ระบบปฏิบัติการ Windows ประกอบด้วยไฟล์และโปรแกรมจำนวนมาก บางตัวรันตลอดเวลา บางตัวถูกเรียกโดยระบบปฏิบัติการบ้างครั้ง
เกือบไฟล์หลักของ Windows ทั้งหมดจัดเก็บอยู่ในโฟลเดอร์ C:\Windows\System และ C:\Windows\System32 (ในคอมพิวเตอร์ของคุณอาจเป็นไดรฟ์ตัวอักษรอื่น) โฟลเดอร์ Windows เองก็เก็บไฟล์สำคัญไว้ด้วย
โปรแกรมที่ติดตั้งทั้งหมดมักมีไฟล์ executable และไฟล์เกี่ยวข้องจัดเก็บใน C:\Program Files หรือ C:\Program Files (x86)
โดยทั่วไป คุณไม่ควรแก้ไข ลบ หรือย้ายไฟล์ระบบ Windows ในไดเรกทอรีเหล่านี้ อย่างไรก็ตาม มีไฟล์บางตัวที่เป็นหัวใจสำคัญของการทำงานของระบบปฏิบัติการ หากไฟล์เหล่านี้ถูกลบหรือเสียหาย คุณจะต้องกู้คืน Windows
Ntoskrnl.exe
Executable นี้คือ Kernel image หมายความว่ามันคือโค้ดหลัก (the executive) ที่ทำให้ระบบปฏิบัติการทำงานได้อย่างถูกต้อง
โค้ดนี้จัดการฮาร์ดแวร์ กระบวนการระบบ และการจัดการหน่วยความจำ ยังเป็นโค้ดที่กำหนดการ (schedule) ให้แอปพลิเคชันเข้าถึง CPU และจัดสรรหน่วยความจำ (และที่อยู่หน่วยความจำ) ที่จะใช้
Executable นี้แสดงใน Task Manager ด้วยชื่อ System และ Registry เป็นไฟล์ที่ได้รับการป้องกันอย่างเข้มข้น ทำให้มัลแวร์ยากที่จะทำลายหรือลบไฟล์นี้
ใน Windows รุ่นเก่า ถ้าเปิดแอปพลิเคชันเยอะมาก Ntoskrnl.exe จะเริ่มใช้หน่วยความจำมาก แต่ตั้งแต่ Windows 10 Ntoskrnl.exe จะบีบอัดหน้าที่ไม่ได้ใช้แทนการเก็บในหน่วยความจำ ลดการใช้หน่วยความจำ แต่อาจเพิ่มการใช้ CPU ถ้ารันแอปมากพร้อมกัน
Ntkrnlpa.exe
กระบวนการนี้เป็นส่วนประกอบหลักของ Microsoft Windows kernel และ system code ชื่อย่อมาจาก New Technology Kernel Process Allocator ร่วมกับ Ntoskrnl.exe ควบคุมการกำหนดการและจัดการหน่วยความจำ
ยังป้องกันแอปพลิเคชันและบริการที่ไม่ใช่ core จากการเข้าถึงพื้นที่ core ของระบบปฏิบัติการ ทำให้ OS ทำงานได้อย่างปลอดภัยในพื้นที่หน่วยความจำที่ได้รับการป้องกัน
เนื่องจาก Ntkrnlpa.exe รับผิดชอบบล็อกแอปพลิเคชันจากการเข้าถึงหน่วยความจำระบบที่ได้รับการป้องกัน ผู้ใช้หลายคนมักคิดว่า Ntkrnlpa.exe เป็นสาเหตุของความล้มเหลวของระบบ Windows เพราะมันคือกระบวนการที่คืนค่า error
โดยปกติสาเหตุจริงคือมัลแวร์บางรูปแบบพยายามเข้าถึงหน่วยความจำระบบที่ได้รับการป้องกัน ทำให้เกิด error ของ Ntkrnlpa.exe
Hal.dll
ไฟล์ core อีกตัวที่เกี่ยวกับ system kernel คือ Hal.dll ชื่อย่อมาจาก Hardware Abstraction Layer
ไฟล์ DLL นี้มีโค้ดหลักที่ให้แอปพลิเคชันโต้ตอบกับฮาร์ดแวร์คอมพิวเตอร์ผ่านฟังก์ชันโปรแกรมง่ายๆ แทนโค้ดเครื่องที่ซับซ้อน
Executable นี้รันภายใน RAM และอยู่ในไดเรกทอรี System32
Hal.dll ปกติไม่ก่อให้เกิดปัญหา แต่บางมัลแวร์พยายามปิดบัง executable ของมันด้วยการตั้งชื่อเดียวกัน แต่คุณสามารถระบุได้ว่าเป็นของปลอมเมื่ออยู่ในโฟลเดอร์ที่ไม่ใช่ System32
อย่าไปหยุดงาน Hal.dll เพราะจะทำให้ระบบไม่ทำงานและอาจบังคับให้ต้องกู้คืน Windows
Win32k.sys
ไฟล์นี้เป็น Multi-User Win32 driver file เปิดตัวครั้งแรกใน Windows XP ผ่านการอัปเกรดทุกรุ่น Windows รวมถึง Windows 10
เป็น graphics driver interface ที่จัดการส่งกราฟิกไปยังหน้าจอและอุปกรณ์เอาต์พุท โค้ดถูก execute โดย gdi32.dll บน Windows 10
น่าเสียดายที่ Win32k.sys เป็น core component มานาน และอยู่ในโฟลเดอร์ (Program Files) ที่ไม่ได้รับการป้องกันดีเท่า System32 มัลแวร์มักทำลายไฟล์นี้
นอกจากนี้ มันยังเป็นชื่อที่มัลแวร์มักเลือกให้ไฟล์ของตัวเอง เพื่อให้ผู้ใช้ไม่สงสัยว่าเป็นไฟล์ติดเชื้อ
Ntdll.dll
ไฟล์นี้อยู่ในไดเรกทอรีระบบ System และ System32 คำอธิบายคือ NT Layer DLL เป็นไฟล์ DLL ที่มีฟังก์ชัน NT kernel หลัก
หมายความว่ามันมีโค้ดเครื่องที่ทำให้ระบบปฏิบัติการ core ทำงานได้ โปรแกรม kernel หลักเข้าถึงฟังก์ชันใน Ntdll.dll และไฟล์นี้ประมวลผลฟังก์ชันระดับเครื่องเหล่านั้น
ถ้าเห็นข้อความ error จากกระบวนการ Ntdll.dll ปกติเกิดจาก ไฟล์ Ntdll.dll เสียหาย หรือปัญหาฮาร์ดแวร์ที่ทำให้กระบวนการ crash
ปกติการติดตั้งไดรเวอร์ฮาร์ดแวร์ที่ก่อให้เกิด error ใหม่จะแก้ปัญหาได้ หากปัญหาจากไฟล์ Ntdll.dll เสียหาย แอนติไวรัสสามารถซ่อมแซมได้ ถ้าไม่ได้ อาจต้องกู้คืน Windows
Kernel32.dll
DLL ไฟล์นี้เป็นส่วนหนึ่งของ Windows kernel จัดการหน่วยความจำ รวมถึง memory interrupts และจัดการ input/output operations ทั้งหมด
Kernel32.dll โหลดเข้าไปในพื้นที่หน่วยความจำที่ได้รับการป้องกัน ซึ่งแอปพลิเคชันผู้ใช้ทั่วไปไม่สามารถทำงานได้
ถ้าเห็น error เกี่ยวกับ Kernel32.dll มักเพราะมัลแวร์ หรือไดรเวอร์ฮาร์ดแวร์เสียหาย (หรือฮาร์ดแวร์ผิดปกติ) พยายามเขียนในพื้นที่หน่วยความจำที่ได้รับการป้องกันซึ่ง Kernel32.dll อยู่ ปกติติดตั้งไดรเวอร์ใหม่หรือฮาร์ดแวร์ใหม่จะแก้ error เหล่านี้ได้
Advapi32.dll
DLL ไฟล์นี้เป็น core component อีกตัวของ Windows ชื่อย่อมาจาก Advanced Application Programming Interface หรือ Advanced API จัดการ system security calls และ calls ต่อ system registry
DLL นี้จัดการการเริ่มต้นและปิด Windows จัดการ Windows registry การจัดการบัญชีผู้ใช้และความปลอดภัยบัญชี และการจัดการ Windows services
แม้ไฟล์นี้ไม่จำเป็นสำหรับการ boot Windows แต่จำเป็นสำหรับการทำงานที่ถูกต้องของแอปพลิเคชันและฮาร์ดแวร์ส่วนใหญ่ หากไฟล์ระบบ Windows นี้ถูกลบหรือเสียหาย API calls ของแอปพลิเคชันเพื่อเข้าถึง system registry หรือ security จะล้มเหลวและคุณจะเห็น error มากมาย
User32.dll
Core DLL อีกตัว ไฟล์ระบบ Windows นี้มี Windows API ส่วนใหญ่สำหรับแอปพลิเคชันผู้ใช้โต้ตอบกับระบบปฏิบัติการ จัดการ native windows และ controls ส่วนใหญ่ที่แสดงโดย Windows applications
แอปพลิเคชันที่มี GUI ทั่วไปใช้ components จาก User32.dll
แต่ในกรณีส่วนใหญ่ Windows applications ใช้ libraries built-in ใน Windows .NET framework ซึ่งจัดการการสื่อสารกับ User32.dll
ไม่ว่าจะเป็นกรณีไหน User32.dll แปลงโค้ดแอปพลิเคชันที่เข้าใจง่าย เป็นคำสั่งระดับเครื่องที่ Windows ต้องการ
Gdi32.dll
คล้าย User32.dll Gdi32.dll มีฟังก์ชันที่ให้แอปพลิเคชันสร้าง GUI บนหน้าจอ
Gdi32.dll มีฟังก์ชันให้แอปพลิเคชันสร้างวัตถุ 2 มิติบนหน้าจอ รับโค้ดจากแอปพลิเคชันหรือบริการ Windows และ execute โค้ดเครื่องที่จำเป็นเพื่อแสดงวัตถุภาพบนหน้าจอ
Windows อาจ boot ได้แม้ DLL นี้เสียหายหรือถูกลบ แต่การแสดงผลของระบบจะไม่ทำงานถูกต้อง
ไฟล์ระบบ Windows สำคัญอื่นๆ
ข้างต้นคือ core system files และ executables ที่จำเป็นสำหรับการทำงานของ Windows แต่มีไฟล์เพิ่มเติมสำหรับ non-critical functions
- Pagefile.sys: ช่วยระบบจัดการพื้นที่ RAM และปรับปรุงประสิทธิภาพระบบ
- Swapfile.sys: ไฟล์ระบบใหม่ช่วยย้าย modern Windows apps ไปที่ฮาร์ดดิสก์ตอน hibernation
- Crss.exe: Client server runtime process จัดการ console windows และกระบวนการปิด Windows
- Shell32.dll: มี Windows shell API functions ให้ web browsers และแอปอื่นๆ แสดง taskbar, desktop, Start menu ได้ถูกต้อง
- Smss.exe: Session manager subsystem จัดการ user sessions รวมถึง Windows logon และ system settings ของผู้ใช้
- Sxs.dll: ส่วนประกอบสำคัญจัดการ manifest files ไฟล์ที่บอก Windows ว่าจะจัดการแอปพลิเคชันอย่างไรตอน launch
แม้จะมีไฟล์ระบบ less critical อีกมากมาย ไฟล์ข้างต้นเป็นบางส่วนที่พบบ่อยที่สุด ดังนั้นมักถูกมัลแวร์เป้าหมาย เพื่อหลอกผู้ใช้ให้คิดว่าไฟล์มัลแวร์เป็นไฟล์ระบบที่ถูกต้อง
แอปพลิเคชันแอนติไวรัสส่วนใหญ่สามารถระบุไฟล์ระบบ Windows ปลอมได้ และมักจะทำความสะอาดออกจากระบบก่อนที่คุณจะรู้ว่ามันมีอยู่
