Troubleshooting with the Windows Sysinternals Tools.pdf

Cover......Page 2
Title Page......Page 3
Copyright Page......Page 4
Contents at a glance......Page 6
Table of Contents......Page 8
Foreword......Page 23
Tools the book covers......Page 24
The history of Sysinternals......Page 25
Conventions and features in this book......Page 30
System requirements......Page 31
Acknowledgments......Page 32
We want to hear from you......Page 34
Stay in touch......Page 35
Part I: Getting started......Page 36
Overview of the utilities......Page 37
The Windows Sysinternals website......Page 41
Downloading the utilities......Page 42
Running the utilities directly from the web......Page 46
The Windows Sysinternals forums......Page 48
Windows Sysinternals site blog......Page 49
Sysinternals license information......Page 50
End User License Agreement and the /accepteula switch......Page 51
Frequently asked questions about Sysinternals licensing......Page 52
Chapter 2. Windows core concepts......Page 53
Administrative rights......Page 54
Processes, threads, and jobs......Page 57
User mode and kernel mode......Page 59
Handles......Page 60
Application isolation......Page 61
App Containers......Page 62
Protected processes......Page 69
What is a call stack?......Page 71
What are symbols?......Page 73
Configuring symbols......Page 76
Sessions, window stations, desktops, and window messages......Page 78
Remote desktop services sessions......Page 80
Window stations......Page 81
Desktops......Page 82
Window messages......Page 84
Procexp overview......Page 87
Measuring CPU consumption......Page 90
Administrative rights......Page 91
Process list......Page 92
Customizing column selections......Page 105
Saving displayed data......Page 123
Toolbar reference......Page 124
Status bar......Page 126
DLLs and handles......Page 127
Finding DLLs or handles......Page 128
DLL view......Page 129
Handle view......Page 136
Process details......Page 142
Image tab......Page 143
Performance tab......Page 146
Performance Graph tab......Page 148
GPU Graph tab......Page 150
TCP/IP tab......Page 152
Security tab......Page 153
Strings tab......Page 156
Services tab......Page 158
.NET tabs......Page 160
Job tab......Page 162
Thread details......Page 165
Verifying image signatures......Page 168
VirusTotal analysis......Page 169
System information......Page 172
CPU tab......Page 175
Memory tab......Page 176
GPU tab......Page 177
Display options......Page 180
Creating processes from Procexp......Page 181
Command-line switches......Page 182
Keyboard shortcut reference......Page 183
Chapter 4. Autoruns......Page 185
Autoruns fundamentals......Page 188
Disabling or deleting autostart entries......Page 190
Autoruns and administrative permissions......Page 191
Verifying code signatures......Page 192
VirusTotal analysis......Page 193
Hiding entries......Page 194
Getting more information about an entry......Page 196
Viewing the autostarts of other users......Page 197
Viewing ASEPs of an offline system......Page 198
Logon......Page 199
Explorer......Page 201
Internet Explorer......Page 203
Services......Page 204
Drivers......Page 205
Boot Execute......Page 206
Image hijacks......Page 207
AppInit......Page 208
KnownDLLs......Page 209
Winsock providers......Page 210
LSA providers......Page 211
Sidebar gadgets......Page 212
Saving as tab-delimited text......Page 213
Saving in binary (.arn) format......Page 214
AutorunsC......Page 215
Autoruns and malware......Page 218
Part II: Usage guide......Page 220
Chapter 5. Process Monitor......Page 221
Getting started with Procmon......Page 222
Events......Page 224
Understanding the column display defaults......Page 225
Customizing the column display......Page 228
Event Properties dialog box......Page 230
Displaying profiling events......Page 236
Copying event data......Page 238
Jumping to a registry or file location......Page 239
Filtering, highlighting, and bookmarking......Page 240
Configuring filters......Page 241
Configuring highlighting......Page 244
Bookmarking......Page 245
Saving filters for later use......Page 246
Process Tree......Page 248
Saving Procmon traces......Page 250
Procmon XML schema......Page 253
Opening saved Procmon traces......Page 255
Boot logging......Page 257
Keeping Procmon running after logoff......Page 259
Drop filtered events......Page 260
Backing files......Page 261
Importing and exporting configuration settings......Page 263
Automating Procmon: command-line options......Page 264
Analysis tools......Page 266
Process Activity Summary......Page 267
File Summary......Page 268
Registry Summary......Page 271
Stack Summary......Page 272
Cross Reference Summary......Page 274
Count Occurrences......Page 275
Injecting custom debug output into Procmon traces......Page 276
Toolbar reference......Page 277
Chapter 6. ProcDump......Page 279
Command-line syntax......Page 281
Attach to existing process......Page 284
Launch the target process......Page 285
Working with Universal Windows Platform applications......Page 286
Auto-enabled debugging with AeDebug registration......Page 288
Specifying the dump file path......Page 290
Specifying criteria for a dump......Page 292
Monitoring exceptions......Page 296
Dump file options......Page 299
Miniplus dumps......Page 302
ProcDump and Procmon: Better together......Page 303
Running ProcDump noninteractively......Page 306
Viewing the dump in the debugger......Page 307
Chapter 7. PsTools......Page 309
Remote operations......Page 310
Troubleshooting remote PsTools connections......Page 313
PsExec......Page 314
Redirected console output......Page 316
PsExec alternate credentials......Page 318
PsExec command-line options......Page 319
Remote connectivity options......Page 320
Runtime environment options......Page 321
PsFile......Page 324
PsGetSid......Page 326
PsInfo......Page 328
PsKill......Page 331
PsList......Page 332
PsLoggedOn......Page 334
PsLogList......Page 335
PsPasswd......Page 340
PsService......Page 341
Query......Page 342
Config......Page 344
Depend......Page 345
Security......Page 346
Start, Stop, Restart, Pause, Continue......Page 347
PsShutdown......Page 348
PsTools command-line syntax......Page 351
PsKill......Page 352
PsService......Page 353
PsTools system requirements......Page 354
VMMap......Page 356
Starting VMMap and choosing a process......Page 357
The VMMap window......Page 361
Memory types......Page 362
Memory information......Page 364
Timeline and snapshots......Page 366
Viewing text within memory regions......Page 368
Finding and copying text......Page 369
Viewing allocations from instrumented processes......Page 370
Address space fragmentation......Page 374
Saving and loading snapshot results......Page 375
VMMap command-line options......Page 376
What is debug output?......Page 377
The DebugView display......Page 378
Capturing user-mode debug output......Page 381
Capturing kernel-mode debug output......Page 382
Searching, filtering, and highlighting output......Page 383
Saving, logging, and printing......Page 386
Remote monitoring......Page 388
LiveKd......Page 391
Running LiveKd......Page 392
Kernel debugger target types......Page 393
Output to debugger or dump file......Page 395
Dump contents......Page 396
Hyper-V guest debugging......Page 397
LiveKd examples......Page 398
ListDLLs......Page 400
Handle......Page 405
Handle list and search......Page 406
Handle counts......Page 409
Closing handles......Page 410
SigCheck......Page 411
Which files to scan......Page 416
Signature verification......Page 417
VirusTotal analysis......Page 420
Additional file information......Page 422
Output format......Page 425
Miscellaneous......Page 426
AccessChk......Page 427
Using AccessChk......Page 428
Object type......Page 431
Searching for access rights......Page 435
Output options......Page 437
Sysmon......Page 439
Events recorded by Sysmon......Page 440
Installing and configuring Sysmon......Page 449
Extracting Sysmon event data......Page 455
AccessEnum......Page 457
ShareEnum......Page 460
ShellRunAs......Page 462
Autologon......Page 464
LogonSessions......Page 465
SDelete......Page 468
Using SDelete......Page 469
How SDelete works......Page 470
Connecting to a domain......Page 473
The AdExplorer display......Page 475
Objects......Page 476
Attributes......Page 478
Searching......Page 480
Snapshots......Page 482
AdExplorer configuration......Page 484
AdInsight data capture......Page 485
Display options......Page 489
Finding information of interest......Page 490
Filtering results......Page 493
Saving and exporting AdInsight data......Page 495
Command-line options......Page 496
AdRestore......Page 497
BgInfo......Page 499
Configuring data to display......Page 501
Appearance options......Page 505
Saving BgInfo configuration for later use......Page 507
Other output options......Page 508
Updating other desktops......Page 510
Desktops......Page 511
ZoomIt......Page 513
Using ZoomIt......Page 514
Zoom mode......Page 515
Drawing mode......Page 516
Typing mode......Page 517
LiveZoom......Page 518
Strings......Page 520
Streams......Page 521
NTFS link utilities......Page 523
Junction......Page 525
FindLinks......Page 526
Disk Usage (DU)......Page 527
PendMoves......Page 531
MoveFile......Page 532
Disk2Vhd......Page 533
Sync......Page 543
DiskView......Page 545
Contig......Page 549
Defragmenting existing files......Page 550
Analyzing fragmentation of existing files......Page 552
Analyzing free-space fragmentation......Page 554
Creating a contiguous file......Page 555
DiskExt......Page 556
LDMDump......Page 557
VolumeID......Page 560
PsPing......Page 562
ICMP Ping......Page 563
TCP Ping......Page 565
PsPing server mode......Page 567
TCP/UDP latency test......Page 568
TCP/UDP bandwidth test......Page 570
PsPing histograms......Page 572
TCPView......Page 574
Whois......Page 576
RAMMap......Page 579
Use Counts......Page 581
Priority Summary......Page 583
Physical Pages......Page 584
Physical Ranges......Page 586
File Summary......Page 587
File Details......Page 588
Purging physical memory......Page 589
Saving and loading snapshots......Page 590
Registry Usage (RU)......Page 591
–f: Dump core feature information......Page 596
–l: Dump information on caches......Page 599
–m: Dump NUMA access cost......Page 600
–v: Dump only virtualization-related features......Page 601
WinObj......Page 602
LoadOrder......Page 605
PipeList......Page 607
ClockRes......Page 608
RegJump......Page 610
Hex2Dec......Page 611
RegDelNull......Page 612
Bluescreen Screen Saver......Page 613
Ctrl2Cap......Page 614
Part III: Troubleshooting—“The Case of the Unexplained...”......Page 615
Troubleshooting error messages......Page 616
The Case of the Locked Folder......Page 618
The Case of the File In Use Error......Page 620
The Case of the Unknown Photo Viewer Error......Page 622
The Case of the Failing ActiveX Registration......Page 623
The Case of the Failed Play-To......Page 628
The Case of the Installation Failure......Page 630
The troubleshooting......Page 631
The analysis......Page 635
The Case of the Unreadable Text Files......Page 637
The Case of the Missing Folder Association......Page 639
The Case of the Temporary Registry Profiles......Page 642
The Case of the Office RMS Error......Page 648
The Case of the Failed Forest Functional Level Raise......Page 649
Troubleshooting crashes......Page 653
The Case of the Failed AV Update......Page 657
The Case of the Crashing Proksi Utility......Page 659
The Case of the Failed Network Location Awareness Service......Page 661
The Case of the Failed EMET Upgrade......Page 664
The Case of the Missing Crash Dump......Page 666
The Case of the Random Sluggishness......Page 668
Troubleshooting hangs and sluggish performance......Page 672
The Case of the IExplore-Pegged CPU......Page 674
The Case of the Runaway Website......Page 678
The Case of the Excessive ReadyBoost......Page 682
The Case of the Stuttering Laptop Blu-ray Player......Page 685
The Case of the Company 15-Minute Logons......Page 690
The Case of the Hanging PayPal Emails......Page 692
The Case of the Hanging Accounting Software......Page 696
The Case of the Slow Keynote Demo......Page 699
The Case of the Slow Project File Opens......Page 705
The Compound Case of the Outlook Hangs......Page 712
Chapter 20. Malware......Page 720
Troubleshooting malware......Page 721
Stuxnet......Page 724
Malware and the Sysinternals utilities......Page 725
Stuxnet on Windows XP......Page 726
Filtering to find relevant events......Page 732
Stuxnet system modifications......Page 736
The .PNF files......Page 742
Windows 7 elevation of privilege......Page 745
The Case of the Strange Reboots......Page 749
The Case of the Fake Java Updater......Page 755
The Case of the Winwebsec Scareware......Page 759
The Case of the Runaway GPU......Page 774
The Case of the Unexplained FTP Connections......Page 775
The Case of the Misconfigured Service......Page 781
The Case of the Sysinternals-Blocking Malware......Page 785
The Case of the Process-Killing Malware......Page 788
The Case of the Fake System Component......Page 790
The Case of the Mysterious ASEP......Page 793
The Case of the Q: Drive......Page 799
The Case of the Unexplained Network Connections......Page 803
The Case of the Short-Lived Processes......Page 806
The Case of the App Install Recorder......Page 813
The Case of the Unknown NTLM Communications......Page 826
The Case of the Broken Kerberos Delegation......Page 833
The Case of the ProcDump Memory Leak......Page 834
Index......Page 842
About the Authors......Page 903
Survey......Page 905
Code Snippets......Page 906