Prosessinvalvonnan ymmärtäminen

2024 Kirjoittaja: Geoffrey Carr | [email protected]. Viimeksi muokattu: 2023-12-17 10:56

Tänään tässä Geek-koulupäivänä opettamme sinulle, miten prosessinvalvonta-apuohjelma antaa sinulle mahdollisuuden houkutella huppuasi ja nähdä, mitä suosikkisovelluksesi tekevät todellakin kulissien takana - mitä tiedostoja he käyttävät, rekisteriavaimet he käyttöä ja muuta.

Koulun navigointi

Mitkä ovat SysInternals-työkalut ja miten käytät niitä?
Ymmärrys prosessi Explorer
Käytä Process Explorer -ohjelmaa vianmääritykseen ja diagnoosiin
Prosessinvalvonnan ymmärtäminen
Process Monitor -ohjelman avulla vianmääritys ja rekisterikirjojen etsiminen
Automaattien käyttäminen käynnistysprosessien ja haittaohjelmien käsittelyyn
BgInfo: n avulla voit tarkastella järjestelmätietojen tietoja työpöydällä
PsToolsin käyttäminen muiden tietokoneiden hallintaan komentoriviltä
Tiedostojen, kansioiden ja asemien analysointi ja hallinta
Päällystäminen ja työkalujen käyttäminen yhdessä

Toisin kuin Process Explorer -apuohjelmassa, jonka olemme käyttäneet muutaman päivän ajan, prosessinvalvonta on tarkoitettu passiiviseksi katsomaan kaikkea, mitä tapahtuu tietokoneellasi, ei aktiiviseksi työkaluksi prosessien lopettamiseen tai sulkemiseen. Tämä on kuin piippaus maailmanlaajuisessa lokitiedostossa jokaiselle yksittäiselle tapahtumalle, joka tapahtuu Windows-tietokoneellasi.

Haluatko ymmärtää, mitkä rekisteriavaimet suosikkisovelluksessasi todella tallentavat asetuksiaan? Haluatko selvittää, mitä tiedostoja palvelin koskettaa ja kuinka usein? Haluatko nähdä, milloin sovellus muodostaa yhteyden verkkoon vai avautuu uusi prosessi? Se on Process Monitor pelastamiseen.

Emme tee enää paljon rekisterimerkintätuotteita, mutta kun aloitimme ensimmäisen kerran, käytämme Process Monitor -ohjelmaa selvittääksesi, mitä rekisteriavaimia päästiin, ja sitten nosta niitä rekisteriavaimia nähdäksesi, mitä tapahtuisi. Jos olet ikinä miettinyt, miten jokin geek tajunnut rekisterimerkinnän, jota kukaan ei ole koskaan nähnyt, oli todennäköisesti Process Monitorin kautta.

Prosessinvalvonta-apuohjelma luotiin yhdistämällä kaksi erilaista vanhan koulun apuohjelmaa Filemonin ja Regmonin kanssa, joita käytettiin tiedostojen ja rekisteritietojen valvontaan, koska niiden nimet viittaavat siihen. Vaikka nämä apuohjelmat ovat edelleen käytettävissä, ja vaikka ne sopisivat sinun tarpeisiisi, sinun olisi paljon parempi prosessi-monitorilla, koska se pystyy käsittelemään suuren määrän tapahtumia paremmin sen vuoksi, että se on suunniteltu niin.

On myös syytä huomata, että Process Monitor -ohjelma vaatii aina järjestelmänvalvojatilan, koska se lataa ytimen ohjaimen kannen alla kaappaamaan kaikki nämä tapahtumat. Windows Vistassa ja uudemmassa vaiheessa sinua pyydetään ottamaan käyttöön UAC-valintaikkuna, mutta XP: n tai 2003: n osalta sinun on varmistettava, että käytössäsi olevalla tilillä on järjestelmänvalvojan oikeudet.

Tapahtumat, joissa prosessin seuranta kaappaa

Process Monitor tallentaa tietyn datan, mutta se ei kerää kaikkea mitä tapahtuu tietokoneellasi. Esimerkiksi Process Monitor ei välitä, jos siirrät hiirtäsi, eikä se tiedä, toimivatko ohjaimet optimaalisesti. Se ei aio seurata, mitkä prosessit ovat auki ja tuhlaa prosessori tietokoneellasi - se on Process Explorerin tehtävä.

Se, mitä se tekee, on kaapata erityisiä I / O-toimintoja (Input / Output), olivatpa ne sitten tiedostojärjestelmän, rekisterin tai jopa verkon kautta. Lisäksi se seuraa muutamia muita tapahtumia rajallisella tavalla. Tämä luettelo kattaa tapahtumat, jotka se tekee:

kirjaamo - tämä voi luoda avaimia, lukea niitä, poistaa niitä tai kysyä niitä. Yllätyit kuinka usein tämä tapahtuu.
Tiedostojärjestelmä - tämä voi olla tiedostojen luominen, kirjoittaminen, poistaminen jne., Ja se voi olla sekä paikallisille kiintolevyille että verkkoasemille.
verkko - tämä näyttää TCP / UDP-liikenteen lähteen ja määränpään, mutta valitettavasti se ei näytä tietoja, joten se on hieman hyödyllisempi.
Käsitellä asiaa - Nämä ovat tapahtumia prosesseille ja kierreille, joissa prosessi käynnistetään, lanka käynnistyy tai poistuu jne. Tämä voi olla hyödyllistä tietoa tietyissä tapauksissa, mutta se on usein jotain, jota haluat tarkastella Process Explorer -ohjelmassa.
profilointi - Nämä tapahtumat tallentuvat Process Monitor -ohjelmalla, joka tarkistaa prosessin käyttämän prosessorin määrän ja muistin käytön. Jälleen luultavasti haluat käyttää Process Explorer -ohjelmaa näiden asioiden seurantaan suurimman osan ajasta, mutta se on hyödyllistä tässä, jos tarvitset sitä.

Joten Process Monitor pystyy tallentamaan minkä tahansa I / O-toiminnon, olipa kyse sitten rekisteristä, tiedostojärjestelmästä tai jopa verkosta - vaikkakaan varsinaisia tietoja ei kirjoiteta. Tarkastelemme vain sitä, että prosessi kirjoittaa yhdelle näistä virroista, jotta voimme myöhemmin selvittää entistä enemmän siitä, mitä tapahtuu.

Prosessinäyttöliitäntä

Kun lataat ensin prosessinäyttöliittymän, näyttöön tulee valtava määrä tietorivejä, ja nopeampi tiedonsiirto on nopeaa ja se voi olla ylivoimainen. Avain on saada ainakin ajatus siitä, mitä katselet ja mitä etsit. Tämä ei ole työkalun tyyppi, jota vietät rentouttavan päivän selaamiseen, koska hyvin lyhyessä ajassa katsot miljoonia rivejä.

Ensimmäinen asia, jonka haluat tehdä, on suodattaa nämä miljoonat rivit alaspäin paljon pienemmälle osajoukolle, jota haluat nähdä, ja opettamme sinulle, kuinka voit luoda suodattimia ja nollata täsmälleen mitä haluat löytää. Mutta ensin sinun on ymmärrettävä käyttöliittymä ja mitä tietoja on todella saatavilla.

Oletusarvoiset sarakkeet

Oletus sarakkeet näyttävät paljon hyödyllisiä tietoja, mutta varmasti tarvitset jonkin verran asiayhteyttä ymmärtämään, mitä tietoja kukin sisältää, koska jotkut niistä saattavat näyttää siltä, että jotain pahaa tapahtui, kun ne ovat todella viattomia tapahtumia, jotka tapahtuvat koko ajan huppu. Tässä käytetään mitä kukin oletus sarakkeista käytetään:

Aika - tämä sarake on melko itsestään selvä, se osoittaa tapahtuman tarkan ajan.
Prosessin nimi - tapahtuman muodostavan prosessin nimi. Tämä ei näytä tiedoston koko polkua oletuksena, mutta jos siirrät hiiren osoittimen päälle, näet tarkalleen minkä prosessin se oli.
PID - prosessin prosessin tunnus, joka synnytti tapahtuman. Tämä on erittäin hyödyllinen, jos yrität ymmärtää, mikä svchost.exe-prosessi tuotti tapahtuman. Se on myös erinomainen tapa eristää yksittäinen valvontaprosessi, olettaen, että prosessi ei käynnisty itsestään uudelleen.
Operaatio - tämä on kirjautuneen operaation nimi, ja siinä on kuvake, joka sopii yhteen tapahtumien tyypistä (rekisteri, tiedosto, verkko, prosessi). Ne voivat olla hieman hämmentävää, kuten RegQueryKey tai WriteFile, mutta yritämme auttaa sinua sekaannuksessa.
polku - tämä ei ole prosessin polku, se on polku mihin tahansa tähän tapahtumaan. Esimerkiksi jos WriteFile-tapahtuma oli olemassa, tällä kentällä näytetään tiedoston tai kansion nimi, jota kosketetaan. Jos tämä olisi rekisteritapahtuma, se näyttäisi, että koko avain on käytettävissä.
Tulos - Tässä näkyy operaation tulos, joka koodaa SUCCESS tai ACCESS DENIED. Vaikka saatat olla houkutteleva olettamaan automaattisesti, että BUFFER TOO SMALL tarkoittaa jotain todella huonoa tapahtua, se ei todellakaan ole oikeastaan suurimman osan ajasta.
Yksityiskohta - lisätiedot, jotka eivät useinkaan liity säännölliseen geek-vianmääritysmaailmaan.

Voit myös lisätä joitain sarakkeita oletusnäyttöön valitsemalla Valinnat -> Valitse sarakkeet. Tämä ei olisi suositus ensimmäisestä pysähdyksestä, kun aloitat testauksen, mutta koska selitämme sarakkeita, kannattaa mainita jo.

Yksi syy lisäpilarien lisäämiseen näyttöön on niin, että voit nopeasti suodattaa nämä tapahtumat ilman, että ne ylikuormittuvat tietojen kanssa. Seuraavassa on muutamia käyttämistäsi ylimääräisistä sarakkeista, mutta saatat joutua käyttämään luetteloiden muita käyttäjiä tilanteesta riippuen.

Komentorivi - Voit kaksoisnapsauttaa jotain tapahtumaa nähdäksesi kunkin tapahtuman muodostamalle prosessille komentorivin argumentit, joten voi olla hyödyllistä nähdä kaikki vaihtoehdot nopeasti.
Yrityksen nimi - Tärkein syy siihen, että tämä sarake on hyödyllinen, on niin, että voit yksinkertaisesti sulkea kaikki Microsoftin tapahtumat nopeasti ja rajoittaa seurantaa kaikkeen muuhun, joka ei ole osa Windowsia. (Haluat varmistaa, että sinulla ei ole mitään outoa rundll32.exe-prosesseja, jotka toimivat Process Explorerin avulla, koska ne voisivat piilottaa haittaohjelmia).
Parent PID - tämä voi olla erittäin hyödyllinen, kun vianmääritys on prosessia, joka sisältää monia lapsiprosesseja, kuten verkkoselaimen tai sovelluksen, joka pitää sketchy-asioiden käynnistämisen toisena prosessina. Sitten voit suodattaa vanhemman PID avulla varmistaaksesi, että kaapat kaiken.

On syytä huomata, että voit suodattaa sarakkeiden tiedot, vaikka sarake ei näytä, mutta on helpompaa napsauttaa hiiren kakkospainiketta ja suodattaa kuin manuaalisesti. Ja kyllä, mainitsimme suodattimet uudelleen, vaikka emme ole vielä selittäneet niitä.

Yksittäisen tapahtuman tutkiminen

Luetteloiden tarkasteleminen on erinomainen tapa nopeasti nähdä paljon eri datapisteitä kerralla, mutta se ei varmastikaan ole helpoin tapa tutkia yksittäistä tietopakettia, ja siinä on vain niin paljon tietoja, joita näet lista. Onneksi voit kaksoisnapsauttamalla mitä tahansa tapahtumaa, jotta saat lisätietoja aarteen varastosta.

Oletusarvoinen Tapahtuma -välilehti antaa tietoja, jotka ovat suurelta osin samanlaisia kuin luettelossa, mutta lisäävät hieman enemmän tietoja puolueelle. Jos tarkastelet tiedostojärjestelmätapahtumaa, voit nähdä tietyt tiedot, kuten attribuutit, tiedoston luomisaika, kirjoitusoperaatiossa yritetty käyttöoikeus, kirjoitettujen tavujen määrä ja kesto.

Siirtyminen Prosessi-välilehdelle antaa paljon hyviä tietoja tapahtumaa tuottavasta prosessista. Vaikka yleensä haluat käyttää Process Explorer -ohjelmaa käsitellä prosesseja, voi olla erittäin hyödyllistä saada paljon tietoa tietystä prosessista, joka tuotti tietyn tapahtuman, varsinkin jos se tapahtui hyvin nopeasti ja katosi sitten prosessiluettelo. Näin tiedot tallennetaan.

Stack-välilehti on joskus erittäin hyödyllinen, mutta usein ajat eivät ole ollenkaan hyödyllisiä. Syy, miksi haluat tarkastella pinoa, on niin, että voit ratkaista vianmäärityksen tarkastelemalla moduulin saraketta mille tahansa, joka ei näytä oikealta.

Kuvittele esimerkiksi, että prosessi yritti jatkuvasti kysyä tai käyttää tiedostoa, joka ei ole olemassa, mutta et ollut varma mistä.Voit katsoa Stack-välilehteä ja katsoa, oliko moduuleja, jotka eivät näyttäneet oikealta, ja tutki sitten niitä. Saatat huomata, että vanha osa tai jopa haittaohjelmat aiheuttavat ongelman.

Tai saatat huomata, että sinulle ei ole mitään hyötyä, ja se on hieno myös. On paljon muita tietoja, jotka on tarkasteltava.

Huomautukset puskurin ylivuotoista

Ennen kuin jatkamme edistystä, haluamme merkitä tuloskoodin, josta aiot nähdä listalta paljon, ja kaiken geekituloksen perusteella olet ehkä kiinnostunut hieman. Joten jos näet listasta BUFFER OVERFLOW, älä ota olettaa, että joku yrittää hakata tietokonetta.

Seuraava sivu: Tietojen suodattaminen, jonka prosessin seuranta kaappaa