요즘 Microsoft 에서 더이상 지원하지 않는 제품이 많아지면서 이부분에 대한 관심이 많아지고 있습니다.

Microsoft의 기본 지원 방식은 다음과 같습니다.

제품 출시 후 5년간, 일반지원, 그후 5년간 연장 지원을 하면, 출시후 10년이 지나면 더이상 지원하지 않습니다.
그리고 지원유형별 가능 내용은 아래와 같습니다.

제공되는 지원	일반 지원	연장 지원
유료 문제 해결 지원 (문제(incident) 단위, 시간 단위, 기타)	X	X
보안 업데이트 지원	X	X
보안과는 관련 없는 핫픽스 지원	X	일반 지원 기간이 끝난 후 90일 이내에 추가 비용을 지불하여 연장 핫픽스 지원 계약 체결이 요구됨
무료 문제 해결 지원	X
일반 지원(Warranty) 주장	X
디자인 변경과 새 기능 요청	X
온라인 기술 자료(KB)에서 이용 가능한 제품 상세 정보	X	X
기술 질문에 대한 답변을 위한 Microsoft 고객 지원 사이트에서 이용 가능한 제품 상세 정보	X	X

제품별 지원 만료일은 아래 문서에서 확인할 수 있습니다.
http://support.microsoft.com/gp/lifeselectindex/ko#W

 

많은 분들이 메모리 분석을 시도 하고 있습니다.

 

하지만 어디서부터 시작해야할지 막막할때가 많죠

제가 생각하기에 가장 먼저 해야할일은 스택의 구조를 파악하는 일을 해야한다 생각합니다.

컴퓨터를 하시는 분들은 메모리가 스택구조로 되어 있다고 알고 있으실 겁니다.

선입후출 이라는 것이죠

 

그럼 다음 내용을 보고 어떤 내용인지 알수 있을까요?

42 01001360 8bff mov edi,edi

    42 01001362 55 push ebp

    42 01001363 8bec mov ebp,esp

    42 01001365 83ec14 sub esp,14h

    43 01001368 c745ec03000000 mov dword ptr [ebp-14h],3

    44 0100136f c745f401000000 mov dword ptr [ebp-0Ch],1

    44 01001376 c745f802000000 mov dword ptr [ebp-8],2

    44 0100137d c745fc03000000 mov dword ptr [ebp-4],3

    45 01001384 c745f000000000 mov dword ptr [ebp-10h],0

    47 0100138b 8d45f0 lea eax,[ebp-10h]

    47 0100138e 50 push eax

    47 0100138f 8b4dec mov ecx,dword ptr [ebp-14h]

    47 01001392 51 push ecx

    47 01001393 8d55f4 lea edx,[ebp-0Ch]

    47 01001396 52 push edx

    47 01001397 e824000000 call 05stackdesc!Sum (010013c0)

    48 0100139c 8b45f0 mov eax,dword ptr [ebp-10h]

    48 0100139f 50 push eax

    48 010013a0 6874110001 push offset 05stackdesc!`string' (01001174)

    48 010013a5 ff1584100001 call dword ptr [05stackdesc!_imp__wprintf (01001084)]

    48 010013ab 83c408 add esp,8

     49 010013ae 8be5 mov esp,ebp

    49 010013b0 5d pop ebp

    49 010013b1 c3 ret
자 선입후출의 의미로만 알수 있을까요?

이 의미만으로는 아무것도 알수가 없지요..

 

정확히 메모리의 구조를 이해하기 위해서는 스레드들이 어떻게 처리되는지 더 자세히 확인해볼 필요가 있습니다.

 

그럼 위 구조 내용을 통해, 확인해 보도록하겠습니다.

 

스택은 아래와 같이 구분할 수 있습니다.

함수 도입부

함수 코드

함수 종결부

 

그러다면 함수 도입부를 확인해 보도록 하겠습니다.

42 01001360 8bff mov edi,edi

    42 01001362 55 push ebp

    42 01001363 8bec mov ebp,esp

    42 01001365 83ec14 sub esp,14h

    43 01001368 c745ec03000000 mov dword ptr [ebp-14h],3

    44 0100136f c745f401000000 mov dword ptr [ebp-0Ch],1

    44 01001376 c745f802000000 mov dword ptr [ebp-8],2

    44 0100137d c745fc03000000 mov dword ptr [ebp-4],3

    45 01001384 c745f000000000 mov dword ptr [ebp-10h],0

    47 0100138b 8d45f0 lea eax,[ebp-10h]

    47 0100138e 50 push eax

    47 0100138f 8b4dec mov ecx,dword ptr [ebp-14h]

    47 01001392 51 push ecx

    47 01001393 8d55f4 lea edx,[ebp-0Ch]

    47 01001396 52 push edx

양이 많죠? 위 부분이 함수 도입부 인데, 함수를 저장할 공간을 할당하고, 기존 포인터 위치를 기억하는 게 주된 목적 입니다.

위 부분에서 ebp에 대해 알아 보도록 합시다.

ebp는 알아두어야 할 내용이 항상 주어진 프레임의 베이스 포인터(Base Pointer)를 포함한다고 생각하시면 됩니다.

그럼 아래내용은 무엇을 뜻하는 것일까요?

42 01001362 55 push ebp

    42 01001363 8bec mov ebp,esp

Push 명령을 통해 ebp를 집어넣으라는 명령으로, Stack에 자료를 집어넣을 때 사용하는 것입니다.

쉽게 말해 ebp를 집어넣으라는 뜻이지요

그래서 mov 명령으로 esp 값(Stack Pointer)을 ebp에 저장하라는 명령이 나오게됩니다.

esp는 현재 스택 포인터 값으로, 이 포인터 위치는 항상 변하게 되므로, 항상 호출 이전의 원래 상태로 복귀됨을 보장하여야하는 메모리 구조상 esp의 복귀 주소를 사용할수 없기 때문에 ebp를 통해 복귀할 수 있는 주소를 저장하게 됩니다. (이 행동의 거희 모든 스택의 기본 동작으로 들어가 있습니다.)

mov edi,edi는 긴급 패치를 위해 사용하는데 대부분 nop(no operation)으로 상태가 됩니다. 가용성 측면으로 비사용시간을 줄이기위해 필수적으로 사용하게 됩니다. 이는 나중에 jmp 코드를 이용하기 위해 넣어 둔것이라고 생각하시면 됩니다.

 

자 그럼 도입부분으로 프레임의 베이스 포인터 위치를 ebp에 저장하여 프레임 복귀위치를 저장하였습니다.

이제 다음 스택을 보도록 하겠습니다.

    42 01001365 83ec14 sub esp,14h

    43 01001368 c745ec03000000 mov dword ptr [ebp-14h],3

    44 0100136f c745f401000000 mov dword ptr [ebp-0Ch],1

    44 01001376 c745f802000000 mov dword ptr [ebp-8],2

    44 0100137d c745fc03000000 mov dword ptr [ebp-4],3

    45 01001384 c745f000000000 mov dword ptr [ebp-10h],0

esp, 14h가 의미하는건 14h를 10진수로 변환해 보면, 20바이트가 되며, sub는 빼는것으로, 20바이트 만큼 공간을 생성하도록 되어 있습니다.

왜 이렇게 공간을 생성하는게 빼기를 하였을까요?

메모리의 저장 위치를 잘 보시면 저장 위치의 값이 감소하도록 되어 있습니다.

즉 밑으로 갈수록 값이 감소하고 있는것이지요

그래서 아래 공간은 빼기를 통해 확보하게 됩니다.

그렇게 확보한 공간에 ebp(베이스 포인터)의 위치 값을 이용하여 (베이스 포인터는 절대 위치 값처럼 그 프레임 내에서는 변화하지 않기 때문에 변수 저장과 같은 절대 위치가 필요한 값 저장에 사용하게 됩니다.)스택기반 지역 변수를 초기화 하게 됩니다.

그 내용이

    43 01001368 c745ec03000000 mov dword ptr [ebp-14h],3

    44 0100136f c745f401000000 mov dword ptr [ebp-0Ch],1

    44 01001376 c745f802000000 mov dword ptr [ebp-8],2

    44 0100137d c745fc03000000 mov dword ptr [ebp-4],3

    45 01001384 c745f000000000 mov dword ptr [ebp-10h],0

위 부분이 되겠습니다.

그리고 포인터 전달 명령인 lea를 통해 인자를 스택에 저장 합니다.

42 01001360 8bff mov edi,edi

    42 01001362 55 push ebp

    42 01001363 8bec mov ebp,esp

    42 01001365 83ec14 sub esp,14h

    43 01001368 c745ec03000000 mov dword ptr [ebp-14h],3

    44 0100136f c745f401000000 mov dword ptr [ebp-0Ch],1

    44 01001376 c745f802000000 mov dword ptr [ebp-8],2

    44 0100137d c745fc03000000 mov dword ptr [ebp-4],3

    45 01001384 c745f000000000 mov dword ptr [ebp-10h],0

    47 0100138b 8d45f0 lea eax,[ebp-10h]

    47 0100138e 50 push eax

    47 0100138f 8b4dec mov ecx,dword ptr [ebp-14h]

    47 01001392 51 push ecx

    47 01001393 8d55f4 lea edx,[ebp-0Ch]

    47 01001396 52 push edx

이렇게 지역 변수를 다 저장하고 나면, Call 명령을 통해 해당 변수를 사용하게 됩니다.

그리고 수행을 마치고 마지막에 esp에 처음 저장한 ebp를 대입하여, 복귀하고, 해당 프레임을 빠져 나오게 됩니다.

49 010013ae 8be5 mov esp,ebp

    49 010013b0 5d pop ebp

    49 010013b1 c3 ret

이렇게 하나하나의 프레임의 복귀 주소를 저장하고 변수를 저장후 Call을 통해 해당 명령을 수행하는 구조가 메모리의 기본 구조가 되겠습니다.

^^;

아직 알아야하는부분은 더 많지만 오늘은 스택의 기본 구조 1은 이 정도로 마무리 하도록 하겠습니다.

 

요즘 시스템들은 대부분 Physical Address Extension(PAE)가 활성화 되어 있습니다.

PAE는 실제 주소 확장이라는 32bit의 메모리 한계 4GB를 넘기 위한 하나의 기술로써 초기 대용량 메모리를 요구하는 MSSQL, Exchange 와 같은 주요 응용 서비스를 위해 많이 사용되었습니다.

 

하지만 여기에는 큰 단점이 하나 있는데, 바로 PTE라고하는 페이지 주소 기억공간이 절반으로 줄어들면서, 각 프로세스에서 사용하는 페이지의 위치를 기억해야하는 커널 및 시스템에 존재하는 PTE가 32bit로 다 표현하지 못하여 32bit 영역 2개를 사용해야 하므로, PTE 테이블이 부족하여 문제가 발생할수 있는 가능성이 있습니다.

 

Windows 2003의 PAE 활성화시 PTE 크기

 

Windows 2003의 CPU 및 메모리 한계

 

 

만약 PTE 관련 문제가 발생한다거나 4GB가 되지 않는 머신의 경우 PAE옵션을 제거하거나, Windows 64bit로 변경하는 것이 안정적인 시스템을 운영하는 방법이 좋을 듯 합니다.

 

* DEP(Data Excution Prevention) 기능이 활성화 되는 경우 DEP가 기본적으로 PAE를 요구하기에 같이 활성화되기 때문에 DEP도 비활성화 해주어야 정상적으로 PAE를 제거할 수 있습니다.

 

PAE 비 활성화 방법

1. Boot.ini 파일 수정

   메모장으로 boot.ini 파일(C:\루트에 위치)에 아래 구문을 추가 및 수정하도록 합니다

   /noexcute=alwaysoff /nopae

2. 레지스트리 수정
   
   HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Session Manager \\Memory Management 로 이동후 PhysicalAddressExtension의 값을 0으로 바꾸면됩니다.

FC, Failover Clustering

작성자 : 한주성

   

1.1 달라진 점

하위 운영체제의 관리를 지원하지 않습니다.

Windows2008의 FC는 Windows2003의 FC를 지원하지 않으며 하위버전에서도 Windows2008의 FC를 관리하지 못합니다.

Server Core 에서 FC를 추가및 관리하실수 있습니다.

Server Core란 Graphic User Interface(GUI)를 포함하지 않은 Command Line Interface(CLI)을 통해서만 운영하는 Windows2008의 새로운 모드입니다. FC는 CLI을 통해 추가및 관리 하실 수 있습니다. ocsetup.exe 또는 servermanagercmd.exe, cluster.exe를 통해 지원될것입니다.
Unattended 설치를 지원합니다.

unattend.xml을 사전에 제작 보관하시후 새로 구성이 사전에 구성시 저장했던 파일을 이용하여 동일하게 설치하실수 있습니다.

MMC3.0 snap-in을 통해 관리됩니다.

기존에는 CluAdmin.exe이라는 도구를 통해 관리되었으나, Windows2008에서는 cluadmin.msc라는 MMC3.0 snap-in을 통해 관리 됩니다.

Validation을 이용해 사전에 점검하실수 있습니다.

Validation은 매우 강력한 점검 도구로 문제시 문제 해결 도구로도 사용하실수 있습니다. 점검된 보고서는 %systemroot%\cluster\report입니다.

FC도 Remote Server Administration Tools을 통해 원격에서 관리하실수 있습니다.

Server Core모드로 인스톨후 Remote Server Administration Tools를 통해 원격에서 GUI를 이용, 관리가능합니다.

Quorum Model을 변경하실수 있습니다.

Node Majority, Node and Disk Majority, Node and File Share Majority, No Majority – Disk Only으로 사용자의 환경에 맞게 Quorum을 선택 구성하실수 있습니다. 기본값 Node and Disk Majority

네트워크 통신 방식이 변경되었습니다.

Windows2008에서는 클러스터용 네트워크 드라이버(netft.sys)를 가지고 있습니다.(ipconfig /all을 통해 확인가능)

클러스터는 UDP unicast를 통해 통신을 합니다. Port 3343

Clusdisk.sys가 Non Pnp에서 Full PnP로 바뀌었습니다.

Full PnP로 설정되면서 기본 레지스트리 위치가 변경되었습니다.

(computer\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Clusdisk)
더이상 도메인에 Cluster Service Account를 사용하지 않습니다.

Cluster Name Object (CNO), Virtual Computer Object (VCO)를 통해 디스크 리소스를 복구하는 기능이 추가되었습니다.

기존에는 dskprobe.exe 나 dumpcfg.exe를 통해 디스크의 식별 코드를 수정하였는데 Windows2008에서는 복구기능이 사전에 포함되어 있습니다.(Cluster Interface에서 re-associate)

더이상 NTLM 인증을 지원하지 않습니다.

SSL을 이용한 보안통신을 지원합니다.

Failover Cluster를 Windows Backup and Restore에서 사용하실수 있습니다.

Failover Cluster에도 VSSWriter가 포함되며 VSSWriter로 인해 시간을 선택적으로 복구 하실수 있습니다.

(Non-Authoritative Restore of a Failover Cluster일경우 선택적 복구가 불가능하며 Authoritative Restore of a Failover Cluster으로 백업시 가능함)

1.2 지원 가능 스토로지

지원 인터페이스

Fibre Channel (FC)

Serial Attached SCSI (SAS)

iSCSI using either the Microsoft iSCSI

(더이상 Parallel SCSI는 지원하지 않습니다.)

1.3 새롭게 지원하는 서비스

1.4 Quorum 모델

   

1.5 FC Install

   

   

   

1.6 클러스터 만들기

   

   

   

   

   

   

   

   

   

   

   

변화된 MPSReport의 모습.

 

겉모습은 비슷하지만 속은 완전히 바뀌었습니다.

예전엔 MPSReport하면 설치된 서비스별로 별도의 버전이 있었는데, 이제 더 이상 이런 것을 신경쓸 필요없이 실행후 설치 서비스에 맞게 체크하여 실행하는 방식으로 바꿨습니다.
가장 큰 변화는 기존 툴은 Windows 2008을 지원하지 못하는데 본 툴은 모든 버전에서 동작한다는 장점이 있지요.
(Powershell과 .NET Framework를 이용하여 가능한거 같습니다.)

 

아래 그림과 같이 수집을 원하는 Component를 선택할수 있지요.

 

작동 방식이 Powershell과 .NET Framework 3.5를 사용 하여 미리 설치하셔야 합니다.

설치가 되어 있지 않으면 자동적으로 설치할수 있는 링크를 보내줍니다.

 

이는 향후 자동 트러블 슈팅을 위한 Fix it 기능을 이용하기 위해서도 필요하답니다.

 

그냥 예전꺼가 좋으신분은 아래 링크를..

http://support.microsoft.com/kb/816819

Release Date: 2009-09-08

Critical: Moderately critical 

Impact:  System access

Where:  From local network 

Solution Status:  Unpatched

OS: Microsoft Windows Server 2008, Microsoft Windows Vista

Description:
아직 패치가 발표되지 않은 취약점으로 각별한 주의가 요합니다.
Laurent Gaffié가 발견한 취약점으로
특별히 조작된 SMB packet을 통해 srv2.sys 커널 드라이브에서 Array indexing에러를 발생하게 하여, 다른 영역의 메모리 영역을 조작할수 있습니다.
Windows 2008 R2 64bit와 Windows 2008 R2 IA에서는 이 취약점이 존재하지 않는다고 하네요

Solution:
이 취약점을 해결하기 위해서는 SMB v2릴 Disable하거나 TCP port 139, 445를 사용하지 말라고 합니다.

1. Click Start, click Run, type Regedit in the Open box, and then click OK.
 
2. Locate and then click the following registry subkey:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
 
3. Click LanmanServer.
 
4. Click Parameters.
 
5. Right-click to add a new DWORD (32 bit) Value.
 
6. Enter smb2 in the Name data field, and change the Value data field to 0.
 
7. Exit.
 
8. Restart the "Server" service by performing one of the following:

- Open up the computer management MMC, navigate to Services and Applications, click Services, right-click the Server service name and click Restart. Answer Yes in the pop-up menu.
 
해당 서비스를 하지 않아 문제점이 발생하면 생성한 smb2의 값을 1로 조정하시면 됩니다.
- 해당 포트를 막아도 상관없다면 막아버리셔도 됩니다.

Windows에서 강제 메모리 덤프 수집할수 있는 툴이다.

 

Windows PowerShell™ 사용 설명서
Microsoft Corporation

게시일: 2006년 9월

요약Windows PowerShell™은 시스템 관리자를 위해 특별히 설계된 새로운 Windows 명령줄 셸입니다. 이 셸에는 조합하거나 독립적으로 사용할 수 있는 대화형 프롬프트 및 스크립팅 환경이 포함되어 있습니다.

이 설명서에서는 Windows PowerShell의 기본 개념 및 기능에 대해 설명하고 Windows PowerShell을 사용하여 시스템을 관리할 수 있는 방법을 제안합니다.

Hyper-V 전용 운영체제가 무료 버전으로 나왔습니다. Hyper-V만 사용하실 분들에게는 희소식이겠네요.

R2버전으로 업데이트 되면서, 기능향상이 많이 되었습니다.

 

다운로드는 아래 경로에서 가능합니다.

http://www.microsoft.com/downloads/details.aspx?displaylang=ko&FamilyID=48359dd2-1c3d-4506-ae0a-232d0314ccf6&hash=lQSC41b%2fWFietMd6fMUClaM9cNYYydu2puzSVPnAz1FZ1ieF92FA9Zwnnk0vgyuLmSt3XYBY1%2fOq2yRHVvsHnQ%3d%3d#filelist

아래 표는 차이점 입니다.

일부 도메인의 경우 MX레코드 등록시, 아무런 응답이 없는 Black Screen으로 아무런 응답을 주지 않는 경우가 있습니다.
일반적으로는 응답신호를 주도록 되어 있는데 말이죠.

이경우 Windows 2003은 문제 없이 전송이 가능하지만, Windows 2008의 경우 TcpWindowScaling이 작동하게 되는데 일부 라우터에서 이 Scaling값을 인식하지 못하여 메일 전송이 실패할수 있습니다.
물론 TCPWindowScaling 지원이 가능한 라우터로 업그레이드를 권장하지만, 현실적으로 다른 업체의 장비를 업그레이드하는건 불가능하므로, 이 Auto Tuning을 Disable 하여 임시적으로 해결하는 방법을 말씀드리고자 합니다.

Auto Tuning Disable 하기
다음 경로에서 Auto Tuning 을 Disable 하는 툴을 자동 다운로드 받을 수 있습니다. http://go.microsoft.com/?linkid=9645381

수동으로 진행하는 방법은 다음 명령과 같습니다.
netsh int tcp set global autotuninglevel=disabled
정상적으로 구성이 잘 되었는지 확인하는 명령도 해보도록 합시다.
netsh interface tcp show global

메타베이스는 대부분의 IIS(인터넷 정보 서비스) 구성 값이 저장되는 리포지토리입니다.

한마디로 매우 중요한 환경 설정 값이 되므로, 누군가 이값을 변경할경우 IIS의 구성 값이 변경되는것을 알수 있습니다.

그래서 오늘은 IIS 6.0에서 메타베이스 감사기능을 활성화 시키는 방법을 알아보겠습니다.

 
C:\>iiscnfg.vbs /EnableAudit / /r

위 명령을 실행하면 스크립트 등록이 않됬다는둥 메세지가 나올수 있습니다. 확인 꾹~! 눌려주세요, 그리고 다시 실행

 

또, 개별적으로 필터링을 설정하실때에는 아래 옵션을 사용 하시면 됩니다.

C:\>iiscnfg.vbs /EnableAudit /SmtpSvc/1 /r

 

 

 

물론 윈도우의 감사 기능은 gpedit.msc에서 로컬 보안 설정에 개체 엑세스 감사 기능을 성공과 실패시 체크할수 있도록 활성화 해두셔야 합니다.

 

이제 이벤트로그에서 확인하시면 됩니다. J

메세지 출력에 관한 API를 공부해 보도록합시다~

LRESULT CALLBACK WndProc(HWND hWnd,UINT iMessage,WPARAM wParam,LPARAM IParam)

{

           HDC hdc;

           // 글씨를 출력하기 위해 DC의 핸들을 hdc로 지정

           PAINTSTRUCT ps;

           // 출력된 문자열이 지워졌을 경우 다시 복원하기 위해 선언함

           switch (iMessage){

                     case WM_DESTROY: //WM_DESTROY 액션 처리

                                PostQuitMessage(0);

                                // WM_DESTROY 발생시 PostQuitMessage 함수를 호출하여 WM_QUIT 메시지가 입력되면 메시지 루프

                                // 의 GetMessage 함수 리턴값이 FALSE가 되어 while 루프를 빠져나오며 WinMain이 종료됨

                                return 0; //WndProc은 메시지를 처리했을경우 반드시 0을 리턴해야함

                     case WM_PAINT: // WM_PAINT 액션 처리

                                hdc=BeginPaint(hWnd,&ps);        // DC 핸들 시작

                                SetTextAlign(hdc, TA_CENTER);      // 문자열 정렬 함수지정 hdc를 가운데정렬하라

                                TextOut(hdc,200,60,TEXT("Beautiful Korea"),15);

                                TextOut(hdc,200,80,TEXT("is My"),5);

                                TextOut(hdc,200,100,TEXT("Lovely Home Country"),19);         // “”로 지정한 DC의 핸들 hdc를 이용 x200, y100의 좌표 위치에 19(문자길이)자 출력

                                EndPaint(hWnd,&ps);  //DC 핸들 종료

                                return 0;

           }

           // 윈도우 프로시저

           // WinMain내의 메시지 루프는 메시지를 메시지 처러 함수로 보내기만 할뿐이며

           // WndProc은 메시지가 입력되면 운영체제의 의해 호출되어 메시지를 처리함

           // 이렇게 운영체제에 의해 호출되는응용프로그램 내의 함수를 콜백 함수라 함

           // WndProc의 인수는 모두 4개이며 MSG 구조체의 앞쪽 멤버 4개와 동일

           // hWnd는 메시지를 받을 윈도우의 핸들이며 iMessage는 어떤 종류의 메시지인지 변화에 관한 정보를 가짐

           // wParam, IParam은 iMessage의 메시지에 따른 부가적인 정보를 가짐

           return(DefWindowProc(hWnd,iMessage,wParam,IParam)); //WndProc에서 처리하지 않은 나머지 메시지에 관한 처리

}

 

한줄 출력문 함수

TextOut : 한줄 출력

예) TextOut(hdc,200,60,TEXT("Beautiful Korea"),15);

SetTextAlign : 출력문 정렬

예) SetTextAlign(hdc, TA_CENTER);