Детализированная отчетность по производительности svchost.exe

Хотя я не знаю простого способа сделать это напрямую, вы часто можете найти его на странице свойств Process Explorer для процесса svchost. На вкладке "Службы" в свойствах процесса будет указано, какие службы размещены в этом процессе. А вкладка Threads покажет вам потоки и стеки потоков, а также их загрузку процессора. Часто начальный адрес в потоке будет указывать на DLL точки входа, и, соответственно, на службу, работающую в этом потоке. В других случаях вы можете посмотреть на стек вызовов и увидеть имя модуля в стеке вызовов, которое говорит вам, какой фрагмент кода выполняется.

Предостережение: Пожалуйста, примите необходимые исследования, точки восстановления и процедуры резервного копирования, прежде чем применять это, а также убедитесь, что все еще работает после этого. Восстановиться после этого можно через Среду восстановления только в системах без RAID, а также в безопасном режиме как в системах RAID, так и в других системах. Это было проверено на компьютере разработчика, а не на серверах.

В Powershell вы можете сделать это для всех не-lsass-сервисов, используя следующие команды:

Get-Service | ForEach-Object `
    { SC.EXE config $_.Name type= own }
ForEach ($svc in @("efs", "keyiso", "netlogon", "policyagent", "samss", "vaultsvc", `
    "was", "w3svc")) `
    { SC.EXE config $svc type= share }

Список, который здесь исключен, должен быть запущен в общем lsass.exe, за исключением агента политики, который требуется для правильной связи агента групповой политики во время загрузки.

Также недавно обнаружилось, что (Process Activation) и w3svc (IIS World Wide Web) необходимо обмениваться своими процессами, поэтому они были добавлены в исключения.

Это было протестировано в Windows 10 (1607, сборка 14393.953), исключения в XP, ... отличаются.

Попробуйте инструмент Service Disclosure. Это:

1. Хранит службы, которые совместно используют процесс svchost.exe.
2. Настраивает службы для запуска в отдельном процессе. После перезагрузки вы увидите каждый сервис в отдельном процессе.
3. Возвращает все сохраненные на шаге 1 сервисы обратно одному процессу.

Ваши комментарии и предложения приветствуются.

@ Питер Мортенсен: Спасибо за идею.

В настоящее время вы можете использовать PowerShell, чтобы изменить типы служб на "Собственный процесс" и просмотреть память для каждого из них в отдельности. Это Гист показывает полный код. Основная идея заключается в попытке изменить тип сервиса с наименее навязчивого на наиболее навязчивый способ:

$win32Service = Get-CimInstance -ClassName Win32_Service -Filter "Name = '$ServiceName'" -Verbose:$false

if ($win32Service)
{
    if (!(Set-ServiceTypeToOwnProcessByCim $win32Service))
    {
        if (!(Set-ServiceTypeToOwnProcessByWindowsRegistry $win32Service))
        {
            if (Grant-FullControlRightsOnServiceRegistryKeyToCurrentUser $win32Service)
            {
                Set-ServiceTypeToOwnProcessByWindowsRegistry $win32Service | Out-Null
            }
        }
    }
}
else
{
    Write-Warning "[$ServiceName] Service not found"
}

При помещении Set-ServiceTypeToOwnProcess.ps1 а также Enable-Privilege.ps1 файлы в той же папке, вы можете выполнить скрипт следующим образом:

.\Set-ServiceTypeToOwnProcess.ps1 -ServiceName 'Appinfo', 'gpsvc', 'Schedule', 'SENS', 'SessionEnv', 'wuauserv'

Я не знаю, если это все еще вопрос, на который вы хотите получить ответы, но, устраняя ошибку svchost клиента, я узнал, что для этого есть командная строка: "tasklist /svc". Это дает полный список запущенных процессов, с идентификатором процесса и сервисами, которые запускает каждый процесс. Это не дает использовать процессор, но вы можете закрывать их по одному процессу за раз по идентификатору процесса и узнать, по крайней мере, какая группа сервисов засоряет ваш процессор.