【水·技术】浅谈Windows 10 Build 9879的磁盘清理的System Compression

Mouri_Naruto

PS：估计看完这篇文章的巨神们可能会认为我这个帖子有些微不足道，既然这样，就当我来水经验好了

PS：感谢@不离不弃的包子，@zifeityzyicq和@ART-Master ，没有他们，我也没有办法水经验

PS：以下正文开始



说到Windows 10 Build 9879的新特性，磁盘清理的System Compression肯定会被注意到；我昨天试了一下，效果超级棒（C盘增加了10GB空闲空间）；但这引起了我的好奇心，我的直觉告诉我，应该是NTFS压缩，但是，当我随便看一个系统盘下的文件的属性时让我目瞪口呆



以上是ntoskrnl.exe的属性截图，NTFS压缩竟然不勾选，而且看占用和大小这两栏数字，明显发现是压缩过的

……“这种黑科技，微软是怎么做到的？”……我的疑惑越来越大，最终准备用IDA反汇编cleanmgr.exe


但是反编译后，发现cleanmgr.exe没有内建清理列表；但是一个注册表键“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\VolumeCaches”给予了我灵感，我想这应该就是cleanmgr的清理列表，事实打开注册表也的确如此。浏览System Compression子键，如图



一般的人估计觉得这里没有什么特别的就走了，但是，我却发现了不同。我马上把（默认）这个值的GUID放进注册表编辑器的搜索选项，结果发现System Compression是调用WofDsCln.dll实现的。于是我准备去SysWOW64去找这个文件（因为32位IDA不能反汇编64位PE文件），但是没有找到；我去远景求助，感谢包子君把32位的WofDsCln.dll发给我

当我求助的时候，也没有忘记用7zip查看WofDsCln.dll的内容，粗略看了看，调用的一个函数引起了我的注意，那就是DeviceIOControl和GetCompressedFileSizeW；我去问zifeityzyicq，他告诉我估计是NTFS压缩的新算法，看看传入DeviceIOControl的是什么参数。

一会儿QQ新消息来了，原来是包子把文件发来了，万岁！我终于可以放大招了

粗略的用IDA看了看，也了解了System Compression的原理（在最后会说明），本来想写个Demo的（非常感谢ART-Master的指导，虽然最后没有写出来，我觉得很愧疚），结果代码Debug出错，出错代

码是0x00000157（也就是请提供Provider）；遂我只好放弃了（抱歉）

顺便把反汇编后的主要操作的C++伪代码贴一下

1. char __fastcall CompressFile(void *a1, const WCHAR *a2, void *a3, unsigned __int16 *a4, struct _WIN32_FIND_DATAW *a5, struct _COMPRESS_STATS *a6)
   
2. {
   
3.   char v6; // zf@1
   
4.   unsigned int v8; // ecx@3
   
5.   int v9; // eax@3
   
6.   char v10; // bl@6
   
7.   unsigned __int8 v11; // cf@6
   
8.   const WCHAR *v12; // ecx@7
   
9.   const WCHAR v13; // ax@8
   
10.   int v14; // ecx@9
    
11.   const wchar_t *v15; // edi@10
    
12.   DWORD v16; // eax@19
    
13.   HANDLE v17; // ecx@21
    
14.   int v18; // edi@24
    
15.   const WCHAR *lpFileName; // [sp+10h] [bp-30h]@1
    
16.   int v20; // [sp+14h] [bp-2Ch]@3
    
17.   DWORD BytesReturned; // [sp+18h] [bp-28h]@13
    
18.   int v22; // [sp+1Ch] [bp-24h]@3
    
19.   DWORD v23; // [sp+20h] [bp-20h]@19
    
20.   HANDLE FileSizeHigh; // [sp+24h] [bp-1Ch]@1
    
21.   int OutBuffer; // [sp+28h] [bp-18h]@13
    
22.   int v26; // [sp+2Ch] [bp-14h]@16
    
23.   int v27; // [sp+30h] [bp-10h]@16
    
24.   unsigned __int32 v28; // [sp+34h] [bp-Ch]@16
    
25.   int v29; // [sp+38h] [bp-8h]@16
    
26. 
    
27.   v6 = (*(_BYTE *)a3 & 0x10) == 0;
    
28.   lpFileName = a2;
    
29.   FileSizeHigh = a1;
    
30.   if ( !v6 )
    
31.     return 1;
    
32.   v8 = *((_DWORD *)a3 + 8);
    
33.   v9 = *((_DWORD *)a3 + 7);
    
34.   v20 = *((_DWORD *)a3 + 8);
    
35.   v22 = v9;
    
36.   if ( v9 > 0 || v9 >= 0 && v8 >= 0x2000 )
    
37.   {
    
38.     v12 = a2;
    
39.     do
    
40.     {
    
41.       v13 = *v12;
    
42.       ++v12;
    
43.     }
    
44.     while ( v13 );
    
45.     v14 = v12 - (a2 + 1);
    
46.     v10 = 1;
    
47.     if ( (unsigned int)v14 <= 4 || (v15 = &a2[v14 - 4], __wcsicmp(v15, L".exe")) && __wcsicmp(v15, L".dll") )
    
48.     {
    
49.       v11 = __CFADD__((*((_DWORD *)a4 + 8))++, 1);
    
50.       *((_DWORD *)a4 + 9) += v11;
    
51.     }
    
52.     if ( DeviceIoControl(FileSizeHigh, 0x90310u, NULL, 0, &OutBuffer, 0x14u, &BytesReturned, NULL)
    
53.       || GetLastError() == 234
    
54.       || GetLastError() == 122
    
55.       || (v29 = 0,
    
56.           v28 = WofAlgorithm,
    
57.           OutBuffer = 1,
    
58.           v26 = 2,
    
59.           v27 = 1,
    
60.           !DeviceIoControl(FileSizeHigh, 0x9030Cu, &OutBuffer, 0x14u, NULL, 0, &BytesReturned, NULL))
    
61.       && GetLastError() != 344
    
62.       && GetLastError() != 317 )
    
63.       return v10;
    
64.     v16 = GetCompressedFileSizeW(lpFileName, (LPDWORD)&FileSizeHigh);
    
65.     v23 = v16;
    
66.     if ( v16 == -1 )
    
67.     {
    
68.       if ( GetLastError() )
    
69.       {
    
70.         v16 = 0;
    
71.         v17 = NULL;
    
72. LABEL_24:
    
73.         v18 = v22;
    
74.         if ( !v20 )
    
75.         {
    
76.           if ( !v22 )
    
77.           {
    
78.             v17 = NULL;
    
79.             v16 = 0;
    
80.           }
    
81.         }
    
82.         v11 = __CFADD__(v20, *((_DWORD *)a4 + 12));
    
83.         *((_DWORD *)a4 + 12) += v20;
    
84.         *((_DWORD *)a4 + 13) += v18 + v11;
    
85.         v11 = __CFADD__(v16, *((_DWORD *)a4 + 16));
    
86.         *((_DWORD *)a4 + 16) += v16;
    
87.         *((_DWORD *)a4 + 17) += (char *)v17 + v11;
    
88.         v11 = __CFADD__((*((_DWORD *)a4 + 2))++, 1);
    
89.         *((_DWORD *)a4 + 3) += v11;
    
90.         return v10;
    
91.       }
    
92.       v16 = v23;
    
93.     }
    
94.     v17 = FileSizeHigh;
    
95.     goto LABEL_24;
    
96.   }
    
97.   v10 = 1;
    
98.   v11 = __CFADD__((*((_DWORD *)a4 + 10))++, 1);
    
99.   *((_DWORD *)a4 + 11) += v11;
    
100.   return v10;
     
101. }

复制代码

总体来说，这个System Compression的原理还是挺搞笑的，那就是把Windows目录和Program Files目录下的所有的EXE和DLL文件采用WofAlgorithm压缩（Wof算法，估计有人会疑问，说白了就是对每个文件进行WIMBoot压缩）

顺便也想说，去MSDN查了查那个IO码，也就是FSCTL_SET_EXTERNAL_BACKING和FSCTL_GET_EXTERNAL_BACKING；最低要求Windows 8.1 Update；但是微软在C++的头文件里写最低要求Win7？莫非是WIMBoot早就在Win7就策划好了？@vb4112 麻烦巨神解答一下

如果有大神可以写出Demo，希望可以Open Source让我们这群小白拜读，感激不尽

谢谢，Mouri_Naruto写于2014年12月21日

Mouri_Naruto

二楼是我的了

locationiskey

把Windows目录和Program Files目录下的所有的EXE和DLL文件压缩？

这………………感觉有点瞎

Mouri_Naruto

locationiskey 发表于 2014-12-21 10:26
把Windows目录和Program Files目录下的所有的EXE和DLL文件压缩？

这………………感觉有点瞎

虽然当时我也惊呆了，但是原理就是这样……

locationiskey

Mouri_Naruto 发表于 2014-12-21 10:28
虽然当时我也惊呆了，但是原理就是这样……

这是要把wimboot进行到底吗……………………

Mouri_Naruto

locationiskey 发表于 2014-12-21 10:30
这是要把wimboot进行到底吗……………………

嗯，即使这样我觉得也不错，希望可以替代NTFS压缩

diy371

晕！这都能研究出来了，快揭了微软的老底了

locationiskey

Mouri_Naruto 发表于 2014-12-21 10:31
嗯，即使这样我觉得也不错，希望可以替代NTFS压缩

唔有点意思……
代替NTFS可能比较头大，毕竟这意味着其它系统无法正常访问吧？

598087422

这玩意儿看起来比wimboot更方便？

Mouri_Naruto

598087422 发表于 2014-12-21 10:35
这玩意儿看起来比wimboot更方便？

是的，更灵活

pengbangbo

已经不知道自己看的是什么了。。。

byyxx126

话说在64位系统上cleanmgr启动慢又是什么情况，就是后台有进程但是前台什么也没有，半天后才出来对话框。

Mouri_Naruto

pengbangbo 发表于 2014-12-21 10:53
已经不知道自己看的是什么了。。。

可能是我自己写得不太好……抱歉

Mouri_Naruto

locationiskey 发表于 2014-12-21 10:32
唔有点意思……
代替NTFS可能比较头大，毕竟这意味着其它系统无法正常访问吧？

是的……但是我觉得说不定有人可以移植到Win7呢

flea888

磁盘清理的System Compression ,我把它勾选上，清理完重启系统，发现进不了系统了，一开是还不知道是哪里出了问题，因为觉得磁盘清理里面的东西理所当然可以勾选删除，第三次重装系统后才搞清楚原来问题就是勾选了 System Compression.

一间坊

System Compression在win10是个亮点，神秘强大。

Mouri_Naruto

一间坊 发表于 2014-12-21 11:10
System Compression在win10是个亮点，神秘强大。

嗯，是的

如果可以移植到旧版Windows就好了

一间坊

Mouri_Naruto 发表于 2014-12-21 11:14
嗯，是的

如果可以移植到旧版Windows就好了

依文

NTFS压缩对磁盘的分配单元大小限制性很大，如果我没记错的话，分配单元大小超过4KB就不能使用NTFS压缩了。
ReFS文件系统强制使用64KB的分配单元大小，是无法应用NTFS的压缩算法的，我猜测微软是打算用WIM压缩算法代替NTFS压缩算法，从而在ReFS上也能实现压缩支持。

Mouri_Naruto

依文 发表于 2014-12-21 11:30
NTFS压缩对磁盘的分配单元大小限制性很大，如果我没记错的话，分配单元大小超过4KB就不能使用NTFS压缩了。
...

还有超过32GB的文件也不能NTFS压缩