Windows 2000 秘密武器：Gflags.exe 全域旗標編輯器深度解析 (上)

全域旗標 是 Windows 核心為除錯、診斷、效能分析預留的行為開關，儲存於登錄碼 HKLM\SYSTEM\CurrentControlSet\Control\Session Manager 及映像檔標頭。Gflags.exe (Global Flags Editor) 為 Support Tools 提供的圖形/命令列雙模式工具，允許管理員啟用/停用核心除錯支援 (如頁面堆積、記憶體檢查、載入器斷點)、追蹤 API 呼叫、模擬低資源環境。本文完整解析 GUI 版介面架構、五大分類 30+ 旗標含義、命令列對應參數與實戰啟用流程。

工具定位與啟用機制

• 支援平台：Windows 2000 / XP / Server 2003 (後續版本內建)。
• 雙模式：GUI (gflags.exe) / CLI (gflags.exe /p ...) 功能對等。
• 關鍵特性：修改旗標後 必須重新開機 才能生效 (核心啟動時讀取登錄碼/映像標頭)，這與多數即時生效的系統工具截然不同。
• 適用目標三選一 (GUI「目的地」分頁單選)：
  1. 系統登錄碼 — 影響所有進程 (全域)，重開機生效。
  2. 核心模式 — 啟用核心除錯器連接 (KD/WinDbg)。
  3. 映像檔 — 僅影響指定 .exe/.dll (需指定完整路徑與命令列參數)，類似「相容性」設定但層級更深。

GUI 介面五大分類旗標完整對照表

介面以彩色矩形框分組 (藍/粉紅/綠/紅/橢圓)，對應功能領域：

實戰啟用流程：記憶體洩漏偵測標準作業

1. 目標：懷疑 MyApp.exe 存在 Heap Leak。
2. GUI：啟動 gflags.exe → 目的地選「映像檔」 → 映像檔名輸入 C:\App\MyApp.exe → 命令列留白。
3. 勾選粉紅組核心三項：HTC (尾部檢查)、HFC (釋放檢查)、HTG (標記追蹤)。
4. 點擊 Apply → 系統提示需重開機 → 確定重開機。
5. 重開機後，啟動 MyApp.exe 重現洩漏場景。
6. 附加 WinDbg：windbg -p PID → 執行 !heap -s 總覽 → !heap -t -stat 依標記統計 → 定位可疑標記 → !heap -p -a Address 回溯配置堆疊。
7. 分析完成 → 重新啟動 Gflags → 取消勾選 → Apply → 重開機還原生產環境。

命令列對應參數速查

# 啟用系統全域旗標 (需重開機)
gflags /r +HTC +HFC +HTG    # 啟用尾部檢查、釋放檢查、標記追蹤
gflags /r -HTC -HFC -HTG    # 停用

# 啟用單一映像檔旗標 (需重開機)
gflags /p C:\App\MyApp.exe +HTC +HFC +HTG
gflags /p C:\App\MyApp.exe -HTC -HFC -HTG

# 查詢目前旗標狀態
gflags /r                   # 系統全域
gflags /p C:\App\MyApp.exe  # 指定映像檔

# 核心池標記 (需核心除錯器)
gflags /k +PTG +PTD
gflags /k TagName=MyDrvTag

下篇預告

下一篇將深入解析 PageHeap (頁面堆疊)、Application Verifier、UST/KST 堆疊追蹤資料庫 進階技術，以及如何結合 WinDbg 進行「零程式碼修改」的生產環境記憶體/效能/死結診斷。