3、探索Sysinternals实用工具与Windows核心概念

探索Sysinternals实用工具与Windows核心概念

1. Sysinternals实用工具基础

Sysinternals实用工具为简化打包、分发和便携性，采用单一32位可执行映像，可直接启动。这些工具会将所需的额外文件作为资源嵌入，并将其提取到程序所在文件夹；若该文件夹不可写（如在只读介质上），则提取到当前用户的 %TEMP% 文件夹。程序不再需要这些提取的文件时会将其删除。

例如，在支持32位和64位系统方面，Sysinternals实用工具就运用了此技术。对于需要64位版本才能在64位Windows上正确运行的工具，主32位程序会识别CPU架构，提取相应的x64或IA64二进制文件并启动。以在x64系统上运行Process Explorer为例，你会看到 Procexp64.exe 作为 Procexp.exe 的子进程运行。

需注意，如果程序文件提取到 %TEMP% 文件夹，而该文件夹的执行权限被修改移除，程序将无法运行。多数使用内核模式驱动的Sysinternals实用工具会将驱动文件提取到 %SystemRoot%\System32\Drivers ，加载驱动后删除文件。驱动映像会一直保留在内存中，直到系统关机。运行更新了驱动的新版工具时，可能需要重启系统来加载新驱动。

2. 相关社区与信息渠道

• Windows Sysinternals论坛 ：网址为http://forum.sysinternals.com ，是获取S