Troubleshooting with the Windows Sysinternals Tools.pdf

Description

Cover......Page 2 Title Page......Page 3 Copyright Page......Page 4 Contents at a glance......Page 6 Table of Contents......Page 8 Foreword......Page 23 Tools the book covers......Page 24 The history of Sysinternals......Page 25 Conventions and features in this book......Page 30 System requirements......Page 31 Acknowledgments......Page 32 We want to hear from you......Page 34 Stay in touch......Page 35 Part I: Getting started......Page 36 Overview of the utilities......Page 37 The Windows Sysinternals website......Page 41 Downloading the utilities......Page 42 Running the utilities directly from the web......Page 46 The Windows Sysinternals forums......Page 48 Windows Sysinternals site blog......Page 49 Sysinternals license information......Page 50 End User License Agreement and the /accepteula switch......Page 51 Frequently asked questions about Sysinternals licensing......Page 52 Chapter 2. Windows core concepts......Page 53 Administrative rights......Page 54 Processes, threads, and jobs......Page 57 User mode and kernel mode......Page 59 Handles......Page 60 Application isolation......Page 61 App Containers......Page 62 Protected processes......Page 69 What is a call stack?......Page 71 What are symbols?......Page 73 Configuring symbols......Page 76 Sessions, window stations, desktops, and window messages......Page 78 Remote desktop services sessions......Page 80 Window stations......Page 81 Desktops......Page 82 Window messages......Page 84 Procexp overview......Page 87 Measuring CPU consumption......Page 90 Administrative rights......Page 91 Process list......Page 92 Customizing column selections......Page 105 Saving displayed data......Page 123 Toolbar reference......Page 124 Status bar......Page 126 DLLs and handles......Page 127 Finding DLLs or handles......Page 128 DLL view......Page 129 Handle view......Page 136 Process details......Page 142 Image tab......Page 143 Performance tab......Page 146 Performance Graph tab......Page 148 GPU Graph tab......Page 150 TCP/IP tab......Page 152 Security tab......Page 153 Strings tab......Page 156 Services tab......Page 158 .NET tabs......Page 160 Job tab......Page 162 Thread details......Page 165 Verifying image signatures......Page 168 VirusTotal analysis......Page 169 System information......Page 172 CPU tab......Page 175 Memory tab......Page 176 GPU tab......Page 177 Display options......Page 180 Creating processes from Procexp......Page 181 Command-line switches......Page 182 Keyboard shortcut reference......Page 183 Chapter 4. Autoruns......Page 185 Autoruns fundamentals......Page 188 Disabling or deleting autostart entries......Page 190 Autoruns and administrative permissions......Page 191 Verifying code signatures......Page 192 VirusTotal analysis......Page 193 Hiding entries......Page 194 Getting more information about an entry......Page 196 Viewing the autostarts of other users......Page 197 Viewing ASEPs of an offline system......Page 198 Logon......Page 199 Explorer......Page 201 Internet Explorer......Page 203 Services......Page 204 Drivers......Page 205 Boot Execute......Page 206 Image hijacks......Page 207 AppInit......Page 208 KnownDLLs......Page 209 Winsock providers......Page 210 LSA providers......Page 211 Sidebar gadgets......Page 212 Saving as tab-delimited text......Page 213 Saving in binary (.arn) format......Page 214 AutorunsC......Page 215 Autoruns and malware......Page 218 Part II: Usage guide......Page 220 Chapter 5. Process Monitor......Page 221 Getting started with Procmon......Page 222 Events......Page 224 Understanding the column display defaults......Page 225 Customizing the column display......Page 228 Event Properties dialog box......Page 230 Displaying profiling events......Page 236 Copying event data......Page 238 Jumping to a registry or file location......Page 239 Filtering, highlighting, and bookmarking......Page 240 Configuring filters......Page 241 Configuring highlighting......Page 244 Bookmarking......Page 245 Saving filters for later use......Page 246 Process Tree......Page 248 Saving Procmon traces......Page 250 Procmon XML schema......Page 253 Opening saved Procmon traces......Page 255 Boot logging......Page 257 Keeping Procmon running after logoff......Page 259 Drop filtered events......Page 260 Backing files......Page 261 Importing and exporting configuration settings......Page 263 Automating Procmon: command-line options......Page 264 Analysis tools......Page 266 Process Activity Summary......Page 267 File Summary......Page 268 Registry Summary......Page 271 Stack Summary......Page 272 Cross Reference Summary......Page 274 Count Occurrences......Page 275 Injecting custom debug output into Procmon traces......Page 276 Toolbar reference......Page 277 Chapter 6. ProcDump......Page 279 Command-line syntax......Page 281 Attach to existing process......Page 284 Launch the target process......Page 285 Working with Universal Windows Platform applications......Page 286 Auto-enabled debugging with AeDebug registration......Page 288 Specifying the dump file path......Page 290 Specifying criteria for a dump......Page 292 Monitoring exceptions......Page 296 Dump file options......Page 299 Miniplus dumps......Page 302 ProcDump and Procmon: Better together......Page 303 Running ProcDump noninteractively......Page 306 Viewing the dump in the debugger......Page 307 Chapter 7. PsTools......Page 309 Remote operations......Page 310 Troubleshooting remote PsTools connections......Page 313 PsExec......Page 314 Redirected console output......Page 316 PsExec alternate credentials......Page 318 PsExec command-line options......Page 319 Remote connectivity options......Page 320 Runtime environment options......Page 321 PsFile......Page 324 PsGetSid......Page 326 PsInfo......Page 328 PsKill......Page 331 PsList......Page 332 PsLoggedOn......Page 334 PsLogList......Page 335 PsPasswd......Page 340 PsService......Page 341 Query......Page 342 Config......Page 344 Depend......Page 345 Security......Page 346 Start, Stop, Restart, Pause, Continue......Page 347 PsShutdown......Page 348 PsTools command-line syntax......Page 351 PsKill......Page 352 PsService......Page 353 PsTools system requirements......Page 354 VMMap......Page 356 Starting VMMap and choosing a process......Page 357 The VMMap window......Page 361 Memory types......Page 362 Memory information......Page 364 Timeline and snapshots......Page 366 Viewing text within memory regions......Page 368 Finding and copying text......Page 369 Viewing allocations from instrumented processes......Page 370 Address space fragmentation......Page 374 Saving and loading snapshot results......Page 375 VMMap command-line options......Page 376 What is debug output?......Page 377 The DebugView display......Page 378 Capturing user-mode debug output......Page 381 Capturing kernel-mode debug output......Page 382 Searching, filtering, and highlighting output......Page 383 Saving, logging, and printing......Page 386 Remote monitoring......Page 388 LiveKd......Page 391 Running LiveKd......Page 392 Kernel debugger target types......Page 393 Output to debugger or dump file......Page 395 Dump contents......Page 396 Hyper-V guest debugging......Page 397 LiveKd examples......Page 398 ListDLLs......Page 400 Handle......Page 405 Handle list and search......Page 406 Handle counts......Page 409 Closing handles......Page 410 SigCheck......Page 411 Which files to scan......Page 416 Signature verification......Page 417 VirusTotal analysis......Page 420 Additional file information......Page 422 Output format......Page 425 Miscellaneous......Page 426 AccessChk......Page 427 Using AccessChk......Page 428 Object type......Page 431 Searching for access rights......Page 435 Output options......Page 437 Sysmon......Page 439 Events recorded by Sysmon......Page 440 Installing and configuring Sysmon......Page 449 Extracting Sysmon event data......Page 455 AccessEnum......Page 457 ShareEnum......Page 460 ShellRunAs......Page 462 Autologon......Page 464 LogonSessions......Page 465 SDelete......Page 468 Using SDelete......Page 469 How SDelete works......Page 470 Connecting to a domain......Page 473 The AdExplorer display......Page 475 Objects......Page 476 Attributes......Page 478 Searching......Page 480 Snapshots......Page 482 AdExplorer configuration......Page 484 AdInsight data capture......Page 485 Display options......Page 489 Finding information of interest......Page 490 Filtering results......Page 493 Saving and exporting AdInsight data......Page 495 Command-line options......Page 496 AdRestore......Page 497 BgInfo......Page 499 Configuring data to display......Page 501 Appearance options......Page 505 Saving BgInfo configuration for later use......Page 507 Other output options......Page 508 Updating other desktops......Page 510 Desktops......Page 511 ZoomIt......Page 513 Using ZoomIt......Page 514 Zoom mode......Page 515 Drawing mode......Page 516 Typing mode......Page 517 LiveZoom......Page 518 Strings......Page 520 Streams......Page 521 NTFS link utilities......Page 523 Junction......Page 525 FindLinks......Page 526 Disk Usage (DU)......Page 527 PendMoves......Page 531 MoveFile......Page 532 Disk2Vhd......Page 533 Sync......Page 543 DiskView......Page 545 Contig......Page 549 Defragmenting existing files......Page 550 Analyzing fragmentation of existing files......Page 552 Analyzing free-space fragmentation......Page 554 Creating a contiguous file......Page 555 DiskExt......Page 556 LDMDump......Page 557 VolumeID......Page 560 PsPing......Page 562 ICMP Ping......Page 563 TCP Ping......Page 565 PsPing server mode......Page 567 TCP/UDP latency test......Page 568 TCP/UDP bandwidth test......Page 570 PsPing histograms......Page 572 TCPView......Page 574 Whois......Page 576 RAMMap......Page 579 Use Counts......Page 581 Priority Summary......Page 583 Physical Pages......Page 584 Physical Ranges......Page 586 File Summary......Page 587 File Details......Page 588 Purging physical memory......Page 589 Saving and loading snapshots......Page 590 Registry Usage (RU)......Page 591 –f: Dump core feature information......Page 596 –l: Dump information on caches......Page 599 –m: Dump NUMA access cost......Page 600 –v: Dump only virtualization-related features......Page 601 WinObj......Page 602 LoadOrder......Page 605 PipeList......Page 607 ClockRes......Page 608 RegJump......Page 610 Hex2Dec......Page 611 RegDelNull......Page 612 Bluescreen Screen Saver......Page 613 Ctrl2Cap......Page 614 Part III: Troubleshooting—“The Case of the Unexplained...”......Page 615 Troubleshooting error messages......Page 616 The Case of the Locked Folder......Page 618 The Case of the File In Use Error......Page 620 The Case of the Unknown Photo Viewer Error......Page 622 The Case of the Failing ActiveX Registration......Page 623 The Case of the Failed Play-To......Page 628 The Case of the Installation Failure......Page 630 The troubleshooting......Page 631 The analysis......Page 635 The Case of the Unreadable Text Files......Page 637 The Case of the Missing Folder Association......Page 639 The Case of the Temporary Registry Profiles......Page 642 The Case of the Office RMS Error......Page 648 The Case of the Failed Forest Functional Level Raise......Page 649 Troubleshooting crashes......Page 653 The Case of the Failed AV Update......Page 657 The Case of the Crashing Proksi Utility......Page 659 The Case of the Failed Network Location Awareness Service......Page 661 The Case of the Failed EMET Upgrade......Page 664 The Case of the Missing Crash Dump......Page 666 The Case of the Random Sluggishness......Page 668 Troubleshooting hangs and sluggish performance......Page 672 The Case of the IExplore-Pegged CPU......Page 674 The Case of the Runaway Website......Page 678 The Case of the Excessive ReadyBoost......Page 682 The Case of the Stuttering Laptop Blu-ray Player......Page 685 The Case of the Company 15-Minute Logons......Page 690 The Case of the Hanging PayPal Emails......Page 692 The Case of the Hanging Accounting Software......Page 696 The Case of the Slow Keynote Demo......Page 699 The Case of the Slow Project File Opens......Page 705 The Compound Case of the Outlook Hangs......Page 712 Chapter 20. Malware......Page 720 Troubleshooting malware......Page 721 Stuxnet......Page 724 Malware and the Sysinternals utilities......Page 725 Stuxnet on Windows XP......Page 726 Filtering to find relevant events......Page 732 Stuxnet system modifications......Page 736 The .PNF files......Page 742 Windows 7 elevation of privilege......Page 745 The Case of the Strange Reboots......Page 749 The Case of the Fake Java Updater......Page 755 The Case of the Winwebsec Scareware......Page 759 The Case of the Runaway GPU......Page 774 The Case of the Unexplained FTP Connections......Page 775 The Case of the Misconfigured Service......Page 781 The Case of the Sysinternals-Blocking Malware......Page 785 The Case of the Process-Killing Malware......Page 788 The Case of the Fake System Component......Page 790 The Case of the Mysterious ASEP......Page 793 The Case of the Q: Drive......Page 799 The Case of the Unexplained Network Connections......Page 803 The Case of the Short-Lived Processes......Page 806 The Case of the App Install Recorder......Page 813 The Case of the Unknown NTLM Communications......Page 826 The Case of the Broken Kerberos Delegation......Page 833 The Case of the ProcDump Memory Leak......Page 834 Index......Page 842 About the Authors......Page 903 Survey......Page 905 Code Snippets......Page 906