bootstat.dat

Намедни задался вопросом, при каких условиях появляется экран утилиты восстановления загрузки (Startup Repair). Восстановление загрузки это автоматизированное средство, которое обнаруживает большое количество общих проблем загрузки Windows и пытается их устранить в автоматическом режиме. Данная функциональная особенность последних версий Windows зачастую достаточно серьезно достает пользователей, поскольку в ожидании окончания процесса восстановления можно провести не один десяток минут, полностью выпадая из рабочего процесса на достаточно продолжительное время. Сама утилита восстановления конечно же интересна, но это тема отдельной статьи, а на тот момент мне просто хотелось выяснить по каким же условиям она стартует. Было выдвинуто предположение, что экран появляется лишь при внезапном выключении питания. Данная версия сразу была поставлена под сомнение, поскольку в памяти у меня всплыли примеры ситуаций, когда пользователи жаловались на автовосстановление загрузки даже при нормальном (с виду) завершении работы. С целью выяснить причины запуска средства восстановления загрузки решено было провести небольшой эксперимент. Хочу сразу оговориться, что рассматривать данный материал следует применительно к операционной системе Windows 7 SP1, поскольку все тесты проводились именно на этой версии, поэтому учтите, что в других версиях ситуация могла кардинально поменяться.

Начать поиски я решил в исходном коде распакованного файла bootmgr.exe, всё же как-никак самый что ни на есть начальный этап загрузки. Необходимой информации по теме в Сети я найти так и не смог, а с чего то надо было начинать! Памятуя, что в различных окнах английских версий системы я видел названия recovery tool и startup repair, я просто решил поискать по словам "recovery" (восстановление) и repair (исправление, ремонт), однако простым поиском по исходнику мне ничего подобного обнаружить не удалось, в файле не было упоминаний ни про какое восстановление. Далее я перешел к исходному коду дизассемблированного Winload.exe всё в той же IDA и просто решил поискать всё то же слово "recovery". В листинге файла мной была найдена переменная, автоименованная дизассемблером как aRecoveryTrue, которая имела значение recovery=true и на которую в коде ссылались две функции: OslpDisplayAutoAdvMenu и OslpDisplayAdvancedBootMenu. Должно быть это опция в конфигурации загрузки, по которой код Winload.exe, судя по всему, должен производить некие действия по восстановлению работоспособности. Предположим что это ОНО! Опираясь на некоторые внутренние критерии я отбросил вторую функцию и сконцентрировался на функции с именем OslpDisplayAutoAdvMenu (которая вызывалась из OslpDisplayAdvancedOptionsProcess, а та, в свою очередь, вызывалась из основной функции OslpMain).

Но, вернемся к основной линии повествования. Так вот, чуть выше по коду в функции OslpMain я обнаружил некие условия перехода, по которым либо функция OslpDisplayAdvancedOptionsProcess получает управление, либо нет. Упомянутые условия являются результатом работы с выходными параметрами функции OslpGetBootStatusData, которая, судя по моим догадкам и названию, получает и проверяет некий статус загрузки. В самой функции OslpGetBootStatusData вызывается функция OslpGetSetBootStatusData, которая, вероятно, и оперирует с неким источником статуса. Так что же является источником статуса? Начав просматривать код функции, я обнаружил указание на файл bootstat.dat, и, поскольку файл этот попадался мне довольно часто, то вспомнил, что знания мои о нем ограничивались лишь пониманием, что это файл, в котором хранится некий статус загрузки, более ничего о нем я не знал. В Сети исчерпывающего описания по нему я не встретил, поэтому попытаюсь предложить собственное определение:

Возможно что данные эти каким-то образом могут использоваться для обнаружения ошибок этапов загрузки/завершения операционной системы для предоставления пользователю вариантов восстановления на этапе загрузки или автоматического запуска среды восстановления. В дополнение ко всему, как будет показано далее, файл статуса загрузки содержит разнообразную дополнительную информацию. Если мне не изменяет память, файл появился еще в операционной системе Windows XP, однако значимость его для системы со временем могла меняться.
Я вспомнил, что Bootmgr тоже работает с данным файлом, во всяком случае у меня в памяти осталось стойкое на то ощущение. Вернувшись к коду Bootmgr и поискав файл bootstat.dat, я удостоверился, что к нему действительно происходит обращение через функцию BmpInitializeBootStatusDatalog, то есть он начинает использоваться уже до этапа Winload.exe, на этапе Bootmgr. В коде функции BmpInitializeBootStatusDatalog вызывается:

• функция _BlGetBootOptionDevice@16 с идентификатором BCD элемента 11000043h, который указывает на устройство.
• функция _BlGetBootOptionString@12 с идентификатором BCD элемента 12000044h, который указывает на путь к файлу.
• функция _BlGetBootOptionBoolean@12 с идентификатором BCD элемента 16000045h, который указывает на то, сохранились ли записи BSD с предыдущей сессии или BSD обнуляется при каждой сессии.

Эту логику можно отследить по следующему фрагменту кода:

Получается что-то вроде этого:

Выходит, что записи о файле bootstat.dat хранятся в базе конфигурации загрузки (BCD).

Опять же, это может ни о чем не говорить, я просто мог ошибиться с выводами, поскольку глубина понимания кода у меня небольшая. И тем не менее, после обнаружения этой особенности в сознание закралось смутное подозрение на счет того, что коды различных стадий загрузки используют разные файлы bootstat.dat. После этого я решил поискать файл в других расположениях и нашел его в %SystemRoot%\bootstat.dat. Становится интереснее!! Требовалось подтверждение, с этой целью был использован Process Monitor с активированной опцией "Enable Boot Logging" и по результатам записи перезагрузки были отфильтрованы события с целевым значением "bootstat":

Глядя на скриншот можно было говорить что это определенно разные файлы :), на основе чего можно сделать два предположения:

• Файл %SystemDrive%\boot\bootstat.dat, размещенный на отдельном разделе System Reserved, используется только модулями стадий загрузки (bootmgr/winload) и служит для передачи сведений о состоянии между различными фазами загрузки.
• Файл %SystemRoot%\bootstat.dat используется другими компонентами операционной системы на различных этапах загрузки/завершения.

Опять же, даже не смотря на это, делать какие-либо дальнейшие выводы было преждевременно, поскольку при обнаружении второго файла, сначала причастность его к восстановлению системы надо доказать. А вдруг, не взирая на то, что он используется кодом некоторых системных компонентов на протяжении функционирования операционной системы, он не несет значимой нагрузки для среды восстановления?

Структура bootstat.dat

Мне наиболее интересен был "системный" а не "загрузочный" файл, поэтому изучение я начал именно с %SystemRoot%\bootstat.dat. Ну и первое что мы сделаем, так это уже наконец-то посмотрим на содержимое файла:

Вся прочая информация, которая содержится в файле - это нули. Да, информации в файле не густо, присутствует совсем небольшой блок в самом начале (предположительно заголовок) и где-то в теле блок поувесистее (вероятно некие записи). Внутренняя структура файла bootstat.dat не документирована, поэтому разобраться в том, какие именно параметры присутствуют в файле было проблематично. Однако на просторах Сети я обнаружил материал по структуре файла bootstat.dat и один из читателей предположил, что заголовок файла описывается структурой _BSD_FILE_HEADER. Вся эта крайне полезная информация уже хоть как-то приоткрывает завесу неизвестности относительно внутреннего устройства объекта нашего изучения. Мне всё же показалось, что второе предположение имеет под собой больше оснований, требуется дополнительное изучение и позже я обновлю статью.

Заголовок

Первые 16 (10h) байт являются заголовком и описываются структурой _BSD_FILE_HEADER:

который, фактически, описывается прототипом-перечислением RTL_BSD_ITEM_TYPE:

Соответственно, значения заголовка таковы:

Записи

За основным заголовком файла идут так называемые записи. Каждая запись, в свою очередь, имеет собственный заголовок, сразу за которым следуют данные записи.

Идентификатор события может принимать следующие значения:

Размерность NTSTATUS равна 4 байта. Путь к файлу записывается в кодировке UTF-8 и заканчивается 0. Для общей ошибки, тот же код NTSTATUS имеет размерность 4 байта.

События инициализации

Дополнительные данные для всех событий инициализации имеют следующий формат:

События запуска

Данные записи для запуска приложения имеют следующую форму:

События завершения

Актуально только для приложений этапа загрузки, для обычных приложений я не рассматривал. Когда приложения завершилось (в результате успешной работы, сбоя или отмены) данные в записи следующие:

Основываясь на наших предположениях, в имеющемся у нас в наличии файле C:\Windows\bootstat.dat присутствуют две записи. Маловато как-то для глобального файла статуса загрузки/завершения, не находите?

Эксперимент

После того, как мы предположили внутреннюю структуру файла, хорошо бы попробовать на практике произвести какие-нибудь изменения в файле и посмотреть на результат.

1. Я начал с файла, расположенного в C:\Windows\bootstat.dat и попытался изменить уже существующую запись (начинающуюся по смещению 00000810), отредактировав её категорию на значение 03 (ошибка), в дополнение к этому я изменил в заголовке значение размера актуальных байтов с нулевого на значение, включающее все существующие записи. Результат был отрицательным, изменения не произвели никакого эффекта, загрузка произошла в нормальном режиме.
2. Затем я решил создать новую записи после двух уже имеющихся, за эталон я взял уже существующую запись и изменил в ней время, категорию записи на 03 (ошибка), идентификатор события на 16 (общая ошибка), подправил длину записи. Перезагрузка привела к аналогичному отрицательному результату, загрузка прошла в нормальном режиме, никаких проблем система не обнаружила.
3. Далее я вовсе решил удалить файл C:\Windows\bootstat.dat. Удивило меня то обстоятельство, что загрузка опять прошла в штатном режиме, а файл так и не появился. Выходит, его никто и не создал. Удаление я проводил на машине со стандартной PCAT (MBR) загрузкой. После этого я уже совсем распоясался и удалил для полноты ощущений еще и файл \boot\bootstat.dat из несмонтированного системного раздела. И тот же результат: загрузка прошла нормально, файлы не появились.

Я помню, что в своё время повреждение файла bootstat.dat доставляло множество проблем не только в Windows XP и Vista, но даже и в начальных версиях Windows 7? Неужели на каком то этапе разработки Windows 7 (SP1 версии 6.1.7601) разработчики пересмотрели функциональные характеристики данного файла и он более не играет ключевой роли? Но ведь код в системе в многочисленных модулях сохраняется. Это пока для меня загадка, вероятно я упустил некоторые особенности.
Делаем предварительные выводы:

• Файл не используется в качестве причины для запуска средства восстановления при загрузке.
• Файл %SystemDrive%\boot\bootstat.dat (наряду с файлом ntbtlog.txt/bootlog.txt) начинает использоваться при включении опции boot status logging (включается через msconfig.exe).