- Sysinternals предлага разширени помощни програми за анализ на процеси, файлове, системния регистър и мрежата в Windows с много повече подробности от стандартните инструменти.
- Process Explorer и Process Monitor са ключови за разследване на производителността, грешките и зловредния софтуер, благодарение на задълбочения им поглед върху процесите, DLL файловете, манипулаторите и събитията.
- Инструменти като Autoruns, TcpView, Sysmon и PsTools допълват екосистемата, позволявайки контрол върху автоматичните стартирания, мрежовите връзки и локалното или отдалеченото администриране.
- Работата чрез Sysinternals Live и честите актуализации правят пакета важен ресурс за администратори, разработчици и напреднали потребители.
Ако използвате Windows от известно време и установявате, че диспечера на задачите не е достатъчен , за да разберете напълно какво всъщност се случва с вашата система, Sysinternals е точно това, което търсите. Този набор от усъвършенствани помощни програми на Microsoft ви позволява да видите подробно кои процеси се изпълняват, до кои файлове осъществяват достъп, кои ключове в системния регистър променят и дори кои мрежови връзки отварят.
Тези инструменти са съществували много преди Microsoft да ги възприеме и въпреки че много от тях остават незабелязани, те са истинско швейцарско ножче за анализ на процесите на Windows, откриване на грешки и лов на зловреден софтуер . Ще разгледаме подробно как да използвате Process Explorer, Process Monitor и другите фокусирани върху процесите помощни програми на Sysinternals, обяснени на ясен език и с практически примери.
Какво е Sysinternals и защо е толкова полезен за анализ на процеси?
Sysinternals е проект, създаден през 1996 г. от Марк Русинович и Брайс Когсуел, за хостване на малки, усъвършенствани диагностични инструменти, първоначално фокусирани върху Windows NT, Windows 2000 и Windows XP. Оригиналният сайт се е казвал NTinternals и е бил предназначен да покаже вътрешните механизми на операционната система, така че администраторите и разработчиците да могат да разберат какво се случва „под капака“.
Десет години по-късно, през 2006 г., Microsoft придоби проекта и го интегрира в собствения си уебсайт: оттогава sysinternals.com пренасочва към официален раздел на Microsoft . Въпреки това духът се е запазил: малки, леки, предимно преносими помощни програми (просто копирате, стартирате и сте готови), които продължават да се актуализират, разширяват и усъвършенстват често.
Тези инструменти са предназначени предимно за системни администратори, ИТ специалисти и разработчици , но всеки напреднал потребител може да се възползва значително от тях. Те ви позволяват да разбирате, конфигурирате и управлявате много специфични аспекти на Windows: от това какво се изпълнява при стартиране до това кои процеси консумират процесор, кои DLL файлове се зареждат и кои мрежови портове се използват.
Пълният пакет включва над 70 помощни програми и е достъпен и в Microsoft Store като Sysinternals Suite . Инсталирането му от магазина няма да ви даде нито една икона на „приложение“; вместо това ще получите колекция от изпълними файлове и документация, които можете да стартирате, като търсите всеки инструмент по име или отидете до неговото местоположение.
Sysinternals Live: Стартирайте инструменти без да ги инсталирате
Едно от ключовите предимства на това семейство помощни програми е Sysinternals Live , услуга, която ви позволява да стартирате инструментите директно от мрежата, без ръчно да изтегляте и разархивирате каквото и да било на вашия диск.
За да го използвате от File Explorer, просто въведете пътя на инструмента, използвайки домейна Sysinternals Live, например: live.sysinternals.com/<toolname> или UNC маршрута \\live.sysinternals.com\tools\<toolname>По този начин Windows ще отвори изпълнимия файл директно от споделеното хранилище на Microsoft.
Ако предпочитате конзолата, можете да стартирате всяка помощна програма с подобен път: \\live.sysinternals.com\tools\<toolname>Това ви спестява необходимостта от управление на локални версии и гарантира, че винаги използвате най-новата версия на всеки инструмент.
За да разгледате всичко налично, можете да отворите https://live.sysinternals.com/ в браузъра си или Windows Explorer , където ще видите пълната директория с инструменти на Sysinternals Live, готови за употреба.
Process Explorer: „Суперзареденият мениджър на задачи“
Process Explorer е може би най-известният инструмент на Sysinternals, когато става въпрос за процеси на Windows . Неговата цел е да покаже, много по-подробно от Task Manager, какво работи системата, как процесите взаимодействат и какви ресурси използват във всеки един момент, за да се оптимизира производителността.
Интерфейсът на Process Explorer е разделен на два основни подпрозореца. В горната част винаги се показва списък с всички активни процеси , обикновено организиран в дървовидна структура, за да се покажат родителските и дъщерните процеси, заедно с данни като описание на програмата, компания, идентификатор на процеса (PID), използване на процесора, използване на паметта и др. Показват се и имената на потребителските акаунти, които притежават всеки процес.
Долният прозорец може да работи в два режима: режим на манипулатори и режим на DLL. В режим на манипулатори ще видите манипулаторите , които избраният процес е отворил (файлове, ключове в системния регистър, системни обекти и др.). В режим DLL той показва динамично свързаните библиотеки и файловете, картографирани в паметта, които процесът е заредил. Това е от решаващо значение за локализиране на файла, който приложението заключва или кой подозрителен модул е инжектиран в легитимен процес.
Process Explorer включва и мощна функция за търсене, която ви позволява да локализирате кой процес държи даден файл или DLL отворен . Въвеждате името или част от името и незабавно получавате списък с участващите процеси – много полезно, когато Windows не ви позволява да изтриете файл, „защото се използва“ и искате да знаете кой го държи.
Друга силна страна е проверката на цифровия подпис . С помощта на опцията „Проверка“ можете да проверите дали изпълнимите файлове и DLL файловете, заредени в паметта, имат валиден подпис от производителя си. Това помага да се разграничат легитимните процеси от потенциално манипулирани или неподписани двоични файлове, което е много често срещано при злонамерен софтуер или по-стари, вече неподдържани програми.
Инструментът използва цветове и за визуално характеризиране на процеси : системни услуги, процеси в контекста на Windows Explorer, пакетирани приложения и др. Бърз поглед към колоната с имена и цветове ви позволява да видите как изглежда всеки елемент, без да е необходимо първоначално да се задълбочавате в твърде много подробности.
В допълнение, Process Explorer предлага времева линия, която графично показва кога е стартирал всеки процес . При анализ на инциденти със сигурността или аномално поведение, тази функция помага да се определи точно кога е започнала подозрителна активност и как тя е свързана с други процеси, стартирани в същия времеви интервал.
Помощната програма е идеална за проследяване на проблеми с версиите на DLL файлове, обработка на течове (дескриптори, които никога не се издават) и като цяло за по-добро разбиране на това как Windows работи вътрешно и какво всъщност правят вашите приложения.
Монитор на процеси: рентгенов преглед на файлове, лог файлове и процеси в реално време
Process Monitor (Procmon) е друг ключов компонент на екосистемата на Sysinternals. Това е усъвършенстван инструмент за мониторинг, който показва цялата активност на файловата система, активността в системния регистър на Windows и изпълняваните процеси или нишки в реално време.
Той комбинира и превъзхожда функциите на по-старите помощни програми Filemon и Regmon, добавяйки дълъг списък от подобрения, предназначени за цялостно проследяване без загуба на информация . Сред най-забележителните му характеристики е изключително гъвкавата и неразрушителна система за филтриране: можете да прилагате, коригирате и премахвате филтри в движение, без да губите вече заснети събития.
Всяко регистрирано събитие показва подробни свойства, включително идентификатори на сесии, потребителски имена, път до образа на процеса , командния ред, от който е стартирано, идентификатори на процеси и нишки и много други. За всяка операция е възможно да се заснемат стекове от нишки с вградена поддръжка на символи, което помага да се определи първопричината за дадено извикване.
Вътрешната архитектура за регистриране е проектирана да се мащабира много добре дори при големи натоварвания: тя е способна да обработва десетки милиони събития и гигабайти данни от регистрационния файл без прекъсване, което е от съществено значение, когато искате да продължите да записвате информация по време на пълно зареждане на системата или в случай на периодична повреда, която е трудно да се възпроизведе.
Process Monitor ви позволява да записвате активност директно във файл в оригинален лог формат , който запазва всички подробности за по-късно зареждане в друг екземпляр на инструмента. Това е много полезно в среди за криминалистика или техническа поддръжка: вие улавяте проблема на машината на потребителя и анализирате резултатите по-късно на вашия собствен компютър.
Интерфейсът включва конфигурируеми и превъртаеми колони за почти всяко свойство на събитието. Филтри могат да се създават и въз основа на всяко поле, дори и тези, които не са конфигурирани като видими колони, предлагайки огромно ниво на персонализиране, за да се стесни точно това, което трябва да видите.
Сред помощните инструменти се открояват дървото на процесите , показващо връзката между всички процеси, присъстващи в следата; подсказките и подробната информация за процеса, които позволяват преглед на обширни полета в изскачащи прозорци, без да се натоварва основният изглед; и търсене в лог файлове с възможност за отмяна, за да се намерят конкретни низове, без да се блокира интерфейсът.
Process Monitor включва и режим на регистриране на времето за зареждане , който записва операциите от началните етапи на стартиране на Windows. За тези, които отстраняват проблеми със зареждането, диагностицират повреди в приложенията или търсят злонамерен софтуер, Process Monitor често се превръща в незаменим инструмент в техния инструментариум.
Process Explorer и Process Monitor в криминалистичен анализ и търсене на зловреден софтуер
Инструментите на Sysinternals са особено полезни, когато подозираме, че дадена система е била компрометирана и искаме да разберем какви процеси използва зловредният софтуер и как взаимодейства със системата . Не винаги става въпрос за събиране на доказателства за съдебен процес; често просто искаме веднага да разберем какво се случва на машината, за да можем да действаме бързо.
Първата стъпка обикновено е да се уверите, че имате инсталиран или достъпен пакет Sysinternals, или чрез локално изтегляне, или чрез Sysinternals Live. След като са налични, ще намерите изпълними файлове като Process Explorer (procexp.exe) и Process Monitor (procmon.exe) в съответната папка, готови за стартиране без сложни инсталации.
С Process Explorer можете да видите всички активни процеси и нишки, тяхното използване на процесора и паметта, PID, описание и други свързани процеси . Ако подозирате инфекция, често ще видите ясни признаци: процеси със странни имена, необичайни местоположения, неподписани изпълними файлове или процеси, които зависят от подозрителни родителски процеси.
В контекста на криминалистиката, Process Explorer се превръща в един от най-ценните инструменти на Sysinternals. Например, можете да анализирате конкретен процес, като например този на плъгин за браузър (Flash някога е бил типична цел на атаки), за който подозирате, че е бил компрометиран. Като отворите свойствата му, ще видите панел с множество раздели с информация : път до изпълнимия файл, команди за стартиране, консумация на ресурси, заредени модули, разрешения и т.н.
От раздела с разрешения можете да проверите кой има достъп до този процес . Ако освен очакваните акаунти (Система, локален потребител, стандартни услуги), видите неизвестни или необичайни акаунти, това може да е признак за манипулация или злонамерено продължаване.
Друга ключова функция е разделът „Низове“, който ви позволява да извлечете всички ASCII низове, вградени в процеса . Те могат да включват коментари, оставени от разработчиците, файлови пътища, уеб адреси, команди, съобщения за грешки и други данни, много полезни за профилиране на поведението на анализирания двоичен файл.
„Монитор на процеси“ допълва този анализ, като ви позволява да видите подробно всяка операция, която процесът извършва върху файлове, системния регистър и мрежата . Можете да филтрирате следата, за да се фокусирате върху подозрителния процес и да наблюдавате кои ключове докосва, кои файлове чете или записва и какви грешки връща. Често комбинацията от двата инструмента предоставя достатъчно ясна представа, за да се идентифицира векторът на атака или методът на персистентност на зловредния софтуер.
Подробности за Process Explorer: инсталация, употреба и символи
Инсталирането на Process Explorer е лесно: просто стартирайте файла procexp.exe . Като преносима помощна програма, тя не изисква инсталационен помощник и не променя агресивно вашата система. Вграденият помощен файл обяснява опциите и режимите на употреба доста подробно.
Ако срещнете съмнения или проблеми с Process Explorer, Microsoft поддържа специален раздел на своята платформа „Въпроси и отговори“ (Microsoft Q&A), посветен на този инструмент, където други потребители и експерти споделят решения, съвети и реален опит с различни сценарии на употреба.
За да извлечете максимума от информацията за отстраняване на грешки, Process Explorer може да използва символи за отстраняване на грешки . Когато конфигурирате пътя до DBGHELP.DLL и сървъра със символи (например публичния сървър на Microsoft), е важно папката, съдържаща DBGHELP.DLL, да съдържа и SYMSRV.DLL, библиотеката, която позволява достъп до тези сървъри.
Документацията на SymSrv обяснява по-подробно как да конфигурирате тези пътища на символите и как да работите със сървъри на символи. Правилно конфигурираните символи значително подобряват качеството на стековете за повиквания и вътрешната информация, показвана за процесите и DLL файловете.
Process Explorer се актуализира сравнително често. В последните версии, като например v16.43, той поддържа съвместимост с Windows 8.1 и по-нови версии от страна на клиента и Windows Server 2012 и по-нови версии от страна на сървъра. Това го прави универсален инструмент, подходящ за смесени среди с различни версии на Windows.
Детайлно описание на Process Monitor: филтриране, колони и сценарии на употреба
Process Monitor се разпространява и като самостоятелен изпълним файл. След стартиране той започва да записва събития почти мигновено, така че е добра идея да настроите филтри рано, за да избегнете образуването на тромав океан от данни.
Всеки ред в основния изглед представлява събитие: кой процес го е създал, по кое време, каква операция е извършил (четене на файл, запис в системния регистър, създаване на процес и т.н.), по какъв път, какъв резултат е върнал и допълнителни подробности, като например специфичните параметри на това извикване.
Инструментът показва богато количество информация за всяко събитие: име на процес, точно време, пълен път до ресурса, резултат и специфични данни . Това богатство позволява диагностициране на всичко - от грешки в разрешенията до неправилно конфигурирани пътища или неправилно разположени DLL файлове.
Procmon интегрира серия от усъвършенствани филтри, които можете да дефинирате по почти всяко поле, комбинирайки условия с логически оператори. Това прави възможно например фокусирането единствено върху грешки „отказан достъп“ , операции за запис в рамките на един процес или четене на конкретен ключ от системния регистър.
В сценарии със зловреден софтуер, Process Monitor ви помага да видите точно какво прави подозрителната програма : къде се опитва да пише, кои ключове в системния регистър използва, за да остане активна при стартиране, кои файлове изтегля или променя и какви грешки причинява в системата. Всичко това се регистрира и може да се запази за по-късен анализ или за документиране на инцидент със сигурността.
Като допълнителен бонус, поддържаните от символи стекове от нишки предоставят контекст за това коя конкретна функция на кой модул е създала всяко събитие, което ви позволява да достигнете много фино ниво на детайлност, когато изследвате вътрешното поведение на приложение или системен компонент.
Други инструменти на Sysinternals, свързани с процеси и системи
Въпреки че Process Explorer и Process Monitor са звездите за анализ на процеси в Windows, пакетът Sysinternals включва много други помощни програми, които допълват този изглед и помагат в диагностиката, сигурността и производителността.
Handle е програма за преглед на дескриптори от командния ред, която ви позволява да изброите кои системни файлове и обекти се използват от всеки процес. Това е конзолната версия на информацията за дескриптора, която виждате в Process Explorer, много полезна за скриптове и автоматизация.
ListDLLs също така показва от командния ред кои DLL файлове е заредил всеки процес, което е полезно за откриване на инжектирани модули или неочаквани библиотеки в легитимен изпълним файл.
PsList и PsKill , част от пакета PsTools, ви позволяват да изброявате и прекратявате процеси както локално, така и дистанционно. Инструменти за команден ред като тези са от съществено значение за администраторите, работещи от конзолата.
Sysmon (Системен монитор) е системна услуга, която след инсталиране остава активна след рестартиране и е предназначена за подробно наблюдение и регистриране на системната активност . Тя регистрира създаването на процеси, мрежови връзки, модификации на файлове, междупроцесен достъп до паметта, създаване на отдалечени нишки и други, като същевременно се интегрира с регистрационните файлове на събитията на Windows.
За да видите цялата активност на мрежовите портове, TcpView изброява отворените TCP и UDP връзки в реално време, като посочва локални и отдалечени адреси, състояние на връзката и, в съвременните версии на Windows, името на процеса, който я притежава . Това е като подобрена, графична версия на Netstat, отлична за откриване на подозрителна мрежова активност, генерирана от злонамерен софтуер или неоторизиран софтуер.
Автоматични изпълнения и други ключови помощни програми от пакета Sysinternals
Въпреки че фокусът тук е върху процесите, не може да се говори за Sysinternals, без да се споменат инструменти, които, макар и да не са чисто инструменти за управление на процеси, са от съществено значение за контролирането на това, което се изпълнява в Windows и как ...
Autoruns е най-добрият ресурс за преглед и управление на всичко, което се стартира автоматично със системната или потребителската сесия. Той далеч надхвърля MSConfig: показва програми в папките за стартиране, ключове в системния регистър Run и RunOnce, услуги за автоматично стартиране, разширения на обвивката на Explorer, ленти с инструменти, помощни обекти на браузъра, известия от Winlogon и много други.
Информацията е организирана в тематични раздели (Office, Printers, Winlogon и др.), което ви позволява да видите източника на всеки запис за автоматично стартиране . Всеки ред включва полета като име на записа (Autorun Entry), кратко описание, издател (Publisher), път до изображението (Image Path), дата и час на инсталиране (Timestamp) и индикатор за сканиране VirusTotal.
В интерфейса, розовите записи обикновено съответстват на файлове без цифров подпис или с подпис, който не може да бъде проверен: това може да се дължи на изтекли сертификати, много стари програми, повредени файлове или подозрителни модификации. Жълтите записи показват файлове, които вече не съществуват или до които инструментът не може да получи достъп , въпреки че системата продължава да се опитва да ги зареди при стартиране. В тези случаи е препоръчително внимателно да прегледате записа, преди да изтриете каквото и да било, и като предпазна мярка обикновено е най-добре да премахнете отметката от записа, вместо да го изтривате.
Autoruns ви позволява също да сравнявате снимки, направени по различно време, за да видите какво се е променило между един анализ и друг, което е много полезно за откриване на нови записи при стартиране, добавени от програма или злонамерен софтуер.
Други популярни инструменти на Sysinternals включват AccessEnum (за изброяване на разрешенията за файлове, папки и ключове в системния регистър, които се отклоняват от родителската им папка), BGInfo (който показва технически системни данни директно на фона на работния плот), Contig (за дефрагментиране на конкретни файлове, без да се докосва целия диск), Desktops (виртуални десктопи и в по-стари версии на Windows), Disk2vhd (за конвертиране на физически дискове във VHD файлове за виртуални машини) и ZoomIt , широко използван в технически презентации за мащабиране и рисуване на екрана с клавишни комбинации.
В областта на разширеното администриране, PsTools предлага набор от помощни програми за команден ред за локално и дистанционно управление: промяна на пароли, проверка на влезли потребители, управление на процеси и услуги, дистанционно изпълнение на команди (PsExec) и изключване на системата. Много от тези инструменти са от съществено значение в корпоративни среди, където множество компютри се управляват от командния ред.
Последни развития в екосистемата на Sysinternals
Microsoft продължава да поддържа и разширява Sysinternals с редовни актуализации. Наскоро бяха въведени значителни подобрения в различни инструменти, които пряко или косвено влияят върху анализа на процесите и системите.
Например, ZoomIt достигна версия 10.0 , добавяйки редактор на видеоклипове за изрязване на записи преди запазване и поддръжка за заснемане на системен звук. ZoomIt също така е интегриран в Microsoft PowerToys, като същевременно остава самостоятелна помощна програма в Sysinternals и става с отворен код.
В областта на мониторинга, Sysmon за Linux продължава да се развива, включвайки събития като EbpfEvent за наблюдение на зареждането на eBPF програми, разширявайки фокуса на Sysinternals отвъд Windows в Linux среди, нещо особено интересно за смесени екипи.
Други забележителни актуализации включват Coreinfo с графичен интерфейс за визуализиране на топологиите на процесора, NUMA паметта и характеристиките на процесора; RDCMan с подобрения в сигурността и модерна поддръжка на отдалечен работен плот; и Ctrl2Cap , инструмент, който помага за преназначаването на клавиша Caps Lock на Ctrl в Windows 10 и 11 без необходимост от допълнителни драйвери.
Има дори разширение Azure DevOps , което интегрира инструментите на Sysinternals в процесите на изграждане и внедряване, което улеснява отстраняването на проблеми с изграждането и версиите директно в CI/CD среди, както и адаптирани за Linux версии на ProcDump и Sysmon с поддръжка на архитектури като ARM64.
Взети заедно, цялата тази екосистема означава, че след като свикнете да работите със Sysinternals, те стават неразделни спътници на Task Manager и PowerToys , особено ако сте напреднал потребител или управлявате множество компютъри.
Комбинацията от Process Explorer и Process Monitor, заедно с инструменти като Autoruns, Sysmon и TcpView, ви позволява да преминете от „нещо не е наред и не знам какво е“ към много точен поглед върху това кои процеси се изпълняват, как взаимодействат с Windows, до какви ресурси имат достъп и какви следи оставят след себе си . Разбирането и овладяването на тези помощни програми не само ви помага да решавате конкретни проблеми, но и подобрява способността ви да оптимизирате услугите и производителността и да държите системите си под контрол ежедневно.
