SCHOOL NAVIGASJON
- Hva er SysInternals Tools og hvordan bruker du dem?
- Forstå Process Explorer
- Bruk Prosess Explorer til Feilsøking og Diagnose
- Forstå prosessovervåking
- Bruk Prosess Monitor til Feilsøking og Finn Register Hacks
- Bruke Autoruns å håndtere oppstartsprosesser og malware
- Bruke BgInfo til å vise systeminformasjon på skrivebordet
- Bruke PsTools til å kontrollere andre PCer fra kommandolinjen
- Analysere og administrere filer, mapper og stasjoner
- Pakke opp og bruke verktøyene sammen
I motsetning til Process Explorer-verktøyet som vi har brukt noen dager på, er Process Monitor ment å være et passivt blikk på alt som skjer på datamaskinen, ikke et aktivt verktøy for å drepe prosesser eller lukkehåndtak. Dette er som å ta en titt på en global loggfil for hver enkelt hendelse som skjer på din Windows-PC.
Vil du forstå hvilke registernøkler ditt favorittprogram faktisk lagrer innstillingene i? Vil du finne ut hvilke filer en tjeneste berører og hvor ofte? Vil du se når et program kobler til nettverket eller åpner en ny prosess? Det er Process Monitor til redning.
Vi gjør ikke mye registerhackartikler lenger, men tilbake da vi først startet, ville vi bruke Process Monitor til å finne ut hvilke registertastene som ble åpnet, og deretter gå til de registernøklene for å se hva som ville skje. Hvis du noen gang har lurt på hvordan noen nekter fant ut et registerhakk som ingen noensinne har sett, var det sannsynligvis gjennom Process Monitor.
Prosess Monitor-verktøyet ble opprettet ved å kombinere to forskjellige eldre skoleverktøy sammen, Filemon og Regmon, som ble brukt til å overvåke filer og registeraktivitet som deres navn innebærer. Mens disse verktøyene fremdeles er tilgjengelige der ute, og mens de passer etter dine spesifikke behov, vil du være mye bedre med Process Monitor, fordi det kan håndtere et stort antall hendelser bedre på grunn av det faktum at det var designet for å gjøre det.
Det er også verdt å merke seg at Process Monitor alltid krever administratormodus fordi den laster en kjernedriver under hetten for å fange alle disse hendelsene. I Windows Vista og senere blir du bedt om å ha en UAC-dialog, men for XP eller 2003 må du kontrollere at kontoen du bruker, har administratorrettigheter.
Hendelsene som prosessovervåker fanger
Process Monitor fanger opp massevis av data, men det tar ikke opp alt som skjer på PCen. For eksempel bryr Process Monitor seg ikke om du flytter musen rundt, og det vet ikke om driverne jobber optimalt. Det kommer ikke til å spore hvilke prosesser som er åpne og kaste bort CPU på datamaskinen din - det er jobben til Process Explorer, tross alt.
Hva det gjør, er å fange opp bestemte typer I / O-operasjoner (Input / Output), enten de skjer via filsystemet, registret eller nettverket. Det vil i tillegg spore noen andre hendelser på en begrenset måte. Denne listen dekker hendelsene som den tar opp:
- Registry - dette kan skape nøkler, lese dem, slette dem eller spørre dem. Du blir overrasket hvor ofte dette skjer.
- Filsystem - Dette kan være filoppretting, skriving, sletting, etc, og det kan være for både lokale harddisker og nettverksstasjoner.
- Network - Dette vil vise kilden og destinasjonen for TCP / UDP-trafikk, men dessverre viser den ikke dataene, noe som gjør det litt mindre nyttig.
- Prosess - Dette er hendelser for prosesser og tråder der en prosess er startet, en tråd starter eller utganger, etc. Dette kan være nyttig informasjon i visse tilfeller, men er ofte noe du vil se på i Process Explorer istedet.
- profilering - Disse hendelsene er fanget av Process Monitor for å sjekke hvor mye prosessortid som brukes av hver prosess, og minnebruk. Igjen vil du sannsynligvis bruke Process Explorer til å spore disse tingene mesteparten av tiden, men det er nyttig her hvis du trenger det.
Så Process Monitor kan fange hvilken som helst type I / O-operasjon, enten det skjer via registeret, filsystemet eller nettverket - selv om de faktiske dataene som skrives ikke er tatt. Vi ser bare på at en prosess skriver til en av disse strømmene, slik at vi senere kan finne ut mer om hva som skjer.
Prosessovervåkingsgrensesnittet
Det første du vil gjøre er å filtrere de millioner av rader ned til den mye mindre delmengden med data du vil se, og vi skal lære deg hvordan du lager filtre og null inn på akkurat det du vil finne. Men først bør du forstå grensesnittet og hvilke data som faktisk er tilgjengelige.
Ser på standard kolonnene
Standard kolonnene viser massevis av nyttig informasjon, men du vil definitivt trenge litt kontekst for å forstå hvilke data hver faktisk inneholder, fordi noen av dem kan se ut som noe dårlig skjedde når de er virkelig uskyldige hendelser som skjer hele tiden under hette. Her er hva hver standard kolonnene brukes til:
- Tid - Denne kolonnen er ganske selvforklarende, den viser nøyaktig tidspunktet for at en hendelse oppstod.
- Prosessnavn - navnet på prosessen som genererte arrangementet. Dette viser ikke hele banen til filen som standard, men hvis du svinger over feltet, kan du se nøyaktig hvilken prosess det var.
- PID - prosess-ID for prosessen som genererte hendelsen. Dette er veldig nyttig hvis du prøver å forstå hvilken svchost.exe-prosess som genererte hendelsen. Det er også en fin måte å isolere en enkelt prosess for overvåking, forutsatt at prosessen ikke starter opp igjen.
- Operasjon - Dette er navnet på operasjonen som blir logget, og det er et ikon som samsvarer med en av hendelsestyper (register, fil, nettverk, prosess). Disse kan være litt forvirrende, for eksempel RegQueryKey eller WriteFile, men vi prøver å hjelpe deg gjennom forvirringen.
- Sti - Dette er ikke banen i prosessen, det er veien til det som ble jobbet på av denne hendelsen. For eksempel, hvis det var en WriteFile-hendelse, vil dette feltet vise navnet på filen eller mappen som berøres. Hvis dette var en registerhendelse, ville det vise full nøkkel som ble åpnet.
- Resultat - Dette viser resultatet av operasjonen, som koder som SUCCESS eller ACCESS DENIED. Mens du kanskje er fristet til å automatisk anta at en BUFFER TOO SMALL betyr noe som virkelig skjedde, er det egentlig ikke tilfelle mesteparten av tiden.
- Detalj - Ytterligere informasjon som ofte ikke oversettes til den vanlige nøkternes feilsøkingsverden.
Du kan også legge til flere ekstra kolonner i standardvisningen ved å gå til Valg -> Velg kolonner. Dette ville ikke være vår anbefaling for ditt første stopp når du begynner å teste, men siden vi forklarer kolonner, er det verdt å nevne allerede.
- Kommandolinje - Mens du kan dobbeltklikke på noe arrangement for å se kommandolinjeprinsene for prosessen som genererte hver hendelse, kan det være nyttig å se på alle mulighetene raskt.
- selskapsnavn - Hovedårsaken til at denne kolonnen er nyttig, er at du enkelt kan ekskludere alle Microsoft-hendelser raskt og begrense overvåkingen til alt annet som ikke er en del av Windows. (Du vil være sikker på at du ikke har noen rare rundll32.exe prosesser som kjører ved hjelp av Process Explorer, siden de kan skjule skadelig programvare).
- Foreldre PID - Dette kan være svært nyttig når du feilsøker en prosess som inneholder mange barnprosesser, som en nettleser eller et program som fortsetter å lansere sketchy ting som en annen prosess. Du kan da filtrere etter foreldre PID for å sikre at du fanger alt.
Det er verdt å merke seg at du kan filtrere etter kolonnedata, selv om kolonnen ikke vises, men det er mye lettere å høyreklikke og filtrere enn å gjøre det manuelt. Og ja, vi nevnte filtre igjen, selv om vi ikke har forklart dem enda.
Undersøkelse av en enkelt hendelse
Å se ting i en liste er en fin måte å raskt se mange forskjellige datapunkter på, men det er definitivt ikke den enkleste måten å undersøke et enkelt data, og det er bare så mye informasjon du kan se i liste. Heldigvis kan du dobbeltklikke på noe arrangement for å få tilgang til en skattekiste med ekstra informasjon.
Standardhendelsesfanen gir deg informasjon som stort sett ligner på det du så på listen, men vil legge til litt mer informasjon til festen. Hvis du ser på en filsystemhendelse, kan du se visse opplysninger som attributter, filopprett tid, tilgangen som ble forsøkt under en skriveoperasjon, antall byte som ble skrevet, og varigheten.
For eksempel, tenk at en prosess hele tiden forsøkte å spørre eller få tilgang til en fil som ikke eksisterer, men du var ikke sikker på hvorfor.Du kan se gjennom Stack-kategorien og se om det var noen moduler som ikke så riktig ut, og deretter undersøke dem. Du kan finne en utdatert komponent, eller til og med skadelig programvare, forårsaker problemet.
Notater om bufferoverflyt
Før vi går videre, vil vi legge merke til en resultatkode som du skal begynne å se mye på listen, og basert på all din geekkunnskap så langt, kan du freak out litt om. Så hvis du begynner å se BUFFER OVERFLOW i listen, må du ikke anta at noen prøver å hacke datamaskinen.
Neste side: Filtrering av dataene som behandler skjermbildet Fanger
