10 narzędzi Sysinternals, które rozwiązują codzienne zagadki Windowsa

Trio diagnostyczne: Process Explorer, Process Monitor, Autoruns

Process Explorer to Menedżer zadań z rentgenem: pokazuje drzewo procesów, DLL-e wczytane przez każdy z nich, usługi zamieszkujące każdego svchosta i sto kolumn szczegółów. As w rękawie to Find Handle (Find → Find Handle or DLL): wpisujesz nazwę opornego pliku, a narzędzie wskaże dokładnie proces, który go trzyma — odpowiedź na każdy błąd „plik jest używany przez inny program”. Potrafi też wysyłać każdy działający plik binarny do VirusTotal (Options → VirusTotal.com → Check) i pokazywać werdykty w kolumnie. Sama ta funkcja rozstrzyga połowę paniki „co to za proces” na zdrowej maszynie. Ustaw go jako domyślny Menedżer zadań (Options → Replace Task Manager), a większość zagadek przestaje być zagadkami.

Process Monitor rejestruje każde zdarzenie plikowe, rejestrowe i sieciowe na maszynie — tysiące linii na sekundę — więc sztuką nie jest nagrywanie, tylko filtrowanie. Ustaw filtr „Result” na „is ACCESS DENIED” albo „Path” na początek od pliku, który cię interesuje, i hałas zapada się w odpowiedź. Potrafi też zalogować pełny rozruch (Options → Enable Boot Logging), żeby wyłapać, co dzieje się, zanim jeszcze się zalogujesz. Autoruns to trzecia noga: wylicza każdą lokalizację autostartu — elementy logowania, usługi, zadania harmonogramu, rozszerzenia powłoki, kodeki — z kolumnami wydawcy i podpisu, więc to, co startuje z Windowsem, a o czym karta startowa Menedżera zadań nigdy nie słyszała, nie ma gdzie się schować.

• „Plik jest otwarty w innym programie” — Process Explorer: Find → Find Handle, wpisz nazwę pliku
• „Co to za nieznany proces?” — kolumna VirusTotal w Process Explorerze plus zakładki DLLs i Services
• „Co nieustannie dotyka tego pliku lub ustawienia?” — Process Monitor z filtrem na tę konkretną ścieżkę
• „Coś startuje z Windowsem, a lista startowa nigdy tego nie pokazuje” — Autoruns z ukrytymi wpisami Microsoftu
• „Z kim mój komputer rozmawia właśnie teraz?” — TCPView, jedno spojrzenie na połączenie

Obsada drugoplanowa: zrzuty pamięci, gniazda, foldery, podpisy

ProcDump obserwuje proces i zapisuje zrzut pamięci w dokładnej chwili, gdy ten płata figle — procdump -c 90 app.exe łapie moment, w którym CPU przekracza 90%, bez zabijania czegokolwiek. TCPView to netstat z twarzą: każde połączenie i port w nasłuchu, per proces, odświeżane na żywo. Disk Usage (du.exe) wypisuje rozmiary folderów z konsoli — du -l 2 C:\Users raportuje dwa poziomy w głąb — i rozstrzyga spory „gdzie się podziało miejsce” w kilka sekund. sigcheck weryfikuje podpisy, wersje i sumy kontrolne (sigcheck -h file.exe), co odpowiada na pytanie „czy ten plik jest tym, za co się podaje”, bez jego uruchamiania. Strings wyciąga czytelny tekst z dowolnego pliku binarnego — adresy URL, ścieżki, wskazówki — uczciwy sposób, by zajrzeć do środka czegoś podejrzanego.

Ostatnie dwa rozwiązują mniejsze zagadki, które w innym razie zjadłyby cały wieczór. MoveFile planuje usunięcie zablokowanego pliku przy następnym restarcie (movefile "C:\path\stubborn.dll" ""), dzięki czemu znikają pliki, których nawet Process Explorer nie potrafi czysto odblokować. BgInfo wyciska nazwę hosta, adres IP, czas rozruchu i pamięć na tapetę — co brzmi banalnie, dopóki nie zaczynasz telefonicznie wspierać trzech rodzinnych maszyn i nie przestajesz pytać „z jakim komputerem właśnie rozmawiam”.

Jak korzystać z zestawu, niczego nie psując

Wszystko jest darmowe na stronie Sysinternals Microsoftu, a każde narzędzie działa bez instalacji — albo wprost z \\live.sysinternals.com\tools, jeśli zależy ci zawsze na najnowszej wersji. Większość narzędzi przyjmuje /accepteula w wierszu poleceń, więc pierwsze użycie przebiega bez pytań. Trzymaj je w jednym folderze, dodaj go do PATH i uruchamiaj z podwyższonymi uprawnieniami, gdy zagadka dotyczy procesów systemowych. Złota zasada: te narzędzia patrzą, nie zmieniają — jedyne zmiany to te, które wprowadzasz świadomie, jak ubicie uchwytu czy wyłączenie wpisu w Autoruns. Najpierw popatrz, potem zrozum, potem działaj — a Windows przestanie trzymać sekrety.

Pytania i odpowiedzi

Przeczytaj także