Hệ điều hành Windows được cấu thành từ một tập hợp lớn các file và chương trình. Một số chạy liên tục, trong khi những cái khác chỉ được gọi bởi hệ điều hành thỉnh thoảng.
Gần như tất cả các file hệ thống lõi Windows được lưu trong thư mục C:\Windows\System và C:\Windows\System32 (trên máy của bạn, ký tự ổ có thể khác). Thư mục Windows chính cũng chứa một số file thiết yếu.
Tất cả chương trình cài đặt trên máy thường có file thực thi và file liên quan lưu trong C:\Program Files hoặc C:\Program Files (x86).
Nói chung, bạn không bao giờ muốn sửa đổi, xóa, hoặc di chuyển bất kỳ file hệ thống Windows nào nằm trong các thư mục này. Tuy nhiên, có một vài file là cốt lõi cho chức năng của hệ điều hành. Nếu các file này bị xóa hoặc hỏng, bạn sẽ cần khôi phục hệ điều hành Windows.
Ntoskrnl.exe
File thực thi này là kernel image. Nghĩa là nó về cơ bản là mã cốt lõi (the executive) khiến hệ điều hành hoạt động đúng cách.
Mã này xử lý quản lý phần cứng, tiến trình hệ thống, và quản lý bộ nhớ. Nó cũng là mã lên lịch ứng dụng nào được truy cập bộ xử lý hệ thống và được cấp bao nhiêu bộ nhớ (và địa chỉ bộ nhớ) để sử dụng.
File thực thi này xuất hiện trong Task Manager với tên System và Registry. Đây là file được bảo vệ nặng nề, nên khó khăn cho bất kỳ ứng dụng nào như malware làm hỏng hoặc xóa file.
Trong các phiên bản Windows cũ, nếu bạn mở nhiều ứng dụng lớn, Ntoskrnl.exe sẽ bắt đầu tiêu thụ lượng bộ nhớ lớn. Bắt đầu từ Windows 10, Ntoskrnl.exe nén các trang không sử dụng thay vì lưu chúng vào bộ nhớ. Điều này giảm tiêu thụ bộ nhớ, nhưng có thể tăng sử dụng CPU nếu bạn chạy nhiều ứng dụng cùng lúc.
Ntkrnlpa.exe
Tiến trình này là thành phần phần mềm cốt lõi của kernel Microsoft Windows và mã hệ thống. Tên viết tắt của New Technology Kernel Process Allocator. Cùng với Ntoskrnl.exe, nó kiểm soát lên lịch và quản lý bộ nhớ.
Nó cũng ngăn chặn ứng dụng và dịch vụ non-core truy cập các khu vực cốt lõi của hệ điều hành, giữ OS chạy an toàn trong khu vực bộ nhớ hệ thống được bảo vệ.
Vì Ntkrnlpa.exe chịu trách nhiệm chặn ứng dụng truy cập bộ nhớ hệ thống được bảo vệ, nhiều người dùng thường nghĩ Ntkrnlpa.exe gây ra lỗi hệ thống Windows. Điều này là vì Ntkrnlpa.exe là tiến trình trả về lỗi.
Thường nguyên nhân thực sự là某种形式 của malware cố gắng truy cập bộ nhớ hệ thống được bảo vệ, kích hoạt lỗi Ntkrnlpa.exe.
Hal.dll
File lõi khác liên quan đến kernel hệ thống và hệ thống cốt lõi là Hal.dll. Tên file DLL này viết tắt của Hardware Abstraction Layer.
File này chứa mã cốt lõi cho phép ứng dụng tương tác với phần cứng máy tính bằng hàm chương trình đơn giản thay vì mã máy phức tạp.
Đúng như tên gọi, nó loại bỏ sự trừu tượng trong giao tiếp và kiểm soát phần cứng máy tính.
File thực thi này chạy bên trong bộ nhớ RAM và nằm trong thư mục System32.
Hal.dll thường không gây vấn đề với máy tính, tuy nhiên một số ứng dụng malware cố gắng che giấu file thực thi của chúng bằng cách đặt cùng tên. Tuy nhiên, bạn có thể nhận diện nó là ứng dụng giả mạo khi nó nằm ở thư mục khác System32.
Không bao giờ dừng tác vụ Hal.dll vì sẽ làm hệ thống không hoạt động và có thể buộc bạn phải khôi phục hệ điều hành Windows.
Win32k.sys
File này được gọi là file driver Multi-User Win32, phát hành ban đầu như một phần của Windows XP. Nó đã được nâng cấp qua từng bản phát hành Windows mới, bao gồm Windows 10.
Đây là giao diện driver đồ họa quản lý việc gửi đồ họa đến màn hình và thiết bị xuất khác. Mã được thực thi bởi gdi32.dll trên Windows 10.
Thật không may, vì Win32k.sys là mảnh ghép cốt lõi của Windows lâu đời, và vì nó nằm trong thư mục (Program Files) thường không được bảo vệ tốt như System32, malware thường nhắm vào file này để làm hỏng.
Ngoài ra, nó cũng là tên phổ biến malware chọn cho file của chính nó, để người dùng không nghi ngờ file là một phần của nhiễm máy tính.
Ntdll.dll
File này nằm trong thư mục hệ thống System và System32. Mô tả file là NT Layer DLL. Về cơ bản là file DLL chứa các hàm kernel NT cốt lõi.
Điều này có nghĩa là nó chứa mã máy cho phép hệ điều hành cốt lõi hoạt động đúng cách. Chương trình kernel cốt lõi truy cập các hàm chứa trong Ntdll.dll, và file này xử lý các hàm cấp máy đó.
Nếu bạn thấy bất kỳ thông báo lỗi nào từ tiến trình Ntdll.dll, thường do file Ntdll.dll hỏng, hoặc vấn đề phần cứng trên máy gây crash tiến trình.
Thường, cài đặt lại driver phần cứng gây lỗi sẽ giải quyết. Nếu vấn đề là file Ntdll.dll hỏng, phần mềm diệt virus có thể sửa. Nếu không, có thể cần khôi phục Windows.
Kernel32.dll
File DLL này là một file khác tìm thấy như một phần của kernel hệ điều hành Windows. Nó quản lý bộ nhớ, bao gồm ngắt bộ nhớ. Nó cũng quản lý tất cả hoạt động input và output.
Kernel32.dll là file khác được nạp vào không gian bộ nhớ được bảo vệ nơi ứng dụng người dùng thông thường không thể hoạt động.
Nếu bạn từng thấy lỗi liên quan đến Kernel32.dll, thường do malware hoặc driver phần cứng hỏng (hoặc phần cứng lỗi) cố gắng ghi vào bộ nhớ được bảo vệ nơi Kernel32.dll ở. Thường cài đặt lại driver phần cứng hoặc phần cứng mới giải quyết lỗi này.
Advapi32.dll
File DLL này là thành phần cốt lõi khác của hệ điều hành Windows. Tên viết tắt của Advanced Application Programming Interface, hoặc Advanced API. Nó xử lý các lời gọi bảo mật hệ thống và lời gọi đối với system registry.
DLL này quản lý khởi động và tắt Windows, quản lý Windows registry, xử lý tài khoản người dùng và bảo mật tài khoản, và quản lý dịch vụ Windows.
Mặc dù file này không bắt buộc để Windows boot đúng cách, nó bắt buộc cho hoạt động đúng của hầu hết ứng dụng và phần cứng. Nếu file hệ thống Windows này bị xóa hoặc hỏng, bất kỳ lời gọi API ứng dụng nào truy cập system registry hoặc bảo mật sẽ thất bại và bạn sẽ thấy nhiều thông báo lỗi.
User32.dll
File DLL cốt lõi khác, file hệ thống Windows này chứa hầu hết API cốt lõi Windows cho ứng dụng người dùng giao tiếp với hệ điều hành. Nó xử lý hầu hết các cửa sổ và điều khiển gốc được hiển thị bởi ứng dụng Windows.
Bất kỳ ứng dụng nào có giao diện người dùng đồ họa thường dùng các thành phần do file User32.dll cung cấp.
Tuy nhiên, trong hầu hết trường hợp, ứng dụng Windows sử dụng thư viện tích hợp trong Windows .NET framework, lần lượt quản lý giao tiếp với User32.dll.
Trong cả hai trường hợp, User32.dll dịch mã ứng dụng phổ biến, dễ hiểu thành các lệnh cấp máy cần thiết cho hệ điều hành Windows.
Gdi32.dll
Giống như User32.dll, Gdi32.dll chứa các hàm cho phép ứng dụng tạo giao diện người dùng đồ họa trên màn hình.
Gdi32.dll chứa các hàm cho phép ứng dụng tạo đối tượng 2 chiều trên màn hình. Nó chấp nhận mã từ ứng dụng hoặc dịch vụ Windows và thực thi mã máy cần thiết để hiển thị đối tượng trực quan trên màn hình.
Mặc dù hệ điều hành Windows có thể boot ngay cả khi DLL này hỏng hoặc bị xóa, hiển thị hệ điều hành sẽ không hoạt động đúng.
Các File Hệ Thống Windows Quan Trọng Khác
Mặc dù những file trên là file hệ thống và file thực thi cốt lõi cần thiết cho hoạt động đúng của Windows, còn có một vài file bổ sung cần thiết cho các chức năng non-critical của hệ thống máy tính hoạt động đúng.
- Pagefile.sys: Giúp hệ điều hành quản lý không gian bộ nhớ RAM và cải thiện hiệu năng hệ thống.
- Swapfile.sys: File hệ thống mới hơn giúp di chuyển app Windows hiện đại ra ổ cứng khi chúng ở trạng thái hibernation.
- Crss.exe: Tiến trình runtime client-server xử lý cửa sổ console và quá trình tắt Windows.
- Shell32.dll: Chứa hàm API Windows shell cho phép trình duyệt web và ứng dụng khác hiển thị đúng các yếu tố hệ thống như taskbar, desktop, và menu Start.
- Smss.exe: Hệ thống con quản lý phiên xử lý phiên người dùng, bao gồm đăng nhập Windows và cài đặt hệ thống người dùng.
- Sxs.dll: Thành phần quan trọng của Windows xử lý file manifest. Đây là file nói cho Windows cách xử lý ứng dụng phần mềm khi nó được khởi chạy.
Mặc dù còn nhiều file hệ thống ít quan trọng hơn như một phần của Windows, những file liệt kê trên là một số phổ biến nhất. Vì thế chúng thường bị malware nhắm vào để lừa người dùng nghĩ file malware là hợp pháp.
Hầu hết ứng dụng diệt virus có khả năng nhận diện file hệ thống Windows giả mạo và thường dọn dẹp chúng khỏi hệ thống trước khi bạn bao giờ biết chúng tồn tại.