[Gold Dragon]

на самое нижнее место »

т.е. в самый конец списка?

спустя минут 3-5 делаете остановку приема информации в буфер "Сtrl+E" »

а выделять перед этим надо чтото?

[Valeant]

Gold Dragon,
У вас на экране как обычно во всех приложениях буфер заполняется с верху, по мере заполнения экрана он будет опускаться ниже, естественно чтоб легче было начать осмотр его лучше поймать то место. Устанавливая мышь текущую строчку вы делаете ее активной.

[Gold Dragon]

Valeant, сделал,как написали,вроде правильно,скопировал в буфер,т.к. значений черезчур много,воспользоволся поиском по ntdll.dll,и эта ntdll.dll постоянна связана с процессом DllHost.exe
вот пример

[Valeant]

Gold Dragon,
Ну а мышкой не судьба была нажать на данной строчке

[Gold Dragon]

Valeant, а что найти то нужно?Открываеться 3 вкладки: "event","process" и "stack" .

[Valeant]

Так как у вас подозрение как вы пишите на dllhost.exe то он один не запсукается он всегда идет с командой типа GUI - {}
C:\Windows\system32\DllHost.exe /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}

Вам нужно что у вас в фигурных скобках, в реестре ищите ее название.
У меня подозрение что у вас будет тот же GUI - Thumbnail Cache Out of Proc Server, в реестре напротив этого GUI должно быть DllSurrogate пустая строка, который отвечает за кеширование иконок для отображения их в проводнике.

Или что-то другое, но в любом случае нежен C:\Windows\system32\DllHost.exe /Processid:{......}

[Gold Dragon]

Valeant, вот что есть:
Операция: Load Image
Команда: C:\Windows\system32\DllHost.exe /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
В реестре данный ключ находиться по адресу HKEY_CLASSES_ROOT\AppID\{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
и имеет 2 параметра REG_SZ :
1) название (По умолчанию) ;Значение Thumbnail Cache Out of Proc Server.
2) название DllSurrogate ;Значение пусто.

Операция: QueryNameInformationFile
Команда: C:\Windows\system32\DllHost.exe /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
В реестре данный ключ находиться по адресу HKEY_CLASSES_ROOT\CLSID\{AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}
и имеет 2 параметра REG_SZ:
1) название (По умолчанию) ;Значение Thumbnail Cache Class Factory for Out of Proc Server.
2) название AppID ;Значение {AB8902B4-09CA-4bb6-B78D-A8F59079A8D5}.

Операция: CreateFile
Команда: "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe" -host

Операция: SetBasicInformationFile
Команда: "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe" -host

Операция: QueryAttributeTagFile
Команда: "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe" -host

Операция: Load Image
Команда: C:\Windows\system32\wermgr.exe -queuereporting

Операция: QueryNameInformationFile
Команда: C:\Windows\system32\AUDIODG.EXE 0x398

Операция: Load Image
Команда: "C:\Windows\system32\SearchProtocolHost.exe" Global\UsGthrFltPipeMssGthrPipe4_ Global\UsGthrCtrlFltPipeMssGthrPipe4 1 -2147483646 "Software\Microsoft\Windows Search" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT; MS Search 4.0 Robot)" "C:\ProgramData\Microsoft\Search\Data\Temp\usgthrsvc" "DownLevelDaemon"

ну и дальше в том же духе.И winRAR и jetaudio вызывают ntdll.dll

[Valeant]

Gold Dragon,
Как и говорил ранее подозрение на Thumbnail. Такое поведение DllHost возможно при создании эскизов файлов и формирование базы по ним thumbcache_32.db и т.д. по моему система просто не может эту базу создать или сопоставить с кодеком.
C:\Users\...\AppData\Local\Microsoft\Windows\Explorer
thumbcache_32.db где NN обозначает максимальный размер (в пикселях)
thumbcache_96.db
...
ExplorerStartupLog.etl
ExplorerStartupLog_RunOnce.etl
thumbcache_idx.db (индекс базы данных)
thumbcache_sr.db

DllHost.exe /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
Это может приводить к постоянной загрузке CPU, так же создается кеш этих превьюшек результатом будут файлы
Я уже ссылку на это оставлял
http://www.docwin.ru/article912.html


QueryNameInformationFile - запрос информации о файле в столбце Path
CreateFile - создать файл, или открыть на запись
SetBasicInformationFile - если посмотреть в столбец detail то увидите информацию о файле (создан, дата, время и т.д.)
Load image - загрузить (дословный изображение, но реально файл в память)
QueryNameInformationFile - Query - сделать запрос ....

Требует ресурсы у вас и Kaspersky Internet Security 2010 так как что-то создает, проверяет, запрашивает.

Работает SearchProtocolHost.exe - Search (протокол службы поиска) но она много времени брать не должна, если запустите ProcessExplorer и посмотрите на нее в столбце CPU Tume то там должны стоять крохи, она должна отработать и исчезнуть и остаться только должна SearchIndexer.exe - Индексатор службы Microsoft Windows Search

ntdll.dll - это связка приложений с ядром windows

[Gold Dragon]

Это может приводить к постоянной загрузке CPU »

и что с этим делать?Как то можно помочь системе?
За ссылку спасибо,сейчас читаю.

Требует ресурсы у вас и Kaspersky Internet Security 2010 так как что-то создает, проверяет, запрашивает. »

Что правда-то правда.

Работает SearchProtocolHost.exe - Search (протокол службы поиска) но она много времени брать не должна »

Странно,он у меня постояно висит (процесс SearchIndexer.exe запустил 2 дочерних процесса SearchProtocolHost.exe и SearchFilterHost.exe .

ntdll.dll - это связка приложений с ядром windows »

Ок,запомнил.
А как определить,что тот или иной процесс запустила ОС или доверенные программы,а не вирус,руткит и пр. дрянь?Смотреть путь к файлу и потом проверять KIS?
А ProcessExplorer видит скрытые процессы?

[Vancouver]

Gold Dragon, почему не сузить поле поиска проблемы ? Удалить KIS.