系统上的System Writer突然消失了

  • Article

大家好，在最近的工作中，我的几位客户在Windows 2008的系统上遇到了系统备份失败的问题。这些问题有一个共同点是：当问题发生后，如果我们通过Vssadmin list writers去枚举系统上安装的VSS writers, System Writer在列表中消失了。而在系统备份之前，System Writer还处于 正常工作状态。

如果我们检查系统的事件日志，会在应用程序日志中发现类似于以下信息的记录

Log Name: Application

Source: Microsoft-Windows-CAPI2

EventID: 513

Level: Error

Description:
Cryptographic Services failed while processing the OnIdentity() call in the
System Writer Object.

Details:
AddCoreCsiFiles : RtlConvertNtFilePathToWin32Path() failed.

注意： 在具体的信息描述中，不同系统所报告的问题函数名称有可能不同。

在联系微软之前，许多客户已经在Internet上查询了许多相似的讨论，例如https://support.microsoft.com/kb/2009272。但是很多问题还是无法得到解决。有的客户甚至收集 了VSS的Event Tracing日志，仍然无法定位到问题。

 由于这个问题在不同客户的系统 中集中体现，我抽了一些时间来研究System Writer的具体行为。发现通过一些我们常用的调试工具，我们还是可以 很方便地定位到问题。

首先，System Writer是运行在Cryptographic Services服务中个一个组件。这也就是为什么系统日志 中会出现Microsoft-Windows-CAPI2的错误信息。我们可以尝试跟踪Cryptographic Services来了解System Writer的一些具体行为。

另外，根据https://technet.microsoft.com/en-us/library/bb968827(VS.85).aspx 提供的信息，System Writer主要用于协助系统提供以下文件的快照：

  • All the installed Static files
  • Windows Side-by-Side (WinSxS) directory
  • All PnP files for installed drivers (owned by PnP).
  • All user-mode services and non-PnP drivers.
  • All catalogs owned by CryptSvc.

简单来说，System Writer只提供一些系统文件的快照服务。

最后，我们可以通过事件日志中的信息，例如RtlConvertNtFilePathToWin32Path，来确认引起问题的的确是一些文件系统相关的操作。在理解了System Writer的行为后，通过我们常用的Process Monitor工具，https://technet.microsoft.com/en-us/sysinternals/bb896645，我们可以定位到导致问题的具体位置。

  1. 使用tasklist /svc来确认Cryptographic Services运行的SVChost.exe的进程ID.
  2. Process Monitor跟踪问题重现的整个过程并设置合适的过滤条件。
  3. 在Process Monitor，我们会看到Cryptographic Services进行大量的文件访问。我们不需要检查所有文件的访问结果。只需要注意最后一个文件或文件夹的访问。通常，这个文件也就是导致系统事件日志中特定文件操作失败的原因。

当理解了文件访问异常的原因后，我们可以相应的找到解决问题的方法。例如，在我遇到的一个案例中，Process Explorer最后显示如下的结果。

svchost.exe       912         QueryDirectory              
C:\Windows\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files\xxxxxx\assembly\dl3

svchost.exe      912         CloseFile               
C:\Windows\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files\ xxxxxx\assembly\dl3

正常情况下，当系统QueryDirectory之后，应该会枚举其中的文件。但在这个例子中，系统马上关闭了该文件夹的句柄。显然，对该文件夹的访问出现异常。 当我们简单移除这个文件夹后，系统恢复正常。

 

  本博文仅供参考，微软公司对其内容不作任何责任担保或权利赋予