Sysinternals Suit使用方法

利用Sysinternals Suite加强Windows系统管理

发布时间：2009-02-11 09:17:31 来源：友佳学院网友评论 0 条

Sysinternals Suite是微软技术团队开发的一套功能强大的免费工具程序集，2009年2月4日微软发布了它的最新版本，其版本号为Build 20090204。新版本的Sysinternals Suite包括72个相互独立的工具，这些工具囊括了文件、进程、磁盘、网络、安全等系统管理的方方面面，而Sysinternals Suite中的工具比系统中集成的类似工具功能更为强大，针对系统的可操作性更灵活。系统管理员如果能够熟练、灵活使用这些工具，无疑将会极大地提升系统管理效率。下面笔者基于系统管理的实际需要，实例演示其中某些工具的使用方法。

下载及其安装

访问

https://www.360docs.net/doc/023967722.html,/zh-cn/sysinternals/0e18b180-9b7a-4c49-8120-c47c5a6 93683(en-us).aspx可下载Sysinternals Suite包。下载完毕后不需要安全，只需将其解压到某个目录即可。

1、用数字签名甄别可疑程序

随着使用时间的增长，就会在系统中会汇集越来越多的文件。这些文件大多数是正常的，但也有不少可疑文件，特别上网、安装软件等操作，很容易造成系统中毒、中马。现在的病毒木马非常狡猾，它们往往将自己装扮成系统文件以逃避杀毒软件和用户的追杀。这些可疑文件不仅与系统文件同名，而且其大小、文件属性都和系统文件一样。系统管理员遇到这些此类情况，如何甄别呢?

数字签名是我们分辨系统程序和可疑程序的依据。大家知道，对于Windows系统来说重要的系统文件都有类似Verified: Signed、Signing date:12:14 2004-8-17、Publisher: Microsoft Corporation的微软的数字签名，而可疑程序则没有。比如在笔者的C:/Windows 下有一个名为svchost.exe的程序，其大小及文件属性和系统中的svchost.exe的完全一样。利用Sysinternals Suite工具集中的sigcheck.exe就可以查看程序的数字签名进行甄别。sigcheck.exe是命令行工具，需要在命令提示符下运行。打开命令提示符，进入Sysinternals Suite目录，然后执行“sigcheck.exe "c:/windows/svchost.exe"”，如图1所示显示为：Publisher:????、Description:VPN???,???????,????????，毫无疑问，该svchost.exe绝对不是微软的程序，而企图装扮成系统程序行迹可疑直接删除即可。(图1)

系统管理员在部署工具前，搭建环境进行测试，以保证程序运行的可靠性、稳定性，这是非常有益的。另外，有的时候我们需要要进行病毒、木马分析。诸如此类，除了要搭建实验环境还需要相应的监控软件。对于系统监控来说，注册表及文件监控是重点。在Sysinternals Suite工具有两个非常不错的工具，其中Regmon.exe是用来进行文件监控的，Filemon.exe可用用于文件监控。

下面以木马分析为例演示这两个工具的使用。笔者最近帮朋友杀毒获取了一个危险的VB脚本文件，文件名为config.vbs。我们在虚拟机中运行Regmon.exe和Filemon.exe，然后执行config.vbs脚本看它对系统都做了哪些操作。需要说明的是，默认情况下Regmon.exe 和Regmon.exe会记录系统中所有的注册表及其文件操作，这不利于我们进行分析。首先需要对软件进行设置，过滤掉无用的信息使其只记录与config.vbs相关的信息。以Regmon.exe 为例，运行该软件，然后依次点击“Options(选项)→Filter/Highlight(过滤/高亮)”打开设置对话框。在Include(包含)后面的文本框中输入config.vbs，Exclude(排除)后输入explorer.exe，Highlight(高亮)后输入config.vbs(见图3)，最后点击“OK”退出，Filemon.exe的过滤设置方法类似。(图3)

设置完成后，首先分别单击Regmon.exe和Filemon.exe工具栏中的“Clear(清除)”按钮以清除此前的记录。然后双击执行config.vbs，Regmon.exe和Filemon.exe开始对其操作进行记录。记录完毕后分别分别单击Regmon.exe和Filemon.exe工具栏中的“Capture(捕捉)”按钮，此时看到Regmon.exe和Filemon.exe高亮显示的注册表及文件监控结果。

图4是Regmon.exe监控的结果，可以看到config.vbs脚本在注册表的

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]中添加

"system"="wscript.exe C://windows//config.vbs"自启动项目，双击该监控结果可自动运行注册表编辑器并且定位到该注册表项下。这样我们就知道了病毒脚本对注册表的操作，然后删除该键值即可。(图4)

图5是Filemon.exe监控的结果，可以看到该病毒脚本进行了多项操作。通过分析看到其操作有：在每个分区的根目录下创建了config.vbs文件，另外还生成了一个autorun.inf 文件及其名为“System Volume Information”的一个快捷方式。此外，在系统C:/Windows/目录下，

config.vbs脚本对自身进行了备份。分析完成后，我们双击相应的监控项就会进入对于的磁盘路径，然后可删除恶意脚本创建的文件。(图5)

除了可用Regmon.exe、Filemon.exe进行病毒、木马监控了解其运行机制外，这两个工具在软件测试、破解中也非常有用，大家可以挖掘其更多的功用。另外，除了这两个工具外，在Sysinternals Suite还有几个监控工具，Diskmon.exe用于磁盘监控，portmon.exe用于系统中网络端口的监控，Procmon.exe用于进程监控。 4、挑战系统，完成特殊任务

微软出于安全性考虑，对系统做了很多限制，比如隐藏某些系统功能、限制用户进行某些操作等等。而作为系统管理员，在系统操作过程中因为某些特殊需求需要挑战系统进行某些非常规操作。对于这样的任务，利用系统自带的工具几乎是不能完成的，而借用

Sysinternals Suite工具包的工具就能轻松搞定。其实Sysinternals Suite中工具不也是微软的技术人员基于某些特殊需要，方便自己而开发出来。下面列举几个例子，利用Sysinternals Suite中的工具完成的非常任务。

使用同样的SID：所谓的SID就是系统标识符，当创建一个新的用户后，系统将自动为其生成一个32位的SID。这个SID是随机生成的并且也是唯一的，是不可能重复的。我们知道NTFS文件系统的EFS加密就是基于SID的，如果某用户对文件做了EFS加密而没有保存密钥，那么当有人恶意删除该用户后，哪怕你重新创建同样的用户设置同样的密码也是打不可该文件的。不过，如果你知道该用户的SID，那么就可以将当前用户(同帐户同密码)的SID改为此前的SID一般就能够打开该加密文件了。运行Sysinternals Suite工具包中的psgetsid.exe命令和获取用户的SID如S-1-5-21-1454471165-492894223-725345543。知道了SID后，运行newsid.exe工具弹出SID更改向导。可选择将指定的SID拷贝到网络中的其他计算机，我们是本地修改SID点选“Specify SID(指定SID)”，将SID拷贝到其后的文本框中，然后依次“下一步”(见图6)开始更新系统设置，更新完毕后重启系统就会完成当前用户SID的修改。(图6)

远程进程管理：系统管理不仅在本地进行，管理员有时候需要在本地对远程系统进行维护(比如进程维护)。不需要借助其他第三方工具，利用Sysinternals Suite的工具可轻松搞定(远程主机需要开启Remote Registry服务)。比如管理员要查看并清除IP为

192.168.1.10的主机上的进程并杀死恶意进程可这样操作。打开命令提示符，进入

Sysinternals Suite目录执行命令“pslist //192.168.1.10-u administrator -p test168”可列出其所运行的进程。通过分析发现名为muma的进程比较可疑，我们可以执行命令“pskill -t //192.168.1.10 -u administrator -p test168 muma”(远程主机的admin$默认共享是开启的，如果没有开启可执行命令“net share admin$”)，可以看到远程主机192.168.1.10中的可疑进程被杀死(见图7)。(图7)

5、几个有趣而实用的工具

运行autoruns.exe可查看系统中几乎所有的自动运行、加载的项目，然后可通过勾选或者取消勾选管理员可决定其是否加载。其中我们比较关注的项目有：注册表自启动项、IE 加载项、驱动程序加载项、计划任务、系统服务等。(图8)

对磁盘分区进行碎片整理可节省磁盘空间、提升磁盘性能，但大家忽视了虚拟内存(页面文件)也需要进行整理。pagedfrg.exe是虚拟内存碎片整理工具，运行该工具弹出设置面板。大家和根据需要设置系统启动时整理及其整理倒计时时间等，设置完成后单击“OK”即可。(图9)

whois.exe工具可用来查询指定域名的详细信息，这在上网浏览网页中非常有用。在访问目标网站(特别是比较可疑的网站)之前首先对其域名进行解析，确保其安全性这是安全上网的保证。例如我们可以在命令提示符下进入Sysinternals Suite目录运行命令“whois https://www.360docs.net/doc/023967722.html,”可获得IT专家网所使用的域名的详细信息，比如域名状态、注册机构、dns 服务器、注册时间等信息，这些信息是大家安全上网的可靠保证。(图10)

为了方便使用，个人用户愿意系统启动时不用输入用户名密码就能登录系统。利用Autologon.exe可满足需求，运行该工具后分别属于自动登录的用户帐户和密码后点击“Enable”就可以了，而且会将密码加密，更安全。(图11)

Bginfo.exe工具可帮你将当前系统的信息作为桌面背景显示出来，既方便了管理员随时了解系统信息，而且也非常有个性。运行Bginfo.exe弹出设置窗口，我们可以自定义桌面上显示的项目，从右侧的“Fields”下拉列表中选择相应的项目添加进来即可。另外还可对字体、桌面背景等进行设置，设置完成后单击“OK”系统信息就会在桌面上显示出来。(图12)

总结：在Sysinternals Suite工具包中还有很多实用的工具本文就不一一演示了。工欲善其事必先利其器，相信灵活使用这些工具能够在很大程度上提升系统管理员的工作效率和管理水平。