Dzisiaj w tym wydaniu Geek School będziemy uczyć się o tym, jak narzędzie Process Monitor pozwala podglądać pod maską i zobaczyć, jakie są twoje ulubione aplikacje za kulisami - jakie pliki mają dostęp, klucze rejestru, które oni używać i więcej.
NAWIGACJA SZKOLNAW przeciwieństwie do narzędzia Process Explorer, które poświęciliśmy na kilka dni, Monitor procesu ma być biernym spojrzeniem na wszystko, co dzieje się na komputerze, a nie aktywnym narzędziem do zabijania procesów lub zamykania uchwytów. To tak, jakby zaglądnąć do globalnego pliku dziennika dla każdego zdarzenia na komputerze z systemem Windows.
Chcesz wiedzieć, które klucze rejestru są zapisywane w Twojej ulubionej aplikacji? Chcesz dowiedzieć się, jakie pliki dotyka dana usługa i jak często? Chcesz zobaczyć, kiedy aplikacja łączy się z siecią lub otwiera nowy proces? To Process Monitor na ratunek.
Nie robimy już wiele artykułów hack rejestru, ale z powrotem, gdy po raz pierwszy uruchomiliśmy, używamy Monitora procesu, aby dowiedzieć się, jakie klucze rejestru były dostępne, a następnie idź poprawić te klucze rejestru, aby zobaczyć, co by się stało. Jeśli kiedykolwiek zastanawiałeś się, jak niektórzy geek zorientowali się w hackach rejestru, których nikt nigdy nie widział, prawdopodobnie był to proces Monitora.
Narzędzie Process Monitor zostało utworzone przez połączenie dwóch różnych narzędzi oldschoolowych, Filemon i Regmon, które były używane do monitorowania plików i aktywności rejestru, jak sugerują ich nazwy. Podczas gdy te narzędzia są nadal dostępne tam, i kiedy mogą one odpowiadać twoim konkretnym potrzebom, znacznie lepiej byłoby z Process Monitor, ponieważ może on obsłużyć dużą liczbę zdarzeń lepiej, ponieważ został zaprojektowany do tego celu .
Warto również zauważyć, że monitor procesu zawsze wymaga trybu administratora, ponieważ ładuje sterownik jądra pod maską, aby uchwycić wszystkie te zdarzenia. W systemie Windows Vista i nowszych zostanie wyświetlone okno dialogowe Kontrola konta użytkownika, ale w przypadku XP lub 2003 musisz się upewnić, że konto, z którego korzystasz, ma uprawnienia administratora.
Process Monitor rejestruje masę danych, ale nie przechwytuje każdej rzeczy, która dzieje się na komputerze. Na przykład Monitor procesu nie dba o to, czy poruszasz myszą i nie wie, czy twoi kierowcy działają optymalnie. Nie będzie śledzić, które procesy są otwarte i marnuje procesor na twoim komputerze - w końcu to zadanie Process Explorer.
To, co robi, to przechwytywanie określonych typów operacji we / wy (wejścia / wyjścia), niezależnie od tego, czy dzieje się to za pośrednictwem systemu plików, rejestru, czy nawet sieci. Będzie dodatkowo śledzić kilka innych wydarzeń w ograniczonym zakresie. Ta lista obejmuje zdarzenia, które przechwytuje:
W związku z tym Process Monitor może przechwytywać dowolny typ operacji wejścia / wyjścia, niezależnie od tego, czy dzieje się to poprzez rejestr, system plików, czy nawet sieć - chociaż rzeczywiste zapisane dane nie są przechwytywane. Patrzymy tylko na fakt, że proces zapisuje się w jednym z tych strumieni, więc możemy później dowiedzieć się więcej o tym, co się dzieje.
Po pierwszym załadowaniu interfejsu Process Monitor zostanie wyświetlona ogromna liczba wierszy danych, a więcej danych szybko przelatuje i może być przytłaczająca. Kluczem jest przynajmniej mieć pojęcie o tym, na co patrzysz, a także o tym, czego szukasz. Nie jest to typ narzędzia, dzięki któremu możesz spędzić relaksujący dzień, ponieważ w bardzo krótkim czasie będziesz przeglądać miliony wierszy.
Pierwszą rzeczą, którą będziesz chciał zrobić, to odfiltrować te miliony wierszy w dół do znacznie mniejszego podzbioru danych, które chcesz zobaczyć, i nauczymy cię, jak tworzyć filtry i wpisywać dokładnie to, co chcesz znaleźć . Ale najpierw powinieneś zrozumieć interfejs i jakie dane są faktycznie dostępne.
Domyślne kolumny pokazują mnóstwo użytecznych informacji, ale na pewno będziesz potrzebował jakiegoś kontekstu, aby zrozumieć, jakie dane zawiera każda z nich, ponieważ niektóre z nich mogą wyglądać jak coś złego, gdy są naprawdę niewinnymi wydarzeniami, które zdarzają się cały czas pod kaptur. Oto, do czego służy każda z domyślnych kolumn:
Możesz także dodać kilka dodatkowych kolumn do domyślnego ekranu, przechodząc do Opcje -> Wybierz kolumny. Nie byłoby to naszą rekomendacją na pierwszy przystanek po rozpoczęciu testowania, ale ponieważ tłumaczymy kolumny, warto o tym wspomnieć.
Jednym z powodów dodania dodatkowych kolumn do ekranu jest to, że możesz bardzo szybko filtrować według tych zdarzeń bez przytłaczania danymi. Oto kilka dodatkowych kolumn, których używamy, ale możesz znaleźć zastosowanie dla niektórych innych na liście w zależności od sytuacji.
Warto zauważyć, że możesz filtrować dane według kolumn, nawet jeśli kolumna nie jest wyświetlana, ale kliknięcie prawym przyciskiem myszy i filtrowanie jest łatwiejsze niż ręczne. I tak, wspomnieliśmy o filtrach, chociaż ich jeszcze nie wyjaśniliśmy.
Wyświetlanie rzeczy na liście jest świetnym sposobem, aby szybko zobaczyć wiele różnych punktów danych jednocześnie, ale zdecydowanie nie jest to najłatwiejszy sposób na zbadanie pojedynczego elementu danych, a jest tylko tyle informacji, które można zobaczyć w lista. Na szczęście możesz kliknąć dwukrotnie dowolne wydarzenie, aby uzyskać dostęp do skarbca dodatkowych informacji.
Domyślna zakładka Wydarzenie zawiera informacje, które są w dużej mierze podobne do tego, co widzieliśmy na liście, ale dodadzą nieco więcej informacji stronom. Jeśli patrzysz na wydarzenie systemu plików, będziesz mógł zobaczyć pewne informacje, takie jak atrybuty, czas utworzenia pliku, dostęp, który został podjęty podczas operacji zapisu, liczba zapisanych bajtów i czas trwania.
Przejście do zakładki Proces dostarcza wielu wspaniałych informacji na temat procesu, który wygenerował zdarzenie. Podczas gdy będziesz generalnie chciał używać Process Explorer do obsługi procesów, bardzo przydatne może być posiadanie wielu informacji o konkretnym procesie, który wygenerował określone wydarzenie, szczególnie jeśli jest to coś, co zdarzyło się bardzo szybko, a następnie zniknęło z niego. Lista procesów. W ten sposób dane są przechwytywane.
Zakładka Stos jest czasem bardzo przydatna, ale często czasy nie będą w ogóle przydatne. Powodem, dla którego warto przyjrzeć się stosowi, można rozwiązać, sprawdzając kolumnę modułu pod kątem wszystkiego, co nie wygląda dobrze.
Na przykład wyobraź sobie, że proces nieustannie próbował wysłać zapytanie lub uzyskać dostęp do pliku, który nie istnieje, ale nie wiesz, dlaczego. Możesz przejrzeć zakładkę Stos i sprawdzić, czy są jakieś moduły, które nie wyglądają dobrze, a następnie je zbadać. Problem może dotyczyć nieaktualnego składnika lub nawet szkodliwego oprogramowania.
Albo może się okazać, że nie ma tu nic przydatnego, i to też jest w porządku. Istnieje wiele innych danych do obejrzenia.
Zanim przejdziemy dalej, będziemy chcieli zanotować kod wynikowy, który zaczniecie widzieć dużo na liście i na podstawie całej dotychczasowej wiedzy maniaka, możecie trochę wkurzyć. Więc jeśli zaczynasz widzieć BUFOR OVERFLOW na liście, nie zakładaj, że ktoś próbuje włamać się do twojego komputera.
Następna strona: Filtrowanie danych, które przechwytuje monitor procesu
