Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 1 Kannattaisiko soutuvene korvata moottoriveneellä?

Transkriptio

1 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 1 Kannattaisiko soutuvene korvata moottoriveneellä?

2 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 2 Sysinternals-ohjelmistotalon juuret ulottuvat 90-luvulle ja kahteen lahjakkaaseen ohjelmoijaan, Mark Russinovichiin ja Bryce Cogswelliin. He tuottivat 90-luvulla ja 2000-luvun alussa lukuisia apuohjelmia, joiden avulla he osoittivat useita Windowsin toimintaan liittyviä epoloogisuuksia ja muita kummallisuuksia. Mark Russinovich aloitti 90-luvulla yhteistyön David Solomonin kanssa, jonka juuret ulottuvat 80-luvulla DECille, jossa hän oli kehittämässä yhdessä mm. sittemmin Microsoftille siirtyneen David Cutlerin kanssa VMS-käyttöjärjestelmää. Solomon erikoistui 90-luvulla Windows-maailmaan ja he aloittivat yhteisen kirjatuotannon Windowsin sielunelämää käsittelevillä teoksilla, tärkeimpänä Windows Internals, jonka uusittu 5. painos tulee ulos helmikuussa Microsoft teki Russinovichille ja Cogswellille kesällä 2006 tarjouksen, josta he eivät voineet kieltäytyä, jonka seurauksena Russinovich toimii nyt nimikkeellä Techinal Fellow Windows-käyttöjärjestelmäjaostossa. Käytännössä hänen vastuullaan on osa jo Windows Vistaan liittyvistä asioita, mutta ennen kaikkea hänellä on merkittävä rooli Windows 7 ja erityisesti tulevan Windows 8:n suunnittelussa. Itse arvioin Mark Russinovichin kenties maailman johtavaksi Windows-asiantuntijaksi ja ohjelmoijaksi, joka on myös aivan erinomainen esiintyjä. Hän esiintyy lähinnä Microsoftin merkittävimmissä kansainvälisissä PDC- ja TechNet-tilaisuuksissa. Mistä ohjelmat löytyvät: - ohjaa sinut sivulle - voit ladata yksittäisiä sovelluksia aihepiireittäin - saat näkyville hakemistolistauksen, josta voi ajaa sovelluksia suoraan, ellei koneellesi ole niitä asennettuna Suosittelen kuitenkin lataamaan kerralla laajemman kokonaisuuden, Sysinternals Suite-paketin napsauttamalla ko. linkkiä:

3 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 3 Napsauta kohtaa Download Sysinternals Suite. Huomaa löydät ne nyt tässä harjoituksessa Z:\SysinternalsSuite-kansiosta, kopioi ne sieltä c:\windows\system32-kansioon. Jos lataat uudemman paketin, tallenna se työasemallesi: Valitse sopiva tallennuskansio ja napsauta Save (Tallenna). Valitse sitten Suorita jne.

4 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 4 Valitse Extract all files eli pura kaikki tiedostot. Itse puran tässä esimerkikssä ensiksi suoraan ko. Windows-kansioon, joka sijaitsee ns. polulla eli ohjelmat voi käynnistää mistä tahansa. Toinen, kenties sivistyneempi tapa olisi tehdä oma kansio ja sijoittaa ko. kansio polkulausekkeeseen.

5 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 5 Jos kansiossa on vanhempi versio, valitse Copy and Replace ja laita rasti kohtaan Do this for the next xx conflicts ja suomenkielisessä versiossa vastaavasti (Kopioi ja Korvaa). Tarvitset järjestelmänvalvojaoikeuksia. Huomaat, että Vistassa saa valituksen kopioinnin loppuvaiheessa: Valitse Try again huomataksesi että vain Skip auttaa. Tarkista, että tiedostot löytyvät. Ellei kopiointi jostain syystä onnistu, tee sama Administratorin cmd-tasossa, jossa se onnistuu 100% varmasti. Eräs syy, miksi

6 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 6 kopiointi ei aina onnistu on se, että vanhan version päälle kopioitaessa sinulla saattaa olla jo jokin Sysinternals ohjelma käytössä ja ko. tiedosto on avoimena. Esimerkki vielä Administratorin CMD-tasossa: xcopy lähde c:\windows\system32 /c Esimerkiksi xcopy c:\sys c:\windows\system32 /c XP:ssä homma hoituu paljon yksinkertaisemmin!

7 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 7 Mitkä ovat tärkeimmät apuohjelmat TOP 15 Tässä harjoituksessa käydään yli 70 sovelluksesta vain keskeisimmät 15 sovellusta, harjoituksen lopussa on esitelty kaikki sovellukset ja merkitty ne, jotka ovat näiden 15 ohella muuten merkityksellisiä. Huomaa, Russinovich päivittää sovelluksia säännöllisesti joten kannattanee esimerkiksi 3 kk välein tiputtaa uusin sviitti. Toinen tapa verkkokäyttöön on tehdä verkkojako, esimerkiksi \\palvelin\sys, josta on helppo ajaa näitä apuohjelmia niillä koneilla, joissa sitä ei ole poluilla. En ole kokeillut, mutta teoriassa siihen voisi mklink-komennolla symbolisen linkin, mutta en ole kokeillut, toimivatko ne verkon yli oleviin kansioihin. Process explorer parempi tehtävienhallinta Komento: procexp (siis procexp.exe) Joudut Vistassa valitsemaan valinnan Run nuoli vasemmalle ja välilyönti. Jos ohjelma ei aukea heti näkyville, löytyy se oikeasta alakulmasta tila-alueelta (notification area, huomautusalue): Näet täällä tietoa prosessorin- ja muistinkulutuksesta. Napsauta kuvakkeen alueella aukaistaaksesi sen kokonäyttöön.

8 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 8 Valitse View Show Process Tree jatkossa pikanäppäin Ctrl + T. Lajittele CPU-sarakkeen mukaan.

9 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 9 Kuvasta huomaat, että jokin svchostissa vie koneessa melkein 50% tehosta ja System Idle Process eli joutokäynti on vasta toisena. Huolestuttavaa. Näet, että Outlook käyttää 0,74%. Jos samaa katsottaisiin Windowsin omalla tehtävienhallinnalla (Ctrl+vaihto+esc), näkymä on: Huomaa, task manager pyöristää CPU-sarakkeessa prosessien ajan ensimmäisestä luvusta, kaikki 0-alkuiset pyöristetään 0, vaikka se olisi esimerkiksi 0,74%. Tämän takia Task managerin näkymään ei kannata tehojen osalta täysin luottaa. Mikä vie SVCHOST.EXEssä melkein 50% tehoa. Avaa prosessin ominaisuudet hiiren kakkospainikkeella: ja valitse Properties. Kokeile jonkin toisen prosessin kohdalla Search Online eli Ctrl+M.

10 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 10 Ctrl+M avaa yllätys, yllätys MSN-hakuun prosessin nimisen haun: Toi liutilities.com osaa hyvin kertoa tarkempia tietoja prosesseista. Palataan prosessin ominaisuuksiin, käy läpi kaikki välilehdet. Itse asiassa käynnistä Pasianssi (eng. Solitaire) ja pelaa sitä minuutti! Kaiva se tämän jälkeen esille ja ota solitaire.exe-prosessin tiedot, XP:ssä prosessi on sol.exe. Palaan tähän svchost.exe-suorituskykyongelmaan hetken kuluttua. IMAGE perustietoja, DEP ja ASLR ovat tietoturva-asioita, kerron niistä lisää.

11 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 11 PERFORMANCE suorituskyky, pelini vei jopa melkein 4 sekuntia prosessoriaikaa!muistia tärkeimpänä private bytes pasianssi vie noin 70 Mt, virtuaalimuistia hyödynnetään reilut 200 Mt. IO-tapahtumia pasianssilla on varsin vähän. PERFORMANCE GRAPH tärkeimmät edelliset asiat graafina, vie hiiri jonkin piikin kohdalle niin saat tarkempia tietoja siitä, esimerkiksi käynnistyksessä näkyvä piikki vei tehoa huikeat 17, 79%

12 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 12 THREADS säikeet kertoo, mistä ja miten pasianssi oikein toimii. Suspendilla voit keskeyttää prosessin ja sen jälkeen suspendin tilalle tulevalla resume-komennolla jatkaa. Pelasin taas hetken mitä tietoa eli eroja löydät?

13 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 13 STACK sovelluksen pino kertoo, mitä se parhaillaan tekee, ongelmaselvityksessä kannattaa katsoa juuri tänne: MODULE kertoo valitsemasi sovelluksen / dll:n tarkempia tietoja:

14 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 14 TCP/P pasianssi ei pitäisi käyttää verkkoliikennettä. Ellei sinulla ole IE-selain avoimena, avaa se ja käy katsomassa sen tcp/ip-välilehti. Palaa sitten takaisin. SECURITY kenellä on oikeuksia, permissions-painikkeella voi muuttaa oikeuksia.

15 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 15 ENVIRONMENT prosessille näkyvissä olevat ja käytössä olevat ympäristömuuttujat STRINGS näyttää ohjelman sisältämiä tekstimerkkijonoja, tällä voit kaivaa esimerkiksi Windows Updatetoiminnosta vastavasta wuauclt.exe-prosessita mielenkiintoisia, täysin dokumentoimattomia valitsimia. saat saman toiminnon aikaan cmd-tasossa strings komennolla. Kokeile siis CMD-tasossa: Hankala lukea näytössä? Kokeile notepad %tmp%\w.txt

16 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 16 Mitäköhän tekevät yo. valitsimet: /reportnow /demoui kokeillaan: Osui ja upposi:

17 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 17 Palataan takaisin pasianssin merkkijonoihin täältäkin saattaisi löytyä kaikkea mielenkiintoista, jos olisi aikaa tutkia: Et pääse muuttamaan kuitenkaan eli tekemään omia virheilmoituksia, periaatteessa levyeditorilla, mutta sen jälkeen 64-bittisen pasianssin tiiviste ei täsmää ja se ei toimi lainkaan, ainakaan teoriassa. 32-bittisessä saattaisi toimia, en ole kokeillut. Niin, miksi svchost.exe vie 50% koneen tehoista? Jokin näistä sekoilee:

18 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 18 Valitettavasti Stack ei osaa kertoa enempää toisaalta kone oli tässä vaiheessa jo muutenkin outo, esimerkiksi tehtävienhallinta (task manager) ei suostunut enää aukeamaan lainkaan. Buutti auttoi. Muut hyödyllistä Procexp-ohjelmaan liittyen: Säädä asetusta Options Difference Highkight Duration:

19 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 19 Kasvata maksimiarvoon eli 9: Hyväksy Ok. Jatkossa jokainen uusi prosessi näkyy vihreänä 9 sekunnin ajan oletuksena olevan yhden sekunnin sijaan ja jokainen sulkeutunut prosessi näkyy punaisena yhdeksän sekunnin ajan. Käynnistä uusi pasianssi ja odota, että se näkyy procmonissa vihreänä ja sulje sen jälkeen prosessi: Huomaat, että pasianssi näkyy selvästi erottuvana punaisena lopetuksen jälkeen 9 sekunnin ajan. Mistä tunnistan jonkin sovelluksen tai prosessin käyttöliittymän avulla? Napsauta kuvassa viimeisenä näkyvää tähtäintä (Find Window s process (drag over window)) hiirellä ja pidä se pohjassa, vie tähtäin käyttöliittymässä haluamaasi kohtaan ja vapauta painike. Procexp palaa näkyville sekä näyttää prosessin, jonka alaisuudessa valitsemasi ikkuna toimii. Huomaat pian, että valtaosa toimii explorer.exe eli käyttöliittymän alaisuudessa. Eniten tästä on hyötyä silloin kun saat näyttöön virheilmoituksen, josta ei heti saa selvää, mihin sovellukseen se kuuluu.

20 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 20 Säädä esitettäviä saraketietoja Valitse View Select Columns: Prosesseista voi pyytää esitettäväksi kaiken:

21 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 21 Prosessien suorituskyvystä ei oletuksena kannata kaivaa kaikkea esille: Jos haluat seurata, mitkä kuluttavat eniten muistia, voit valita Private bytes ja huippuarvon Peak Private bytes: Muita välilehtien asetuksia emme tässä säädä.

22 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 22 Korvaa Task Manager eli tehtävienhallinta Tehokas keino alkaa käyttää ohjelmaa on sijoittaa se tehtävienhallinnan tilalle, valitse Options Replace Task Manager. Samasta kohdasta voit palauttaa takaisin oletuksen. Laita asetus päälle ja lopeta procexp. Kokeile sen jälkeen Ctrl+vaihto+esc. Ja aikanaan tarvittaessa palautus: Huomaa, että saa *millään* tavalla ajettua task manageria, jos yrität käynnistää sovellusta taskmgr.exe. Kikkaillaanpas hieman ja opiskellaan lisää pikakuvakkeiden hallintaa. Kopioi c:\windows\system32\taskmgr.exe nimelle tehhal.exe ja suorita se. Aukeaa normaalisti! Tee tämän jälkeen työpöydälle pikakuvake, johon lisäät komennoksi pelkän tehhal.exe ja anna sille vaikkapa nimeksi Tehtävienhallinta original:

23 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 23 Tarkista että se toimii. Avaa pikakuvakkeen ominaisuudet ja muuta kohtaan pikanäppäin eli shortcut key esimerkiksi Ctrl + Vaihto + napauttamalla kyseistä näppäinyhdistelmää: Napsauta ok. Kokeile, se toimii useimmiten, mutta ei ihan aina, riippuu siis siitä, mikä käyttöliittymän osa sinulla on aktiivisena.

24 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 24 Loistava System information-ikkuna Olet jo varmaan ehtinyt miettimään, mitä yläreunan kuvaajat esittävät, napsauta jotain kuvaajaan osaaluetta: Napsautettuasi saat esille uuden ikkunan: Näet nyt niin ylimmäisestä muistijanasta, keskimmäisestä muistin kulutuksesta kuin alimmaisesta i/ojanasta myös mahdollisen piikin tai laskun aiheuttajan viemällä hiiren kuvakkeen piikin kohdalle! Todella loistava ominaisuus.

25 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 25 Seuraavassa kuvassa näkyy hyvin Process Explorerin ja Task Managerin erot siinä missä task managerissa ihmetellään, että olipas piikki, process explorer osaa kertoa ett iexplore.exe ja prosessi 5492 aiheutti 48% piikin kello 23:30.03.

26 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 26 Prosessin suorituskyvyn säätäminen sekä prosessorikuormituksen jakaminen Pari muuta muistettavaa - voit jakaa prosessorikuormaa prosessin kohdalta hiiren kakkospainikkeen komennolla Set affinity: Voit antaa prosessille enemmän tai vähemmän suoritustehoa komennolla Set Priority:

27 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 27 Process Monitor työkaluja järjestelmän reaaliaikaiseen seuraamiseen Sovellus: procmon (siis procmon.exe) Käynnistettyäsi ohjelman, mene välittömästi File Capture Events ja napsauta sen kohdalla, jotta se ei kerää enempää tietoja. Jatkossa saman saat päälle Ctrl + E. Kokeile laittaa tietojen kerääminen pariksi sekunniksi päälle pikanäppäimellä, katso ikkunan vasenta alareunaan ja lopeta samalla pikanäppäimellä. Ai Windowsissa ei tapahdu mitään, vaikka et tekisi koneella hommia?! tapahtumaa saadaan kerättyä hetkessä! Nyt kun olet kerännyt tietoja, voit suodattaa niitä yläreunan viidellä painikkeella: rekisteri tiedostojärjestelmä verkko prosessi ja säikeet profiling events eli tietoja yksityiskohtaisempia käynnissä olevista prosesseista pollaushetkellä

28 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 28

29 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 29 Esimerkiksi pelkkä Profiling events näyttää, mitä prosesseja (lähinnä kuvan tapauksessa järjestelmän) valittuna olevana ajankohtana on tapahtunut: Pelkkä Process ja Thread activity näyttää, että procmon64.exe on lähtenyt liikkeelle (osaa siis automaattisesti käynnistää 64-bittisen version, jos sitä tarvitaan) ja mitä kaikkea sen jälkeen on koneessa tapahtunut.

30 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 30 Pelkkä Network activity osoittaa, että sekunnissa voi tapahtua todella paljon: Pelkkä Show File System Activity osoittaa, mitä kaikkea tiedostojärjestelmätasolla tapahtuu:

31 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 31 Pelkkä Show Registry Activity osoittaa, että procmon on käynnistyessään lukenut aikamoisen leegion asetuksia rekisteristä: Tässä ohjelmassa on erityisen kätevä tähtäyspainike, jolla voit osoittaa, mistä avoimena olevasta prosessita haluat lisätietoa. Valitse ensin käyttöön kaikki seurattavat kohteet ja valitse sitten tähtäyspainikkeella (sama kuin procmon) prosessi, josta haluat tietoja pitämällä painiketta pohjassa ja viemällä tähtäin prosessin / sovelluksen / käyttöliittymän osan alueelle. Esimerkiksi Word on ollut taustalla suhteellisen rauhallinen, se on saanut prosessorilta jonkin verran suoritusaikaa, mutta ei ole käyttänyt verkkoa, käsitellyt tiedostoja tai verkkoa.

32 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 32 Erityisen tärkeä toiminto procmonissa on suodatukset eli filtteröinti: Napauta kuvakkeen kohdalla tai muista Ctrl+L. Näet valittuna olevat suodattimet, poista ne napsauttamalla Reset: Oletuksena Profiling jätetään pois, napsauta OK:

33 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 33 Kun haluat aloittaa alusta, katsoa vaikkapa mitä Pasianssia käynnistettäessä tapahtuu, tyhjennä ensimmäiseksi taulu Clear-painikkeella tai muista Ctrl+X. Lue alla oleva ensin pariin kertaan ennen kuin kokeilet: Napsauta Ctrl + E, joka käynnistää tehtävien eli lokin keräämisen. Napsauta Win-painike, kirjoita pasi ja paina enter Palaa takaisin Alt+sarkaimella Procmon-ohjelmaan Lopeta keruu painamalla Ctrl + E. Nyt voit hengittää. Valitse sitten tähtäin painike eli Include process from window ja valitse sillä pasianssi ja näet: Kaikki pasianssiin liittyvä aktiviteetti, yli asiaa tapahtui pelkästään pasianssia käynnistettäessä! VAU.

34 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 34 Voit vielä kokeilla ja katsoa Tools-valikosta summary-tietoja: Loput 12 apuohjelmaa jos olet päässyt tähän saakka, voit kokeilla näitä vielä pikaisesti. Psexec Psinfo - Aja sovelluksia etänä muissa tietokoneissa, esimerkkinä: o psexec \\palvelin cmd avaa komentokehotteen sinun koneellesi palvelimelle o psexec \\palvelin i cmd avaa komentokehotteen palvelimen konsolille, sinä et näe sitä - Järjestelmätietoa, mm. uptime TCPview Autoruns mitä yhteyksiä / minne auki? automaattisesti käynnistyvät ohjelmat, erityisesti hyötyä epäilyttäviä ohjelmia / haittaohjelmien käynnistymistä selvitettäessä, normaalisti joka koneessa >40 paikkaa, logon mielenkiintoisin välilehti Desktops - virtuaalityöpöytäohjelmisto, tulee tila-alueelle oikeaan alakulmaan, saat eri virtuaalityöpöydät napsuttelemella Ctrl + 2, Ctrl + 3, Ctrl + 4, Ctrl +1. Ohjelman kuvakkeesta saat thumbnail-näkymän.

35 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 35 BGinfo ZoomIT - voit tuottaa tietokoneesi taustakuvaan hyödyllistä tietoa laitteistostasi tulen käyttämään 2 päivää, muista ctrl+1, ctrl+2 ja ctrl+3. Värit muistaa r,g,b jne, viivoja, laatikoita joko vaihto, tab tai niiden yhdistelmä, kirjoittaa voi t-kirjaimen jälkeen ja ctrl+s tallettaa. Saat helpin ohjelman tila-alueella näkyvästä kuvakkeesta. Strings hae merkkijonoja binääritiedostoista, harjoiteltiin jo procexp:n yhteydessä AccessChk minne käyttäjällä / ryhmällä on acl-oikeuksia tiedosto / rekisteri / palvelutasolla AccessEnum edellisen graafinen eli helpompi versio ShareEnum verkkoresurssien käyttöoikeudet verkon kautta resurssia lähestyttäessä. Voit skannata koko oman toimialueesi ja etsiä mahdollisia virhekonffauksia. ADExplorer AD:n sielunelämän olemus, älä käytä, jos et tiedä mitä olet tekemässä! SysInternals BlueScreen Screen Saver legendaarinen näytönsäästäjä, ei tule suiten mukana vaan pitää hakea erikseen, useampi ICTammattilainen on saanut kenkää laitettuaan tämän pyörimään palvelimilla! David Solomon ohjeet debuggausvälineiden käyttöönottamiseksi Eikä tässä vielä kaikki! Jos haluat lisää apuohjelmia, David Solomon ylläpitää luennoillaan käyttämiä apuohjelmia alla olevalla sivulla: Löydät ohjeen miten mm. otat käyttöön Microsoftin kernel debuggerin sekä miten lataat käyttämäsi käyttöjärjestelmän symbolikirjastot, jotka edesauttavat myös procmonin toimintaa.

36 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 36 Laajempi katsaus tutustu ensimmäiseksi lihavoituihin sovelluksiin: accesschk.exe käyttöoikeuksien tutkiminen cmd-tasossa ADInsight.exe - - adrestore.exe voit palauttaa AD:sta poistettuja objekteja Autologon.exe automaattisesti kirjaa käyttäjän koneelle Cacheset.exe järjestelmän välimuistin säätäminen Clockres.exe järjestelmän käyttämän kellon sydämenlyöntien väli Contig.exe voit eheyttää ohjelmalla yksittäisen tiedoston Coreinfo.exe lisätietoa koneen suorittimista ctrl2cap.exe näppäimistälaiteohjain älä ota käyttöön ilman tarkempaa opiskelua Dbgview.exe voit tutustua tällä esmes järjestelmän tuottamiin dumppeihin diskext.exe levytietoja Diskmnt.exe NT4, diskmon muissa DiskView.exe graafinen näkymä levyyn ja tiedostoihin du.exe directory usage efsdump.exe tietoa EFS-suojatuista kansioista ja tiedostoista handle.exe tietoja kahvoista hex2dec.exe konvertteri junction.exe voit tehdä ja tutkia tietokoneen levytason liitoksia (junctions), loogisia linkkejä ldmdump.exe levytietoja Listdlls.exe luettelee dll-tiedostot, vaatii debug-oikeuden eli admin livekd.exe debuggausväline LoadOrd.exe näyttää laiteohjaimien ja palveluiden käynnistysjärjestyksen logonsessions.exe kirjautuneet käyttäjät paikallisesti / verkon kautta / TSistunnot movefile.exe tiedostojen siirtäminen, myös avoimien / järjestelmä

37 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 37 newsid.exe sid-tunnuksen vaihtaminen, käytä ennemmin sysyprep /generalize Vista ntfsinfo.exe levyjärjestelmätietoa pagedfrg.exe virtuaalimuistin defgragmentointi pendmoves.exe kertoo seuraavassa bootissa tehtäviä tiedostotoimenpiteitä PHYSMEM.EXE mahdollistaa koneen ram-muistin penkomisen pipelist.exe luettelee järjestelmän käytössä olevat nimetyt putket portmon.exe kertoo tietoja rs- ja centronics porttien käytöstä ProcFeatures.exe tarkemmat tiedot suorittimen teknisistä ominaisuuksista Procmon.exe prosessien tarkasteluun, yksi parhaista! psfile.exe luettelee verkkoyhteyden kautta tietokoneelta avatut tiedostot psgetsid.exe kertoo tietokoneen sid-tiedot Psinfo.exe kertoo yleisiä tietoja tietokoneesta pskill.exe voit lopettaa prosesseja, tehokkaampi kuin killtask pslist.exe kertoo tietoja prosesseista, myös etäkoneista psloggedon.exe tietoja kirjautuneista käyttäjistä psloglist.exe voit tutkia tapahtumienvalvonnan tapahtumia cmd-tasolla pspasswd.exe voit vaihtaa salasanoja, myös etänä psservice.exe tiedot tietokoneen palveluista ja hallinta, hieman kuten sc psshutdown.exe tietokoneen sammutus ja myös virranhallintatilat pssuspend.exe prosessin siirtäminen suspend eli odotus-tilaan RegDelNull.exe poistaa nul-merkkejä sisältävät rekisteriavaimet Reghide.exe voit luoda rekisteriavaimia, jotka eivät näy regeditissä regjump.exe voit avata regeditin suoraan haluamaasi avaimeen RootkitRevealer.exe näyttää mahdolliset rootkit-sovellukset sdelete.exe tietoturvalline poisto, eraser tekee sen graafisesti ShellRunas.exe lisää runas-komennon hiiren kakkospainikkeeseen

38 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 38 sigcheck.exe kertoo tiedostojen varmenteista streams.exe tietoja stream-tekniikkaa käyttävistä tiedostoista strings.exe voit hakea merkkijonot dll/exe-tiedostoista sync.exe tyhjentää levyjen välimuistit, ns flush tcpvcon.exe kertoo tietoja tcp-yhteyksistä cmd-tasossa Volumeid.exe voit vaihtaa levyn nimeä, explorer f2 tekee saman? whois.exe cmd-tason whois, ei toimi fi-domain-nimillä Winobj.exe syvällistä järjestelmätason tietoa

39 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 39 Mystiset ongelmat miten selvitetään? 1. Aja Vistan muistitesti myös muut kuin Vista-työasemat Vistan asennusmedialta - jos muistipiirivika, onsite-takuuhuolto, ota vaikka digikameralla kuva, toisaalta tulee myös tapahtumienvalvonnan lokeihin 2. Tarkista, ovatko seuraavat laiteajurit oikeat eli ajan tasalla: a. verkkokortit (myös wlan!) b. näytönohjain c. emolevy eli chipset 3. Onko tietokoneelle saatavilla bios-päivityksiä, kokeile yhdellä työasemalla

40 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 40 Miten selvitetään ja selviydytään ohjelmien yhteensopivuusongelmista - Vista 1. Kokeile ohjelman ominaisuuksista (hiiren kakkospainike properties) yhteensopivuus-asetusten säätämistä eli esimerkiksi Windows 98 tai XP-tilaa 2. Anna muokkausoikeus authenticated käyttäjille ongelmallisen ohjelman kyseiseen ohjelmakansioon kansion suojaus-välilehdeltä 3. Anna käyttäjille muutos-oikeus ohjelman rekisteriavaimiin o löytyy yleensä hkey_local_machine_software-haaran alaisuudesta 4. Ota ACT-ohjelmisto käyttöön ja aja inventointi. Hae sen avulla mahdollisia valmiita ratkaisuja tai luo itse uusia! Lataa ja asenna SQL Express ACT:n yhteydessä käytettäväksi ilmaistietokannaksi.

41 Windows Sysinternals-apuohjelmat-harjoitus KRTT Oulu sivu 41