MOKYMO NAVIGACIJA
- Kokie yra "SysInternals" įrankiai ir kaip juos naudoti?
- "Process Explorer" supratimas
- "Procesoriaus" naršyklės naudojimas siekiant trikčių šalinimo ir diagnozės
- Suprasti proceso monitorių
- "Process Monitor" naudojimas, siekiant ištaisyti ir rasti registro hacks
- Autoruns naudojimas dirbant su paleisties procesais ir kenkėjiškomis programomis
- Naudojant BgInfo rodyti sistemos informaciją darbalaukyje
- Naudojant "PsTools" valdyti kitus kompiuterius iš komandinės eilutės
- Failų, aplankų ir diskų analizė ir valdymas
- Įpakavimas ir įrankių naudojimas kartu
Mes sužinojome, kaip naudoti "Procesoriaus" naršyklę, kad galėtume pašalinti netoleruotus sistemos procesus ir "Process Monitor", kad pamatytumėte, ką jie daro po gaubtu. Mes sužinojome apie Autoruns, vieną iš galingiausių kovos su kenkėjiškų programų infekcijų įrankių, o "PsTools" - valdyti kitus kompiuterius iš komandinės eilutės.
Šiandien mes ketiname padengti likusias komplekte esančias komunalines paslaugas, kurios gali būti naudojamos įvairiais tikslais: nuo peržiūros tinklo jungčių iki failų sistemos objektų veiksmingų leidimų.
Bet pirmiausia mes pereisime hipotetinio pavyzdinio scenarijaus, kad galėtume sužinoti, kaip kartu galite spręsti problemą kartu su keliais įrankiais ir atlikti tam tikrą tyrimą, kas vyksta.
Kokią priemonę turėtumėte naudoti?
Darbui ne visada yra tik vienas įrankis - daug geriau juos visus naudoti. Štai pavyzdinis scenarijus, padėsiantis suprasti, kaip galite spręsti tyrimą, nors verta paminėti, kad yra keletas būdų išsiaiškinti, kas vyksta. Tai tik greitas pavyzdys, padedantis iliustruoti ir jokiu būdu nėra tikslus veiksmų, kuriuos reikia atlikti, sąrašas.
Scenarijus: sistema veikia lėtai, įtariama kenkėjiška programa
Pirmas dalykas, kurį turėtumėte padaryti, yra atidaryti "Process Explorer" ir sužinoti, kokie procesai naudojasi sistemos ištekliais. Nustačius procesą, "Process Explorer" turėtumėte naudoti įmontuotus įrankius, kad patikrintumėte, koks procesas iš tikrųjų yra, įsitikinkite, kad tai teisėtas, ir pasirinktinai nuskaitykite šį virusų procesą naudodami integruotą "VirusTotal" integraciją.
Pastaba:jei jūs tikrai manote, kad kyla kenkėjiška programa, dažnai naudinga iš interneto išjungti arba išjungti interneto prieigą prie šio įrenginio trikčių šalinimo metu, nors galbūt norėsite pirmiausia atlikti "VirusTotal" peržvalgų. Priešingu atveju kenkėjiška programa gali atsisiųsti daugiau kenkėjiškų programų arba perduoti daugiau jūsų informacijos.
Jei procesas yra visiškai teisėtas, nužudykite arba iš naujo paleiskite nusikalstamą procesą ir kryžkelkite pirštais, kad tai buvo netikras. Jei nenorite, kad šis procesas prasidėtų ilgiau, galite jį pašalinti arba naudoti "Autoruns", kad procesas nebūtų įkeltas paleidžiant.
Jei tai neišsprendžia problemos, gali būti laikas ištraukti "Process Monitor" ir analizuoti jau nustatytus procesus ir suprasti, ką jie bando pasiekti. Tai gali suteikti jums patarimų, kas iš tikrųjų vyksta - galbūt procesas bando pasiekti registro raktą ar failą, kurio nėra arba jis neturi prieigos, arba galbūt jis tiesiog bando užgrobti visus jūsų failus ir darykite daugybe esminių dalykų, pvz., prieiti prie informacijos, kurios tikriausiai neturėtų būti, arba nuskaityti visą savo diską dėl be priežasties.
Be to, jei įtariate, kad programa jungiasi prie kažko, ko ji neturėtų, kuri šnipinėjimo programų atveju yra labai įprasta, ištraukite TCPView įrankį, kad įsitikintumėte, ar taip yra.
Šiuo metu galbūt nusprendėte, kad procesas yra kenkėjiška programa arba "crapware". Bet kuriuo atveju jūs to nenorite. Galite paleisti pašalinimo procesą, jei jie yra išvardyti "Control Panel" sąraše "Pašalinti programas", tačiau daug kartų jie nėra sąraše arba netinkamai išvalomi. Tai yra tada, kai ištraukite "Autoruns" ir raskite visas vietas, kurias programa įkėlė į paleisties vietą, nukleiskite juos iš ten, tada nukleiskite visus failus.
Running a full virus scan of your system is also helpful, but lets be honest… most crapware and spyware gets installed despite anti-virus applications being installed. In our experience, most anti-virus will happily report “all clear” while your PC can barely operate because of spyware and crapware.
TCPView
Ši programa yra puikus būdas sužinoti, kokios programos jūsų kompiuteryje jungiasi prie kokių paslaugų per tinklą. Daugumą šios informacijos galite pamatyti komandinėje eilutėje naudojant netstat arba palikti "Process Explorer / Monitor" sąsajoje, tačiau daug lengviau tiesiog atidaryti TCPView ir sužinoti, kas sujungia su kitu.
Sąraše esančios spalvos yra gana paprastos ir panašios į kitas komunalines paslaugas: ryškiai žalios spalvos reiškia, kad jungtis tiesiog pasirodė, raudona reiškia, kad jungtis uždaroma, o geltona reiškia, kad ryšys pasikeitė.
Taip pat galite pažvelgti į proceso ypatybes, baigti procesą, uždaryti ryšį arba patraukti "Whois" ataskaitą. Tai paprasta, funkcionalus ir labai naudingas.
Pastaba:Kai pirmą kartą įkeliate TCPView, iš sistemos [System Process] esančių jungčių galima pamatyti daugybę interneto adresų, bet tai paprastai nėra problema. Jei visos jungtys yra TIME_WAIT būsenos, tai reiškia, kad ryšys yra uždarytas, ir nėra ryšio priskyrimo proceso, todėl jie turėtų būti priskirti PID 0, nes nėra PID, kad jį priskirtų.
Tai paprastai atsitinka, kai įkeliate TCPView po to, kai prijungėte prie daugybės dalykų, tačiau jis turi ištrūkti, kai visi ryšiai uždaryti ir jūs atidarėte TCPView.
Coreinfo
Rodo informaciją apie sistemos procesorių ir visas funkcijas. Ar kada nors susimąstėte, ar jūsų procesorius yra 64 bitų, ar jis palaiko aparatūros virtualizavimą? Jūs galite pamatyti visa tai ir daug, daug daugiau naudodami coreinfo įrankį. Tai gali būti labai naudinga, jei norite pamatyti, ar vyresnis kompiuteris gali paleisti 64 bitų "Windows" versiją, ar ne.
Rankena
Ši programa naudoja tą patį, ką ir "Process Explorer" - galite greitai ieškoti, kad išsiaiškintumėte, kuris procesas turi atvirą rankeną, užblokuojančią prieigą prie išteklių ar šalinant šaltinį. Sintaksė yra gana paprasta:
handle
Jei norite uždaryti rankeną, galite naudoti šešioliktainį rankenos kodą (su-c) sąraše kartu su proceso ID (-p jungikliu), kad jį uždarytumėte.
handle -c -p
ListDlls
Kaip "Process Explorer", šis įrankis išvardina DLL, kurie yra įkeliami kaip proceso dalis. Žinoma, daug lengviau naudoti "Procesoriaus" naršyklę.
RamMap
Šis įrankis analizuoja jūsų fizinę atmintį, naudojant įvairius įvairius būdus vizualizuoti atmintį, įskaitant fizinius puslapius, kur galite pamatyti vietą RAM, į kurią įkraunama kiekviena vykdomoji programa.
Strings randa žmogaus skaitymo tekstą programose ir DLL
Jei kai kuriuose programinės įrangos paketuose yra keista URL kaip eilutė, laikas nerimauti. Kaip jūs pamatysite tą keistą virvę? Naudojant styginių įrankių komandų eilutę (arba naudodami funkciją "Process Explorer" vietoje).
