Jak określić, który proces ustawił wysoką rozdzielczość timera w systemie Windows

Question

Mój system cierpi z powodu wysokiej rozdzielczości zegara (NtQueryTimerResolution zwraca 0,5 ms).

Maximum timer interval: 15.600 ms 
Minimum timer interval: 0.500 ms 
Current timer interval: 0.500 ms 

Niektóre proces musi być wywołanie NtSetTimerResolution o wartości 5000 (0,5ms), ale w jaki sposób można ustalić, który z nich? Widziałem, że Intel ma narzędzie o nazwie Battery Life Analyzer, które pokazuje bieżącą rozdzielczość zegara na proces, ale to narzędzie jest dostępne tylko dla partnerów firmy Intel. Czy istnieje inne narzędzie lub sposób, aby zobaczyć to przez WinDbg? Uwaga: Wydaje się, że dzieje się to przy starcie systemu, ponieważ ustawienie punktu przerwania nie działa (rozdzielczość jest już wysoka po uruchomieniu debuggera).

Answer 1

Jedynym sposobem, jaki znam i dotychczas wykorzystałem, jest wstrzykiwanie do każdego z uruchomionych procesów i wewnątrz tego procesu wywoływanie timeEndPeriod dla każdej zwiększonej rozdzielczości (wartości 1-15) w pętli przez te rozdzielczości i sprawdzanie, czy wywołanie timeEndPeriod dla bieżąca rozdzielczość zwraca TIMERR_NOCANDO lub TIMERR_NOERROR (uwaga: te zwracane wartości NIE są odpowiednio fałszywe i prawdziwe). A jeśli zwróci TIMERR_NOERROR, to dojdzie do wniosku, że program używa tej częstotliwości, a następnie ponownie wywołuje timeBeginPeriod, aby przywrócić pierwotną rozdzielczość wymaganą przez program.

Niestety, ta metoda nie wykrywa czasów timera 0,5 ms, które można ustawić za pomocą nieudokumentowanej funkcji NtSetTimerResolution.

Jeśli chcesz stale monitorować nowe rezolucje zegara, wówczas połączenia z nieudokumentowaną funkcją NtSetTimerResolution w pliku ntdll.dll są aktualnie używane (sygnaturę funkcji można pobrać na przykład z here).

Niestety, zahaczanie nie pozwala wykryć rozdzielczości zegara, które były wymagane przed zainstalowaniem haka, więc musisz połączyć je z powyższą sztuczką timeEndPeriod i zwróć także uwagę, że rozdzielczość 0,5 ms wymaga, aby przed zahaczeniem pozostała niewykryta.

Zgadzam się, ta metoda wydaje się uciążliwa. Co więcej, jest nieco inwazyjne, ponieważ modyfikuje stan procesu, a także zakłada, że ​​jesteś w stanie wstrzykiwać do wszystkich procesów.

Jeśli ktoś ma lepsze metody, byłbym zainteresowany ich również.

Answer 2

Zauważyłem, że Windows 7 śledzi rozdzielczość zegara na proces w strukturze jądra _EPROCESS.

Z debugowanie włączone (boot z /debug) możliwe jest przeglądanie listy ExpTimerResolutionListHead z WinDbg (run windbg -kl) i wydobyć informacje timera takiego:

lkd> !list "-e -x \"dt nt!_EPROCESS @$extret-@@(#FIELD_OFFSET(nt!_EPROCESS,TimerResolutionLink)) ImageFileName UniqueProcessId SmallestTimerResolution RequestedTimerResolution\" nt!ExpTimerResolutionListHead"

W moim przypadku jednak identyfikator procesu było NULL (prawdopodobnie dlatego, że sterownik wysłał żądanie) i nadal nie mogłem ustalić, który to sterownik.