30、打造坚不可摧的PC系统与微软Sysinternals工具集详解

打造坚不可摧的PC系统与微软Sysinternals工具集详解

在当今数字化的时代，确保PC系统的安全与稳定至关重要。创建一个坚不可摧的PC系统，不仅要设置适当的安全级别，还需要进行系统备份等操作。同时，当遇到PC问题时，微软的Sysinternals工具集能提供强大的诊断和修复功能。

一、打造安全PC系统的基础要点

为了打造一个安全可靠的PC系统，我们需要做好以下几个方面：
1. 系统备份 ：确保拥有PC的完整系统映像备份，以便在需要时进行恢复。同时，将Windows映像（ISO）安装文件和所有PC硬件驱动程序的副本存放在多个安全位置，以防数据丢失。
2. 安全设置 ：设置适当的安全级别，这有助于从源头上防止可能危及PC和网络的问题发生。要记住，网络中的所有设备都是相互关联的，如果你的PC能够访问网络中的其他PC和存储系统，那么它就可能成为这些系统的潜在薄弱入口。

二、微软Sysinternals工具集概述

微软的Sysinternals工具集是一套非常强大的工具，最初由Bryce Cogswell和Mark Russinovich在1996年开发，十年后被微软收购。现在，它是微软TechNet网站的一部分，你可以在 这里 找到它。
这个工具集由一系列独立的应用程序组成，可在Windows操作系统内执行各种配置、诊断和修复任务，其中一些工具几乎已经成为传奇。而且，Sysinternals是一个活跃的微软项目，会定期更新升级和添加新工具。目前，该工具集包含多达69个工具和实用程序。下面将重点介绍一些可用于诊断、排查和修复PC问题的工具。

三、文件和磁盘实用工具

工具名称	功能描述	使用方式
AccessChk	从命令行运行，用于检查特定用户或用户组对文件、目录、注册表项、服务等的访问权限	在命令行中使用，具体命令语法可在Sysinternals网站上查找
AccessEnum	图形化实用工具，可查看文件、目录和注册表项的树状视图，显示用户的读写权限以及被拒绝访问的用户	指向要查看权限的位置，点击“Scan”按钮
Contig	命令行工具，提供文件级别的碎片整理，弥补Windows 10自带磁盘碎片整理工具的不足	具体开关可在Sysinternals网站上查找
Disk2Vhd	可创建PC上任何硬盘或分区的虚拟硬盘快照，即使是正在运行的系统也可以。创建的文件可在其他PC上进行检查或处理，并且可与Hyper - V配合使用	运行该工具，选择要创建快照的硬盘或分区，指定保存位置
DiskExt	命令行实用工具，列出PC中分区所在的物理磁盘以及分区在这些磁盘上的位置	在命令行中运行，具体语法可在Sysinternals网站上查找
Diskmon	提供硬盘上每次读写活动的实时报告，可用于检测是否有异常磁盘访问，如恶意软件访问，或判断文件读写故障是由硬盘坏扇区还是文件本身问题导致	运行该工具即可查看实时报告
DiskView	可告知文件在磁盘上的物理位置，对诊断损坏的磁盘或固态硬盘有一定帮助	运行该工具，选择要查看的文件
EFSDump	显示PC上哪些用户可以访问加密文件系统（EFS）加密的文件	运行该工具即可查看相关信息
MoveFile和PendMoves	用于移动文件，或查看下次重启时计划移动或删除的文件	命令行实用工具，具体语法可在Sysinternals网站上查找
NTFSInfo	显示NTFS格式磁盘或分区的详细信息，如分配单元大小、关键NTFS文件的位置和详细信息以及主文件表的信息	在命令行中运行，具体语法可在Sysinternals网站上查找
PsFile	提供操作系统锁定文件的相关信息，可告知网络中其他计算机打开了哪些文件	在命令行中运行，具体语法可在Sysinternals网站上查找
SDelete	用于安全删除PC上的文件，特别是EFS加密文件，确保删除后空间不会很快被新数据覆盖	在命令行中运行，具体语法可在Sysinternals网站上查找
ShareEnum	识别网络上所有可用的文件共享，有助于诊断PC上网络文件共享的问题，判断是PC无法看到共享还是应用程序配置错误或防火墙设置阻止了访问	运行该工具即可查看网络文件共享信息
Sigcheck	报告PC上任何文件的版本号、时间戳、数字签名和证书详细信息，可用于判断特定系统或其他文件是否已损坏或被篡改	在命令行中运行，具体语法可在Sysinternals网站上查找

下面是使用这些文件和磁盘实用工具的简单流程图：

graph TD;
    A[选择工具类型] --> B{文件和磁盘工具};
    B --> C[AccessChk];
    B --> D[AccessEnum];
    B --> E[Contig];
    B --> F[Disk2Vhd];
    B --> G[DiskExt];
    B --> H[Diskmon];
    B --> I[DiskView];
    B --> J[EFSDump];
    B --> K[MoveFile和PendMoves];
    B --> L[NTFSInfo];
    B --> M[PsFile];
    B --> N[SDelete];
    B --> O[ShareEnum];
    B --> P[Sigcheck];

四、网络实用工具

在排查PC问题时，网络问题往往是最常见的。Sysinternals工具集提供了一些有用的网络故障排除工具：
1. PSPing ：显示详细的ping信息以测试网络连接，比Windows 10的标准Ping命令更具可配置性。使用四个主要开关之一，然后结合一系列子开关来测试ICMP（路由器用于报告错误的主要协议）、TCP、延迟和带宽。具体开关细节可在Sysinternals网站上找到。
2. PsTools ：实际上是一套用于远程管理PC系统的实用工具集，包括远程执行应用程序、显示文件和用户信息、终止进程、显示进程详细信息以及关闭和重启PC等功能。具体工具详情可在Sysinternals网站上查找。
3. TCPView ：提供PC的端点网络连接信息，包括目标的远程或IP地址以及PC用于建立连接的端口。通过该工具，你可以查看每个具有活动网络连接的正在运行的进程和服务，以及它们连接的目标。还可以将这些信息与公司的IP地址范围或公司VPN的数据相结合，检查网络连接是否配置错误，或查看恶意软件或流氓应用程序可能建立的连接。Sysinternals中还有该工具的命令行版本，名为TCPVcon。
4. WhoIs ：用于提供PC连接的域名或IP地址的所有者和维护者信息。例如，在运行TCPView时发现Google Chrome连接到某个IP地址，使用WhoIs可以快速查询该IP地址对应的公司信息，判断其是否可信。

以下是使用网络实用工具的操作步骤：
1. 若要测试网络连接，可选择PSPing，根据需求选择合适的开关和子开关进行测试。
2. 若需远程管理PC系统，使用PsTools中的相应工具。
3. 查看网络连接信息时，运行TCPView或TCPVcon。
4. 查询IP地址或域名信息，使用WhoIs工具。

网络实用工具的使用流程如下：

graph TD;
    A[遇到网络问题] --> B{选择工具};
    B --> C[PSPing];
    B --> D[PsTools];
    B --> E[TCPView或TCPVcon];
    B --> F[WhoIs];
    C --> G[配置开关进行测试];
    D --> H[根据需求选择工具执行操作];
    E --> I[查看网络连接信息];
    F --> J[查询IP或域名信息];

五、进程实用工具

了解PC内部在任何时刻的运行情况对于有效排查问题至关重要。Sysinternals工具集中的进程实用工具功能强大、灵活且不可或缺。以下是一些重要的进程实用工具介绍：
|工具名称|功能描述|使用方式|
| ---- | ---- | ---- |
|AutoRuns|显示PC启动时所有启动项，远超Windows 10任务管理器中的启动应用列表。每个项目都有复选框，可快速禁用导致问题或不想运行的项目|运行该工具，查看详细启动项列表，勾选或取消勾选相应项目进行禁用或启用操作|
|Handle|命令行工具，可提供PC上哪个应用程序打开并锁定了特定文件或目录的详细信息|在命令行中运行，具体开关可在Sysinternals网站上查找|
|ListDLLs|命令行工具，可列出应用程序或进程加载的所有动态链接库（DLL），或列出访问特定DLL的所有进程。可用于排查应用程序、进程或DLL崩溃问题，查看DLL是否有其他依赖项导致问题|在命令行中运行，具体开关可在Sysinternals网站上查找|
|Portmon|若PC连接了串行或并行设备，该工具可显示这些端口的所有活动，包括成功和失败的通信以及使用每个端口的进程。有助于跟踪PC与连接设备之间的通信问题|运行该工具即可查看端口活动信息|
|ProcDump|命令行工具，有两个用途。一是监控应用程序的CPU处理器峰值并报告峰值发生情况；二是监控挂起的应用程序，提供应用程序在挂起时的详细信息|在命令行中使用，具体开关可在Sysinternals网站上查找|
|Process Explorer|功能强大，可查看PC中应用程序打开的特定文件或文件夹、使用的DLL、占用的CPU时间、内存使用量、网络带宽使用情况、是否在安全虚拟化环境中运行以及每个用户或用户组对应用程序的权限等。还可终止进程、整个进程树，暂停和重启进程，查找已安装DLL的信息，提交可疑应用程序样本进行病毒测试，断开并向使用PC资源的其他用户发送消息等|运行该工具，通过简单易懂的界面查看和操作相关信息|
|Process Monitor|实时详细显示PC上每个运行的进程和服务的信息，包括它们执行的每个操作、打开或访问的每个注册表项以及操作是否成功或报错。可用于排查挂起的应用程序、应用程序依赖项、恶意软件感染、软件配置错误、删除的文件和注册表项等问题。还可过滤视图以缩小显示信息范围，查看锁定文件的当前使用进程|运行该工具，可根据需要设置过滤条件查看相关信息|
|PSExec|命令行工具，允许通过远程连接在PC上执行程序，旨在作为远程桌面或第三方远程访问包的轻量级替代方案，用于在远程PC上安装应用程序|在命令行中运行，具体语法可在Sysinternals网站上查找|
|PsKill|命令行工具，用于终止PC上运行的进程。与其他工具相比，它不仅可以终止PC上不同用户的进程，还可以终止网络中不同PC上的进程|在命令行中运行，具体语法可在Sysinternals网站上查找|
|PsList|命令行工具，显示指定进程的详细技术信息|在命令行中运行，具体语法和开关可在Sysinternals网站上查找|
|PsService|命令行工具，可获取和控制PC或远程系统上的服务，包括停止、重启和暂停微软和第三方服务|在命令行中运行，具体语法和开关可在Sysinternals网站上查找|
|PsSuspend|允许在本地或远程PC上暂停进程，相较于完全终止服务，暂停服务可在后续继续使用|在命令行中运行，具体语法和开关可在Sysinternals网站上查找|
|ShellRunas|命令行工具，允许以非当前登录用户的登录凭据启动应用程序或进程|在命令行中运行，具体开关可在Sysinternals网站上查找|

进程实用工具的使用流程如下：

graph TD;
    A[遇到进程问题] --> B{选择工具};
    B --> C[AutoRuns];
    B --> D[Handle];
    B --> E[ListDLLs];
    B --> F[Portmon];
    B --> G[ProcDump];
    B --> H[Process Explorer];
    B --> I[Process Monitor];
    B --> J[PSExec];
    B --> K[PsKill];
    B --> L[PsList];
    B --> M[PsService];
    B --> N[PsSuspend];
    B --> O[ShellRunas];
    C --> P[查看并管理启动项];
    D --> Q[查找锁定文件的应用];
    E --> R[排查DLL依赖问题];
    F --> S[监控端口活动];
    G --> T[监控CPU峰值或挂起应用];
    H --> U[查看进程详细信息并操作];
    I --> V[实时监控进程和服务];
    J --> W[远程执行程序];
    K --> X[终止进程];
    L --> Y[查看进程技术信息];
    M --> Z[控制服务];
    N --> AA[暂停进程];
    O --> AB[以其他用户身份启动程序];

六、总结

通过上述介绍，我们了解到打造安全可靠的PC系统需要进行系统备份和设置适当的安全级别。同时，Sysinternals工具集为我们提供了丰富的文件和磁盘、网络以及进程实用工具，可用于诊断、排查和修复PC系统中出现的各种问题。在实际使用中，我们可以根据具体问题选择合适的工具，并按照相应的操作步骤进行处理。希望这些工具能帮助你更好地管理和维护PC系统，确保其稳定运行。

以下是一个简单的问题排查步骤总结列表：
1. 当遇到PC问题时，首先判断问题类型，如文件和磁盘问题、网络问题或进程问题。
2. 根据问题类型，从Sysinternals工具集中选择合适的工具。
3. 按照工具的使用说明和操作步骤进行操作，获取相关信息并进行问题排查。
4. 根据排查结果，采取相应的解决措施，如修复文件、调整网络配置或终止异常进程等。

总之，合理利用这些工具和方法，将有助于我们更高效地解决PC系统中遇到的各种问题。