Günlük Windows gizemlerini çözen 10 Sysinternals aracı

Teşhis üçlüsü: Process Explorer, Process Monitor, Autoruns

Process Explorer, röntgen gözlüklü Görev Yöneticisi’dir: süreç ağacını, her sürecin yüklediği DLL’leri, her svchost’un içinde yaşayan hizmetleri ve yüz sütun ayrıntıyı gösterir. Kozu Find Handle’dır (Find → Find Handle or DLL): inatçı bir dosyanın adını yazarsınız, onu açık tutan süreci adıyla söyleyiverir — her “dosya başka bir programda kullanılıyor” hatasının cevabı. Çalışan her dosyayı VirusTotal’a da gönderebilir (Options → VirusTotal.com → Check) ve kararları bir sütunda gösterebilir. Tek başına bu özellik, sağlıklı bir makinedeki “bu süreç ne” paniğinin yarısını kapatır. Onu varsayılan Görev Yöneticisi yapın (Options → Replace Task Manager); gizemlerin çoğu gizem olmaktan çıkar.

Process Monitor makinedeki her dosya, kayıt defteri ve ağ olayını kaydeder — saniyede binlerce satır — bu yüzden maharet kaydetmek değil filtrelemektir. Filtrede Result’u ACCESS DENIED yapın ya da Path’i ilgilendiğiniz dosyayla başlatın; gürültü tek bir cevaba çöker. Tam bir açılışı da kaydedebilir (Options → Enable Boot Logging) ki siz oturum açmadan önce olup biteni yakalayın. Autoruns üçüncü bacak: her autostart konumunu sayar — oturum öğeleri, hizmetler, zamanlanmış görevler, kabuk uzantıları, kodekler — yayıncı ve imza sütunlarıyla; yani Windows ile başlayan ama Görev Yöneticisi’nin başlangıç sekmesinin adını hiç duymadığı şeyin saklanacak yeri kalmaz.

• “Dosya başka bir programda açık” — Process Explorer: Find → Find Handle, dosya adını yazın
• “Bu bilinmeyen süreç ne?” — Process Explorer’ın VirusTotal sütunu artı DLLs ve Services sekmeleri
• “Bu dosyaya ya da ayara sürekli kim dokunuyor?” — o yola filtre koyulmuş Process Monitor
• “Windows ile başlayan ama başlangıç listesinde hiç görünmeyen bir şey” — Microsoft girişleri gizliyken Autoruns
• “Bilgisayarım şu anda kiminle konuşuyor?” — TCPView, bağlantı başına tek bakış

Yardımcı kadro: dökümler, soketler, klasörler, imzalar

ProcDump bir süreci izler ve tam yanlış davrandığı anda bellek dökümü yazar — procdump -c 90 app.exe, CPU %90’ı geçtiği anı yakalar; hiçbir şey öldürülmez. TCPView yüzü olan bir netstat’tır: her bağlantı ve dinlenen port, süreç başına, canlı yenilenir. Disk Usage (du.exe) klasör boyutlarını konsoldan basar — du -l 2 C:\Users iki seviye derinlik raporlar — ve “boşluk nereye gitti” tartışmalarını saniyeler içinde bitirir. sigcheck imzaları, sürümleri ve özetleri doğrular (sigcheck -h file.exe); bu da bir dosyayı çalıştırmadan “bu dosya dediği şey mi” sorusuna cevap verir. Strings herhangi bir ikili dosyadan okunabilir metin çıkarır — URL’ler, yollar, ipuçları — şüpheli bir şeyin içine bakmanın dürüst yolu.

Son ikisi, olmasa bir akşamı yiyip bitiren daha küçük gizemleri çözer. MoveFile kilitli bir dosyanın silinmesini sonraki yeniden başlatmaya planlar (movefile "C:\path\stubborn.dll" ""); yani Process Explorer’ın bile temizce açamadığı dosyaları kaldırır. BgInfo bilgisayar adını, IP adresini, açılış saatini ve belleği duvar kâğıdına damga basar — telefonla üç aile bilgisayarına destek verip “hangi bilgisayarla konuşuyorum” diye sormayı bırakana dek sıradan görünen bir yetenek.

Paketi hiçbir şey bozmadan nasıl kullanılır

Her şey Microsoft’un Sysinternals sitesinde ücretsizdir ve her araç kurulum istemeden çalışır — hep en yeni sürümü isterseniz doğrudan \\live.sysinternals.com\tools adresinden. Araçların çoğu komut satırından /accepteula kabul eder, böylece ilk kullanım sessiz kalır. Hepsini tek klasörde tutun, o klasörü PATH’e ekleyin ve gizem sistem süreçlerini ilgilendiriyorsa yönetici olarak çalıştırın. Altın kural: bu araçlar bakar, değiştirmez — yapılan tek değişiklikler, bir tutamacı sonlandırmak ya da Autoruns girdisini kapatmak gibi bilinçli olarak yaptıklarınızdır. Önce bak, anla, sonra davran — Windows sır saklamayı bırakır.

Sorular ve yanıtlar

Bunları da okuyun