NAVIGAZIONE SCOLASTICA
- Quali sono gli strumenti di SysInternals e come li usi?
- Capire Process Explorer
- Utilizzo di Process Explorer per la risoluzione dei problemi e la diagnosi
- Comprensione del monitor di processo
- Utilizzo di Process Monitor per la risoluzione dei problemi e la ricerca di blocchi di registro
- Utilizzo di Autoruns per gestire i processi di avvio e il malware
- Utilizzo di BgInfo per visualizzare le informazioni di sistema sul desktop
- Usare PsTools per controllare altri PC dalla riga di comando
- Analisi e gestione di file, cartelle e unità
- Avvolgimento e utilizzo degli strumenti insieme
A differenza dell'utilità Process Explorer che abbiamo trascorso alcuni giorni a coprire, Process Monitor è pensato per essere un passivo di tutto ciò che accade sul tuo computer, non uno strumento attivo per i processi di uccisione o la chiusura degli handle. Questo è come dare un'occhiata a un file di log globale per ogni singolo evento che accade sul tuo PC Windows.
Vuoi capire quali chiavi del registro la tua applicazione preferita sta effettivamente memorizzando le loro impostazioni? Vuoi capire quali file un servizio sta toccando e quanto spesso? Vuoi vedere quando un'applicazione si connette alla rete o apre una nuova procedura? È Process Monitor in soccorso.
Non facciamo più molti articoli di registro, ma quando abbiamo iniziato usavamo Process Monitor per capire a quali chiavi del Registro di sistema si stava accedendo, e poi prendiamo le chiavi del registro per vedere cosa succederebbe. Se vi siete mai chiesti come mai un geek ha scoperto una modifica del registro che nessuno ha mai visto, probabilmente era attraverso Process Monitor.
L'utilità Process Monitor è stata creata combinando insieme due diverse utility della vecchia scuola, Filemon e Regmon, che sono state utilizzate per monitorare i file e l'attività di registro come implicano i loro nomi. Anche se queste utility sono ancora disponibili là fuori, e anche se potrebbero soddisfare le tue particolari esigenze, faresti molto meglio con Process Monitor, perché può gestire meglio un grande volume di eventi grazie al fatto che è stato progettato per farlo.
Vale anche la pena notare che Process Monitor richiede sempre la modalità amministratore perché carica un driver del kernel sotto la cappa per catturare tutti quegli eventi. In Windows Vista e versioni successive, verrà visualizzata una finestra di dialogo Controllo dell'account utente, ma per XP o 2003 è necessario assicurarsi che l'account utilizzato disponga dei privilegi di amministratore.
Gli eventi che Process Monitor cattura
Process Monitor cattura una tonnellata di dati, ma non cattura ogni singola cosa che accade sul tuo PC. Ad esempio, Process Monitor non si preoccupa se si sposta il mouse e non sa se i driver funzionano in modo ottimale. Dopo tutto, non è in grado di tenere traccia di quali processi sono aperti e di sprecare CPU sul tuo computer, questo è il lavoro di Process Explorer.
Ciò che fa è catturare specifici tipi di operazioni I / O (Input / Output), sia che si verifichino attraverso il file system, il registro o persino la rete. Troverà inoltre alcuni altri eventi in modo limitato. Questo elenco copre gli eventi che cattura:
- Registro - questo potrebbe essere la creazione di chiavi, la lettura, la cancellazione o l'interrogazione. Sarai sorpreso di quanto spesso ciò accada.
- File System - Questo potrebbe essere la creazione di file, la scrittura, l'eliminazione, ecc. E può essere sia per dischi rigidi locali che per unità di rete.
- Rete - questo mostrerà l'origine e la destinazione del traffico TCP / UDP, ma purtroppo non mostra i dati, rendendoli un po 'meno utili.
- Processi - Si tratta di eventi per processi e thread in cui un processo viene avviato, un thread inizia o termina, ecc. Questa può essere un'informazione utile in alcuni casi, ma è spesso qualcosa che si vorrebbe vedere in Process Explorer.
- profiling - Questi eventi vengono acquisiti da Process Monitor per verificare la quantità di tempo del processore utilizzata da ciascun processo e l'utilizzo della memoria. Di nuovo, probabilmente vorrai usare Process Explorer per tenere traccia di queste cose la maggior parte del tempo, ma è utile qui se ne hai bisogno.
In questo modo Process Monitor è in grado di acquisire qualsiasi tipo di operazione di I / O, indipendentemente dal fatto che avvenga tramite il registro, il file system o persino la rete, anche se i dati effettivi scritti non vengono acquisiti. Stiamo solo osservando il fatto che un processo sta scrivendo su uno di questi stream, quindi in seguito potremo scoprire di più su ciò che sta accadendo.
L'interfaccia di Process Monitor
La prima cosa che vorrai fare è filtrare quei milioni di righe fino al sottoinsieme di dati molto più piccolo che vuoi vedere, e ti insegneremo come creare filtri e inserire esattamente esattamente ciò che vuoi trovare. Ma prima, dovresti capire l'interfaccia e quali dati sono effettivamente disponibili.
Guardando le colonne di default
Le colonne di default mostrano un sacco di informazioni utili, ma avrai sicuramente bisogno di un contesto per capire quali dati contengono effettivamente ciascuno, perché alcuni di essi potrebbero sembrare qualcosa di brutto accaduto quando sono eventi davvero innocenti che accadono tutto il tempo sotto cappuccio. Ecco a cosa serve ciascuna delle colonne predefinite:
- Tempo - questa colonna è abbastanza auto-esplicativa, mostra l'ora esatta in cui si è verificato un evento.
- Nome del processo - il nome del processo che ha generato l'evento. Questo non mostra il percorso completo del file per impostazione predefinita, ma se passi il mouse sopra il campo puoi vedere esattamente quale processo è stato.
- PID - l'ID del processo del processo che ha generato l'evento. Questo è molto utile se stai cercando di capire quale processo svchost.exe ha generato l'evento. È anche un ottimo modo per isolare un singolo processo per il monitoraggio, supponendo che il processo non si rilanci da solo.
- operazione - questo è il nome dell'operazione che viene registrata e c'è un'icona che corrisponde a uno dei tipi di evento (registro, file, rete, processo). Questi possono essere un po 'di confusione, come RegQueryKey o WriteFile, ma cercheremo di aiutarti a superare la confusione.
- Sentiero - Questo non è il percorso del processo, è il percorso verso ciò che è stato elaborato da questo evento. Ad esempio, se c'è stato un evento WriteFile, questo campo mostrerà il nome del file o della cartella che viene toccata. Se si trattava di un evento di registro, mostrava l'accesso alla chiave completa.
- Risultato - Questo mostra il risultato dell'operazione, che codifica come SUCCESSO o ACCESSO NEGATO. Mentre si potrebbe essere tentati di assumere automaticamente che un BUFFER TROPPO PICCOLO significa che qualcosa di veramente brutto è accaduto, che in realtà non è il caso per la maggior parte del tempo.
- Dettaglio - informazioni aggiuntive che spesso non si traducono nel normale mondo di risoluzione dei problemi di geek.
Puoi anche aggiungere alcune colonne aggiuntive alla visualizzazione predefinita andando su Opzioni -> Seleziona colonne. Questa non sarebbe la nostra raccomandazione per il tuo primo arresto quando inizi a testare, ma poiché stiamo spiegando le colonne, è già da menzionare.
- Riga di comando - mentre è possibile fare doppio clic su qualsiasi evento per visualizzare gli argomenti della riga di comando per il processo che ha generato ciascun evento, può essere utile vedere rapidamente tutte le opzioni.
- Nome della ditta - il motivo principale per cui questa colonna è utile è che puoi semplicemente escludere rapidamente tutti gli eventi Microsoft e restringere il tuo monitoraggio a tutto ciò che non fa parte di Windows. (Dovrai assicurarti di non avere strani processi rundll32.exe in esecuzione utilizzando Process Explorer, dato che potrebbero nascondersi malware).
- PID padre - Questo può essere molto utile quando si risolve un processo che contiene molti processi figli, come un browser Web o un'applicazione che continua a lanciare cose imprecise come un altro processo. È quindi possibile filtrare dal PID padre per assicurarsi di catturare tutto.
Vale la pena notare che è possibile filtrare i dati delle colonne anche se la colonna non viene visualizzata, ma è molto più semplice fare clic con il pulsante destro del mouse e filtrare rispetto a farlo manualmente. E sì, abbiamo menzionato di nuovo i filtri anche se non li abbiamo ancora spiegati.
Esaminando un singolo evento
Guardare le cose in una lista è un ottimo modo per vedere rapidamente molti diversi punti di dati contemporaneamente, ma non è sicuramente il modo più semplice per esaminare un singolo pezzo di dati, e ci sono solo tante informazioni che puoi vedere nel elenco. Per fortuna puoi fare doppio clic su qualsiasi evento per accedere a un tesoro di informazioni extra.
La scheda Evento predefinita ti dà informazioni che sono in gran parte simili a ciò che hai visto nella lista, ma aggiungeranno un po 'più di informazioni alla festa. Se stai guardando un evento del file system, sarai in grado di vedere alcune informazioni come gli attributi, il tempo di creazione del file, l'accesso che è stato tentato durante un'operazione di scrittura, il numero di byte scritti e la durata.
Ad esempio, immagina che un processo stia costantemente cercando di interrogare o accedere a un file che non esiste, ma non eri sicuro del perché.Puoi guardare attraverso la scheda Stack e vedere se ci sono dei moduli che non sembrano giusti, e poi cercarli. Potresti trovare un componente obsoleto o addirittura malware che causa il problema.
Note sui buffer overflow
Prima ancora di procedere, vorremmo annotare un codice di risultato che inizierete a vedere molto nella lista e, basandomi su tutta la tua conoscenza di geek fino ad ora, potresti farci un po 'paura. Quindi se inizi a vedere BUFFER OVERFLOW nell'elenco, per favore non dare per scontato che qualcuno stia tentando di hackerare il tuo computer.
Pagina successiva: filtraggio dei dati acquisiti da Process Monitor
