如何使操作系統(tǒng)快速開關(guān)機(jī)之謎？(2)

　　4.　Winlogon.EXE調(diào)用一個原生API函數(shù)NtShutdownSystem()來命令系統(tǒng)執(zhí)行后面的掃尾工作。在這個階段里面，Windows執(zhí)行子系統(tǒng)會完成最后的關(guān)機(jī)操作，例如:設(shè)備驅(qū)動在這個階段里面完成一些驅(qū)動設(shè)定的特殊操作; 也是在這個階段，配置管理系統(tǒng)將被修改過的注冊表數(shù)據(jù)會寫道磁盤里面。等除了電源管理以后的全部子系統(tǒng)完成退出以后，電源管理完成最后的操作:如重啟、關(guān)機(jī)等。

　　了解了Windows的關(guān)機(jī)流程以后，下面分析一下前面說的快速關(guān)機(jī)操作是怎么完成的。先分析一下SuperFast Shutdown的原理，SuperFast Shutdown是使用Visual Basic編寫的，體積很小，就15KB，經(jīng)過分析以后得出一個令人驚訝的結(jié)論:SuperFast Shutdown首先使用RtlAdjustPrivilege()提升自己的權(quán)限，然后直接調(diào)用NtShutdownSystem() 函數(shù)來完成關(guān)機(jī)過程。由于跳過了最為耗費時間的前3個步驟而直接進(jìn)入第4個步驟，所以造成了能夠很快關(guān)機(jī)的假象。

　　再看看任務(wù)管理器的快速關(guān)機(jī)是如何實現(xiàn)的:分析結(jié)果也是類似于SuperFast Shutdown的原理，也是通過省略一些步驟來加快關(guān)機(jī)的速度。

　　那么，為什么在快速關(guān)機(jī)以后會出現(xiàn)設(shè)置丟失的情況呢?原因在于前3個步驟里面有一個讓進(jìn)程正常退出的可能。大多數(shù)軟件在編寫的時候會把一些設(shè)置保存在自己私有的內(nèi)存空間里面，當(dāng)軟件關(guān)閉的時候才把這些設(shè)置回寫到特定的地方，如注冊表或某個配置文件里面 。而關(guān)機(jī)操作的第4步并沒有提供一種途徑能夠讓這些設(shè)置記錄下來，因為這個階段Windows已經(jīng)認(rèn)為前面所有必須經(jīng)過的流程已經(jīng)完成，剩下的就是Windows核心組件的退出的問題了。在這種情況下，使用快速關(guān)機(jī)導(dǎo)致設(shè)置丟失也不足為怪了。

　　因此，為了你系統(tǒng)的健康，關(guān)機(jī)還是按照正常順序來，數(shù)據(jù)的安全性往往比節(jié)省的那幾十秒鐘重要的多。