59、系统故障排查与行为解析案例分享

系统故障排查与行为解析案例分享

在日常的计算机使用过程中，我们常常会遇到各种莫名其妙的问题，比如系统启动缓慢、弹出奇怪的提示框、出现不明的磁盘驱动器等。这些问题可能会让我们感到困扰，但通过一些专业的工具和方法，往往能够找到问题的根源并解决它们。下面将分享几个实际的案例，希望能为大家在遇到类似问题时提供一些思路和方法。

案例一：阻止Sysinternals工具运行的恶意软件

一位朋友认为自己的系统感染了恶意软件，便请一位Sysinternals用户帮忙查看。该系统启动和登录时间很长，使用Microsoft Security Essentials进行恶意软件扫描也始终无法完成。用户首先在任务管理器中查找异常进程，但未发现明显问题。

接着，用户尝试使用Sysinternals工具，如Autoruns、Procmon、Procexp和RootkitRevealer，但这些工具启动后立即退出。为了进一步验证，用户用记事本打开名为“Process Explorer”的文本文件，结果该文件也立即终止。此时，用户有足够理由相信系统已被感染，但不知如何确定原因，更不用说清除它了。

在浏览Sysinternals Suite的其他工具时，用户注意到了Desktops工具。之前用记事本的实验表明，恶意软件可能在监控它不喜欢的程序的窗口标题。由于窗口枚举只返回与调用者在同一桌面的窗口，用户推测恶意软件作者可能没有考虑到程序在非默认桌面运行的可能性。于是，用户运行Desktops工具并切换到第二个桌面，成功启动了Procmon和其他工具。

接下来，用户使用Procexp查看进程，启用了“Verify Signers”选项和“Verified Signer”列，确认所