NAVIGACIJA ŠKOLE
- Koji su alati SysInternals i kako ih koristite?
- Razumijevanje procesa Explorer
- Upotrebljavajući Process Explorer za otklanjanje poteškoća i dijagnosticiranje
- Razumijevanje procesnog nadzora
- Korištenje Process Monitor za otklanjanje poteškoća i pronalaženje hackova registra
- Upotreba autoruna za rješavanje procesa pokretanja i zlonamjernog softvera
- Korištenje BgInfo-a za prikaz informacija o sustavu na radnoj površini
- Koristeći PsTools za upravljanje drugim računalima iz Command Line
- Analiza i upravljanje datotekama, mapama i pogonima
- Zatvaranje i upotreba alata zajedno
Naučili smo kako koristiti Process Explorer za otklanjanje nepravilnih procesa na sustavu i Process Monitor kako bismo vidjeli što rade pod kapuljačom. Saznali smo o Autorunsu, jednom od najsnažnijih alata za rješavanje zlonamjernog softvera i PsTools za upravljanje ostalim računalima iz naredbenog retka.
Danas ćemo pokriti ostale alate u kompletu, koji se mogu koristiti za sve vrste namjena, od gledanja mrežnih veza do prikaza učinkovitih dozvola na objektima datotečnog sustava.
Ali prvo ćemo proći kroz hipotetički scenarij primjera kako bismo vidjeli kako biste mogli koristiti niz alata kako biste riješili problem i obavili neka istraživanja o tome što se događa.
Koji alat trebate koristiti?
Uvijek nema samo jednog alata za posao - puno je bolje koristiti ih sve zajedno. Evo primjera scenarija koji vam daje predodžbu o tome kako se možete uhvatiti u koštac s istragom, iako je vrijedno napomenuti da postoji mnogo načina da se shvati što se događa. Ovo je samo brzi primjer koji će vam pomoći ilustrirati i nikako nije točan popis koraka koje treba slijediti.
Scenarij: Sustav se izvodi sporo, sumnjivo zlonamjerni softver
Prva stvar koju biste trebali učiniti je otvoriti Process Explorer i vidjeti koji procesi koriste resurse na sustavu. Nakon što identificirate postupak, trebali biste upotrijebiti ugrađene alate u Process Exploreru kako biste provjerili što je taj proces, provjerite je li to legitimno, a po želji možete skenirati taj proces za viruse pomoću ugrađene integracije VirusTotal.
Bilješka:ako doista mislite da bi moglo biti zlonamjernih programa, često je korisno odspajati ili onemogućiti internetski pristup na tom računalu dok je riješen problem, iako biste mogli najprije raditi pretraživanja za VirusTotal. Inače taj zlonamjerni softver može preuzeti više zlonamjernih programa ili prenositi više podataka.
Ako je proces potpuno legitiman, ubiti ili ponovo pokrenuti postupak koji vrijeđa i prijeđite prstima da je to slučaj. Ako više ne želite pokrenuti taj postupak, možete ga deinstalirati ili upotrijebiti Autoruns kako biste zaustavili postupak učitavanja pri pokretanju.
Ako to ne riješi problem, možda je vrijeme da izvadite Process Monitor i analizirate procese koji ste već identificirali i shvatite što pokušavaju pristupiti. To vam može dati naznake onoga što se zapravo događa - možda proces pokušava pristupiti ključu ili datoteci registra koji ne postoji ili nema pristup ili možda samo pokušava oteti sve vaše datoteke i učiniti puno sketchy stvari kao što je pristup informacijama koje vjerojatno ne bi trebali, ili skeniranje cijeli pogon za bez dobar razlog.
Osim toga, ako sumnjate da se aplikacija povezuje s nečim što ne bi trebala, što je uobičajeno kod spywarea, izvadite uslužni program TCPView da biste potvrdili da li je to slučaj.
U ovom trenutku možda ste utvrdili da je proces zlonamjerni softver ili kod krađa. Bilo kako to ne želite. Proces deinstalacije možete pokrenuti ako su navedeni na popisu programa za uklanjanje programa na upravljačkoj ploči, ali mnogo puta nisu navedeni ili ne čistite ispravno. Ovo je kada izvlačite Autoruns i pronađete svako mjesto koje je aplikacija zakačila u pokretanje, i odvoji ih odavde, a zatim nanesite sve datoteke.
Running a full virus scan of your system is also helpful, but lets be honest… most crapware and spyware gets installed despite anti-virus applications being installed. In our experience, most anti-virus will happily report “all clear” while your PC can barely operate because of spyware and crapware.
TCPView
Ovaj uslužni program izvrstan je način da vidite koje se aplikacije na vašem računalu povezuju s uslugama preko mreže. Najveći dio ovih informacija možete vidjeti u naredbenom retku pomoću netstat-a ili pokopan na sučelju Process Explorer / Monitor, ali puno je lakše otvoriti TCPView i vidjeti što se povezuje s tim.
Boje na popisu su prilično jednostavne i slične ostalim uslužnim programima - svijetlo zeleno znači da se veza upravo pojavila, crvena znači da se veza zatvara, a žuta znači da je veza promijenjena.
Također možete pogledati svojstva procesa, završiti proces, zatvoriti vezu ili podići izvješće Whois. Jednostavno, funkcionalno i vrlo korisno.
Bilješka:Prilikom prvog učitavanja TCPViewa vidjet ćete ton veza iz [Procesa sustava] na sve vrste internetskih adresa, ali to obično nije problem. Ako su sve veze u stanju TIME_WAIT, to znači da je veza zatvorena, a nema veze s procesom, tako da bi trebali biti gore kao što je dodijeljeno PID 0 jer nema PID-a za dodjeljivanje,
To se obično događa kada učitate TCPView nakon povezivanja s hrpom stvari, ali bi trebalo otići nakon što se sve veze zatvore i zadržite TCPView otvoren.
Coreinfo
Prikazuje podatke o procesoru sustava i svim značajkama. Jeste li ikada pitali je li vaš CPU 64-bitni ili podržava hardversku virtualizaciju? Možete vidjeti sve to i još mnogo, mnogo više s uslužnim programom Coreinfo. To može biti korisno ako želite vidjeti da li starije računalo može pokrenuti 64-bitnu verziju sustava Windows ili ne.
rukovati
Ovaj uslužni program radi isto što i proces Explorer - možete brzo pretražiti kako biste otkrili koji je proces otvorena ručka koja blokira pristup resursu ili brisanje resursa. Sintaksa je prilično jednostavna:
handle
Ako želite zatvoriti ručicu, možete upotrijebiti šifru heksadecimalnog rukovanja (s -c) na popisu u kombinaciji s ID-om procesa (-p-sklopka) da biste ga zatvorili.
handle -c -p
ListDlls
Baš kao i Process Explorer, ovaj program navodi DLL datoteke koje su učitane kao dio procesa. Naravno, puno je lakše koristiti Process Explorer.
RamMap
Ovaj alat analizira vašu fizičku memoriju, s mnogo različitih načina vizualizacije memorije, uključujući fizičke stranice, gdje možete vidjeti lokaciju u RAM-u u koju se učitava svaka izvršna datoteka.
Geste pronađu tekst koji se može čitati u aplikacijama i DLL-ovima
Ako u nekom programskom paketu vidite čudan URL kao niz, vrijeme je za brigu. Kako biste vidjeli taj čudan niz? Korištenje uslužnih nizova iz naredbenog retka (ili pomoću funkcije u programu Process Explorer umjesto).
