Jak używać Monitora procesów do śledzenia zmian rejestru i systemu plików

Process Monitor to doskonałe narzędzie do rozwiązywania problemów z Windows Sysinternals, które wyświetla pliki i klucze rejestru, do których aplikacje mają dostęp w czasie rzeczywistym. Wyniki można zapisać w pliku dziennika, który można wysłać do eksperta w celu przeanalizowania problemu i rozwiązania problemu.

Oto przewodnik na temat sposobu przechwytywania dostępu do rejestru i systemu plików przez aplikacje oraz generowania pliku dziennika za pomocą Monitora procesów do dalszej analizy.

Użyj Monitora procesów do śledzenia zmian rejestru i systemu plików

Scenariusz: Załóżmy, że nie możesz pomyślnie zapisać do pliku HOSTS w systemie Windows i chcemy wiedzieć, co dzieje się pod maską. Każdy krok w następnym artykule dotyczy tego przykładowego scenariusza.

Krok 1: Uruchomienie monitorowania procesu i konfiguracja filtrów

1. Pobierz Monitor procesu ze strony Windows Sysinternals .
2. Wyodrębnij zawartość pliku zip do wybranego folderu.
3. Uruchom aplikację Process Monitor
4. Uwzględnij procesy, na których chcesz śledzić aktywność. W tym przykładzie chcesz uwzględnić Notepad.exe w Notepad.exe (Uwzględnij).
   
5. Kliknij Dodaj i kliknij OK .
   
   Wskazówka: Możesz również dodać wiele wpisów, na wypadek gdybyś chciał śledzić jeszcze kilka procesów wraz z Notepad.exe . Aby uprościć ten przykład, śledźmy tylko Notepad.exe .

   (Zobaczysz teraz okno główne Monitora procesów śledzące listę dostępu do rejestru i dostępu do plików według procesów w czasie rzeczywistym, w miarę ich występowania i serwatki).
   
   

6. W menu Opcje kliknij Wybierz kolumny .
7. W sekcji „Szczegóły zdarzenia” włącz Numer sekwencji i kliknij OK .
   

Krok 2: Przechwytywanie zdarzeń

1. Otwórz Notatnik.
2. Przejdź do okna Monitor procesu.
3. Włącz tryb „Capture” (jeśli jeszcze nie jest włączony). Stan trybu „Przechwytywanie” można wyświetlić za pomocą paska narzędzi Monitor procesu.
   Podświetlony przycisk powyżej to przycisk „Capture”, który jest obecnie wyłączony. Musisz kliknąć ten przycisk (lub użyć kombinacji klawiszy Ctrl + E), aby umożliwić przechwytywanie zdarzeń.
4. Oczyść istniejącą listę zdarzeń za pomocą kombinacji klawiszy Ctrl + X (Ważne) i zacznij od nowa
5. Teraz przejdź do Notatnika i spróbuj odtworzyć problem .

   Aby odtworzyć problem (w tym przykładzie), spróbuj zapisać plik HOSTS ( C:\Windows\System32\Drivers\Etc\HOSTS ) i zapisać go. System Windows oferuje zapisanie pliku (poprzez wyświetlenie okna dialogowego Zapisz jako) pod inną nazwą lub w innej lokalizacji .

   Co się dzieje pod maską, gdy zapisujesz w pliku HOSTS? Process Monitor pokazuje to dokładnie.
   
   

6. Przejdź do okna Monitor procesu i wyłącz przechwytywanie (Ctrl + E), gdy tylko odtworzysz problem. Ważna uwaga: Nie zwlekaj z odtworzeniem problemu po włączeniu przechwytywania. Podobnie wyłącz przechwytywanie, gdy tylko zakończysz odtwarzanie problemu. Zapobiega to nagrywaniu innych niepotrzebnych danych przez Process Process (co utrudnia analizę). Musisz to wszystko zrobić jak najszybciej.

   Rozwiązanie: Powyższy plik dziennika informuje nas, że Notatnik napotkał błąd HOSTS dostępu podczas zapisu do pliku HOSTS . Rozwiązaniem byłoby po prostu uruchomić Notatnik z podwyższonym poziomem uprawnień (kliknąć prawym przyciskiem myszy i wybrać „Uruchom jako administrator”), aby móc pomyślnie zapisać w pliku HOSTS .

Krok 3: Zapisywanie wyniku

1. W oknie Monitor procesu wybierz menu Plik i kliknij Zapisz
2. Wybierz format Native Process Monitor (PML), podaj nazwę pliku wyjściowego i ścieżkę, zapisz plik.
   
3. Kliknij prawym przyciskiem Logfile.PML plik Logfile.PML, kliknij polecenie Wyślij do i wybierz Compressed (zipped) folder . To kompresuje plik o ~90% . Spójrz na grafikę poniżej. Na pewno chcesz spakować plik dziennika przed wysłaniem go komuś.

Notka redaktora: Zazwyczaj sugeruję moim klientom zapisanie dziennika z opcją Wszystkie zdarzenia, aby uzyskać szerokie opcje skutecznego rozwiązywania problemów z danym komputerem. Jeśli zamierzasz wysłać mi dziennik monitorowania procesu, upewnij się, że włączono opcję Wszystkie zdarzenia podczas zapisywania pliku dziennika. Nie zapomnij również o skompresowaniu pliku .zip przed wysłaniem.

To wszystko, czytelnicy. Aby uprościć dokumentację, skorzystałem z najprostszego przykładu, aby użytkownik końcowy dokładnie zrozumiał, jak skutecznie śledzić zdarzenia rejestru i systemu plików za pomocą Monitora procesów i generować plik dziennika.