Time: 17 Feb 2002 23:14:17.430
│______________________________________________________________________│ │
│ End Time : 17 Feb 2002 23:14:38.550
│
│ Duration : 21 Sec
│
│
│
│ Trace Name: NT Kernel Logger
│
│ File Name : C:\LogFile.Etl
│
│ Start Time: 17 Feb 2002 23:14:17.430
│______________________________________________________________________│ │
│ End Time : 17 Feb 2002 23:14:38.550
│
│ Duration : 21 Sec
│
│
│

│ Transaction Statistics
│
+----------------------------------------------------------+
│ Transaction Sort Trans Response Transaction Disk/Trans Tcp/Trans │
│ Key Time(ms) Rate/sec Reads Writes Sends Recieves │
+-------------------------------------------------------------+

样式大概会是这样的。

18. Regback.exe （Registry Backup)

一个注册表备份用工具，允许你在系统运行期间对注册表进行备份。我想当你需要测试一个软件时，最好先备份一下注册表。在使用这个程序时，至少需要备份文件和文件夹的权限。Regback.exe在运行的时侯需要调用Replacekey函数。

语法：

regback destination_dir filename hivetype hivename more│/?

destination_dir
备份文件的位置

filename
要创立的文件

hivetype
machine或者是users

hivename
HKLM或者HKLU

这里提几点注意：

Regback可以备份整个注册表hive（你可以理解为一个file，比如HKEY_USERS\Default在硬盘上实际上就是%SYSTEMROOT%\SYSTEM32\CONFIG\DEFAULT\DEFAULT.LOG）还包括了ACLs(Access control lists)，所以你也可以用这个东东发现和以前不同的ACLs。 Regback不能自动备份Config文件夹以外的文件，你要手动进行，这是为了避免名字冲突。如果当前注册表并没有打开的hive需要自己用Xcopy.exe或者是Scopy.exe拷贝。另外，没有装入的Hive也要自己弄。如果出错的话，Regback会在第一次的时候就停止工作。它也不能覆盖存在的文件，会报错。还有如果空间不合适的话，备份就不能进行，所以最好先备份到硬盘上，然后再拷贝到磁盘上保存。

举两个例子吧！

备份全部活动的Hives

C:\>regback c:\backup
saving SECURITY to c:\backup\SECURITY
saving SOFTWARE to c:\backup\software
saving SYSTEM to c:\backup\system
saving .DEFAULT to c:\backup\default
saving SAM to c:\backup\SAM

***Hive = ''\REGISTRY\USER''\''S-1-5-21-1177238915-1383384898-1957994488-500''
Stored in file ''\Device\HarddiskVolume1\Documents and Settings\Administrator''\''N
TUSER.DAT''
Must be backed up manually
regback users S-1-5-21-1177238915-1383384898-1957994488-50
0
***Hive = ''\REGISTRY\USER''\''S-1-5-21-1177238915-1383384898-1957994488-500_Classe
s''
Stored in file ''\Device\HarddiskVolume1\Documents and Settings\Administrator\Loc
al Settings\Application Data\Microsoft\Windows''\''UsrClass.dat''
Must be backed up manually
regback users S-1-5-21-1177238915-1383384898-1957994488-50
0_Classes

你看，连SAM都可以备份，对于破解SAM，也是有非常大的用处的。

下面是备份指定的User的Profile
C:\>regback c:\backup\administrator.bku users s-1-5-21-1177238915-1383384898-195
7994488-500
saving s-1-5-21-1177238915-1383384898-1957994488-500 to c:\backup\administrator.
bku

这里用的是SID比较特别，只是用起来太麻烦了，输那么多数字！

最后是做一个网络备份，也是一个批量脚本。

注意使用Schedule服务一起搭配。前面提到过regback不能覆盖文件，一旦有重名的文件将会导致错误的发生 。

echo on
rem ... Name: doback.bat
rem ... Purpose: Network backup for Registry files
rem ... Process: Connect to backup share, delete old backup files, copy over new backup files
rem ... Before using this batch file, create a share containing the following

directories: backup, config. Set permissions on this share so that appropriate users

can run this script.

net use \\myshare\backup

rem --> delete old backups; regback will not copy over an existing file
echo y│del

24. Sc.exe （Service Controller Tool）

干好一年以前就写过这个东西介绍了。大家再看一遍吧！:s

我们知道在MStools SDK，也就是在Resource Kit有一个很少有人知道的命令行软件，SC.exe，这个软件向所有的Windows NT和Windows 2000要求控制他们的API函数。我们可以在命令行里通过对这些函数设定参数的方式来设定他们(API)。SC.exe也可以显示服务的状态，同时也可以从状态结构区域里重新找到存储在里面的数值。它还可以列出远程计算机的服务函数或者是服务状况结构。SC.exe这个开发工具至少可以比服务控制面板程序和网络命令行界面(net.exe，这个东西可以告诉你一个服务是在运行中，还是停止，还是暂停。）这两个东西提供更多的细节和准确的信息。虽然上述两个东西在正常工作的情况下，对于完整的调试是非常好用的，但是如果有新的服务，或者新的代码被开发出来的时候，这两个工具提供的信息可能造成误导。这也就是我们需要用到SC的原因。

下面举列说明，如果在开发阶段，你的服务在挂住在一个start-pending的时候，控制面板和net.exe同样报告服务是在运行的。但它挂在一个stop-pending的时候，net.exe报告它运行，而控制面板着报告它停止，如果你试着 启动它，这是控制面板则会告诉你这个服务正在运行。难道这不是很困惑吗！

SC.exe可以让你询问服务的状况和取出存储在状态结构区域内的数值，控制面板和net.exe不提供服务完整的状况 。但是无论如何，SC程序可以告诉你这个服务准确的情形，同样也可以给你看最后的checkpoint数和等待提示。

这个checkpoint，我叫它检查点(我觉得他就像一个程序调试时置的断点)，所以我们也可以把看作为一个调试工具，因为它可以提供一个关于在程序停止时还要沿着初始化继续前进多久准确报告。

SC.exe也可以允许你调用很多的服务控制API函数，可以让你从命令行里改变大量的参数。这位服务开发者们提供了很多的优势。例如，它提供了一个方便的方式来创建或者在注册表和服务控制管理数据库中配置服务信息。开发者们不需要在手动的在注册表里单独的设置键值来配置服务，也不用重起机器来强迫服务控制管理数据库升级 。

作为一个命令很工具，SC.exe可以用来测试你自己的系统，你可以设置一个批处理文件来使用不同的参数调用SC.exe来控制服务。这个很有用，如果你想看看你的服务不断的启动和停止，我没有试过哦！让一个服务一下子打开，一下子关闭，听上去很不错的。如果你的服务进程里面有多个进程的话，你可以保持一个进程继续运行不让它走开，然后让另一个不断的打开在关闭，还可以寻找一下内存缺乏导致不完全清楚的证据。

下面介绍SC，SC QC，and SC QUERY

SC使用这样的语法：

1. SC [Servername] command Servicename [Optionname= Optionvalue]

2. SC [command]

这里使用第一种语法使用SC，使用第二种语法显示帮助。

下面介绍各种参数。

Servername
可选择：可以使用双斜线，如\\myserver，也可以是\\192.168.0.1来操作远程计算机。如果在本地计算机上操作就不用添加任何参数。

Command
下面列出SC可以使用的命令。

config 改变一个服务的配置。（长久的）

continue 对一个服务送出一个继续控制的要求。

control 对一个服务送出一个控制。

create 创建一个服务。（增加到注册表中）

delete 删除一个服务。（从注册表中删除）

EnumDepend 列举服务的从属关系。

GetDisplayName 获得一个服务的显示名称。

GetKeyName 获得一个服务的服务键名。

interrogate 对一个服务送出一个询问控制要求。

pause 对一个服务送出一个暂停控制要求。

qc 询问一个服务的配置。

query 询问一个服务的状态，也可以列举服务的状态类型。

start 启动一个服务。

stop 对一个服务送出一个停止的要求。

Servicename

在注册表中为service key制定的名称。注意这个名称是不同于显示名称的（这个名称可以用net start和服务控制面板看到），而SC是使用服务键名来鉴别服务的。

Optionname

这个optionname和optionvalue参数允许你指定操作命令参数的名称和数值。注意，这一点很重要在操作名称和等号之间是没有空格的。一开始我不知道，结果………………，比如，start= optionvalue，这个很重要。
optionvalue可以是0，1，或者是更多的操作参数名称和数值对。

如果你想要看每个命令的可以用的optionvalue，你可以使用sc command这样的格式。这会为你提供详细的帮助。

Optionvalue

为optionname的参数的名称指定它的数值。有效数值范围常常限制于哪一个参数的optionname。如果要列表请用sc command来询问每个命令。

Comments

很多的命令需要管理员权限，所以我想说，在你操作这些东西的时候最好是管理员！

当你键入SC而不带任何参数时，SC.exe会显示帮助信息和可用的命令。当你键入SC紧跟着命令名称时，你可以得到一个有关这个命令的详细列表。比如，键入sc create可以得到和create有关的列表。

但是除了一个命令，sc query，这会导出该系统中当前正在运行的所有服务和驱动程序的状态。

当你使用start命令时，你可以传递一些参数（arguments）给服务的主函数，但是不是给服务进程的主函数。
SC create
这个命令可以在注册表和服务控制管理数据库建立一个入口。

语法1
sc [servername] create Servicename [Optionname= Optionvalue]

这里的servername，servicename，optionname，optionvalue和上面的一样，这里就不多说了。这里我们

详细说明一下optionname和optionvalue。

Optionname Optionvalue
描述type= own, share, interact, kernel, filesys
关于建立服务的类型，选项值包括驱动程序使用的类型，默认是share。

start= boot, system, auto, demand, disabled
关于启动服务的类型，选项值包括驱动程序使用的类型，默认是demand（手动）。

error= normal, severe, critical, ignore
当服务在导入失败错误的严重性，默认是normal。

binPath= (string)
服务二进制文件的路径名，这里没有默认值，这个字符串是必须设置的。

group= (string)
这个服务属于的组，这个组的列表保存在注册表中的ServiceGroupOrder下。默认是nothing。

tag= (string)
如果这个字符串被设置为yes，sc可以从CreateService call中得到一个tagId。然而，SC并不显示这个标签，所以使用这个没有多少意义。默认是nothing

depend= (space separated string)有空格的字符串。
在这个服务启动前必须启动的服务的名称或者是组。

obj= (string)
账号运行使用的名称，也可以说是登陆身份。默认是localsystem

Displayname= (string)
一个为在用户界面程序中鉴别各个服务使用的字符串。

文章转载地址：http://www.cnpaf.net/Class/hack/05121820345094329993.htm