SysinternalsSuite - 操作整理

SysinternalsSuite - 操作整理

前言

以前使用SysinternalsSuite，只是简单用一下。

今天看到资料，是SysinternalsSuite作者出的。对SysinternalsSuite的细节用法有了进一步了解。

笔记

实验环境

win10 21H2 + SysinternalsSuite 2022

环境变量

将SysinternalsSuite的路径加入环境变量，工具包中有些命令行程序需要在cmd窗口中执行。

命令行程序加 --help 可以看到细节用法。

在cmd窗口中打开一个文本文件

start xx.log

在我这，默认用vscode打开

cd /d path // 在cmd中打开并进入一个目录

procexp64.exe

查看进程签名是否有效

让进程状态变化时显示的时间更长

这样我们可以更清楚的看清哪些程序状态（启动，运行，退出）变了。

当一个程序(e.g. 计算器)状态变化时，要9秒才显示下一个运行状态。

启动时的颜色是浅绿。

运行时的颜色是浅蓝

退出后的颜色是红色。

关掉互相守护的进程

假设本机上有相互守护的程序，在任务管理器中结束进城后，守护程序就会重新启动一个进程。

这时，需要将所有互相守护的程序一个一个都挂起，再一个一个的结束进程。

msconfig.exe

资料中提到MS自带的msconfig工具，可以看到一些系统服务和系统提供的一些程序的具体名称。

Autoruns64.exe

Autoruns64.exe 可以完成msconfig的功能，执行系统启动项的查看和控制。

隐藏官方(windows和MS发布的)程序

只显示第三方程序的时候，就很容易看出是否有关注的项。

如果需要日志啥的，可以运行autorunsc64.exe

sigcheck64.exe

递归检查当前目录下没有签名的程序，并将扫描结果保存到文件。

sigcheck64.exe -s -e -u -w scan.log

扫描结果文件

C:\Program Files (x86)\Internet Download Manager\IDMan.exe:
	Verified:	Unsigned
	Link date:	4:48 2022/3/25
	Publisher:	n/a
	Company:	Tonec Inc.
	Description:	Internet Download Manager (IDM)
	Product:	Internet Download Manager (IDM)
	Prod version:	6, 40, 11, 2
	File version:	6, 40, 11, 2
	MachineType:	32-bit
C:\Program Files (x86)\Internet Download Manager\IDMan_org.exe:
	Verified:	Unsigned
	Link date:	4:48 2022/3/25
	Publisher:	n/a
	Company:	Tonec Inc.
	Description:	Internet Download Manager (IDM)
	Product:	Internet Download Manager (IDM)
	Prod version:	6, 40, 11, 2
	File version:	6, 40, 11, 2
	MachineType:	32-bit
C:\Program Files (x86)\Internet Download Manager\IDMGrHlp.exe:
	Verified:	Unsigned
	Link date:	12:28 2019/11/10
	Publisher:	n/a
	Company:	Tonec Inc.
	Description:	Internet Download Manager module
	Product:	Internet Download Manager
	Prod version:	6, 35, 9, 1
	File version:	6, 35, 9, 1
	MachineType:	32-bit

listdlls

扫描指定进程的未签名dll, 并保存到文件

listdlls -u 20560 > scan_dll_sig.log

日志样例

------------------------------------------------------------------------------
IDMan.exe pid: 20560
Command line: "C:\Program Files (x86)\Internet Download Manager\IDMan.exe" 

Base                Size      Path
0x00000000002c0000  0x5a4000  C:\Program Files (x86)\Internet Download Manager\IDMan.exe
	Verified:	Unsigned
	Publisher:	Tonec Inc.
	Description:	Internet Download Manager (IDM)
	Product:	Internet Download Manager (IDM)
	Version:	6.40.11.2
	File version:	6.40.11.2
	Create time:	Fri Mar 25 04:48:01 2022

0x00000000002c0000  0x5a4000  C:\Program Files (x86)\Internet Download Manager\IDMan.exe
	Verified:	Unsigned
	Publisher:	Tonec Inc.
	Description:	Internet Download Manager (IDM)
	Product:	Internet Download Manager (IDM)
	Version:	6.40.11.2
	File version:	6.40.11.2
	Create time:	Fri Mar 25 04:48:01 2022

Procmon64.exe

Procmon64.exe 可以监视进程的动作(文件操作，注册表操作，网络操作)

文件菜单上有保存和载入，可以保存现场，供分析用。

END

作者 Mark Russinovich 出了书 <<Windows Sysinternals实战指南>>, 讲这个SysinternalsSuite工具包怎么用, 算是一个对工具包使用的导读。

如果是简单的用，看软件自带帮助文档，自己瞎琢磨就行。如果有洁癖，就膜拜作者的书。