Compartir a través de

Depuración de CSRSS

  • Artículo

El servidor cliente Run-Time Subsistema (CSRSS) es el proceso en modo de usuario que controla la capa subyacente para el entorno de Windows.

Nota

A partir de Windows 10, CSRSS es un proceso protegido y solo se puede depurar en modo kernel.

Para obtener información general sobre procesos protegidos, así como detalles adicionales en Windows protegidos, código crítico como wininit y csrss, consulta Windows Internals by Pavel Yosifovich, Mark E. Russinovich, David A. Solomon y Alex Ionescu.

Visualización de la información del proceso de CSRSS

Para examinar CSRSS, hay información disponible mediante la depuración del kernel.

Use la extensión !process para mostrar información sobre los procesos asociados a csrss.exe.

0: kd> !process 0 0 csrss.exe
PROCESS ffffe381a583b080
    SessionId: 0  Cid: 027c    Peb: e0c93ef000  ParentCid: 0270
    DirBase: 115478000  ObjectTable: ffffaa87786b67c0  HandleCount: 722.
    Image: csrss.exe

PROCESS ffffe381a68ab140
    SessionId: 1  Cid: 02f4    Peb: 186a447000  ParentCid: 02dc
    DirBase: 143c0e000  ObjectTable: ffffaa87786b5200  HandleCount: 445.
    Image: csrss.exe

Tome cualquiera de los procesos asociados y establezca el contexto en esa ubicación mediante el comando .process (Establecer contexto de proceso).

0: kd> .process /r /p ffffe381a583b080
Implicit process is now ffffe381`a583b080
Loading User Symbols

Ahora, use el comando dt (Tipo de presentación) para mostrar la estructura del proceso directamente:

0: kd> dt csrss!_csr_process
   +0x000 ClientId         : _CLIENT_ID
   +0x010 ListLink         : _LIST_ENTRY
   +0x020 ThreadList       : _LIST_ENTRY
   +0x030 NtSession        : Ptr64 _CSR_NT_SESSION
   +0x038 ClientPort       : Ptr64 Void
   +0x040 ClientViewBase   : Ptr64 Char
   +0x048 ClientViewBounds : Ptr64 Char
   +0x050 ProcessHandle    : Ptr64 Void
   +0x058 SequenceNumber   : Uint4B
   +0x05c Flags            : Uint4B
   +0x060 DebugFlags       : Uint4B
   +0x064 ReferenceCount   : Int4B
   +0x068 ProcessGroupId   : Uint4B
   +0x06c ProcessGroupSequence : Uint4B
   +0x070 LastMessageSequence : Uint4B
   +0x074 NumOutstandingMessages : Uint4B
   +0x078 ShutdownLevel    : Uint4B
   +0x07c ShutdownFlags    : Uint4B
   +0x080 Luid             : _LUID
   +0x088 ServerDllPerProcessData : [1] Ptr64 Void

La extensión !peb se puede usar para mostrar información adicional sobre el bloque de entorno de proceso (PEB).