第1部分 入门

第1章 Sysinternals工具入门

工具概述

Windows Sysinternals网站

下载工具

直接通过网络运行工具

单一可执行映像

Windows Sysinternals论坛

Windows Sysinternals网站博客

Mark的博客

Mark的网络广播

Sysinternals许可信息

最终用户许可协议以及/accepteula参数

有关Sysinternals许可的常见问题

第2章 Windows核心概念

管理权利

进程、线程和作业

用户模式和内核模式

句柄

应用程序隔离

应用容器

受保护进程

调用栈和符号

调用栈是什么？

符号是什么？

符号的配置

会话、窗口站、桌面和窗口消息

远程桌面服务会话

窗口站

桌面

窗口消息

第3章 Process Explorer

Procexp概述

度量CPU的使用情况

管理权利

主窗口

进程列表

定制可显示的列

保存显示的数据

工具栏参考

找出窗口对应的进程

状态栏

DLL和句柄

查找DLL或句柄

DLL视图

句柄视图

进程详情

Image选项卡

Performance选项卡

Performance Graph选项卡

GPU Graph选项卡

Threads选项卡

TCP/IP选项卡

Security选项卡

Environment选项卡

Strings选项卡

Services选项卡

NET选项卡

Job选项卡

线程详情

验证映像签名

VirusTotal分析

系统信息

CPU选项卡

Memory（内存）选项卡

I/O选项卡

GPU选项卡

显示选项

用Procexp取代任务管理器

通过Procexp启动进程

其他用户的会话

其他功能

关机选项

命令行参数

恢复Procexp的默认值

键盘快捷键参考

第4章 Autoruns

Autoruns基础知识

禁用或删除自动启动项

Autoruns和管理权利

验证代码签名

VirusTotal分析

隐藏自动启动项

进一步了解某个自动启动项

查看其他用户的自动启动项

查看脱机系统的ASEP

更改字体

不同类型的自动启动

Logon

Explorer

Internet Explorer

Scheduled Tasks

Services

Drivers

Codecs

Boot Execute

Image hijacks

AppInit

KnownDLLs

Winlogon

Winsock Providers

Print monitors

LSA providers

Network providers

WMI

Sidebar gadgets

Office

保存并对比结果

保存为制表符分隔的文本

保存为二进制（.arn）格式

查看并对比保存的结果

AutorunsC

Autoruns和恶意软件

第2部分 使用指导

第5章 Process Monitor

Procmon概述

事件

理解默认显示的列

定制要显示的列

事件属性对话框

查看Profiling事件

查找事件

复制事件数据

跳转至注册表或文件位置

联机搜索

筛选、强调和收藏

配置筛选器

配置强调

收藏

高级输出

保存筛选器以待后用

进程树

保存并打开Procmon的追踪记录

保存Procmon的追踪记录

Procmon的XML架构

打开保存的Procmon追踪记录

记录启动、注销后及关机活动

记录启动过程

让Procmon在账户注销后继续运行

长时间运行追踪以及日志文件体积的控制

丢弃筛选掉的事件

历史深度

备份文件

配置设置的导入和导出

Procmon的自动化操作：命令行选项

分析工具

Process Activity Summary

File Summary

Registry Summary

Stack Summary

Network Summary

Cross Reference Summary

Count Occurrences

将自定义调试输出注入Procmon追踪

工具栏参考

第6章 ProcDump

命令行语法

指定要监视的进程

附加至现有进程

启动目标进程

监视通用Windows平台应用程序

通过AeDebug注册自动启用调试

指定转储文件路径

指定创建转储的条件

监视异常

转储文件选项

Miniplus转储

ProcDump和Procmon：配合使用效果更好

以非交互方式运行ProcDump

在调试器中查看转储

第7章 PsTools

通用功能

远程操作

远程PsTools连接排错

PsExec

远程进程的退出

重定向控制台输出

PsExec的备用凭据

PsExec的命令行选项

进程性能选项

远程连接选项

运行时环境选项

PsFile

PsGetSid

PsInfo

PsKill

PsList

PsLoggedOn

PsLogList

PsPasswd

PsService

Query

Config

Depend

Security

Find

SetConfig

启动、停止、重启动、暂停、恢复

PsShutdown

PsSuspend

PsTools的命令行语法

PsExec

PsFile

PsGetSid

PsInfo

PsKill

PsList

PsLoggedOn

PsLogList

PsPasswd

PsService

PsShutdown

PsSuspend

PsTools系统要求

第8章 进程和诊断工具

VMMap

启动VMMap并选择进程

VMMap窗口

内存类型

内存信息

时间线和快照

查看内存区域中包含的文本

查找并复制文本

查看已安排进程的分配

地址空间碎片

保存并加载快照结果

VMMap的命令行选项

恢复VMMap的默认值

DebugView

调试输出是什么？

DebugView显示的内容

捕获用户模式的调试输出

捕获内核模式调试输出

输出结果的搜索、筛选和强调

保存、日志和打印

远程监视

LiveKd

LiveKd的前提需求

运行LiveKd

内核调试器的目标类型

输出至调试器或转储文件

内容转储

Hyper-V来宾调试

符号

LiveKd使用范例

ListDLLs

Handle

显示和搜索句柄

句柄数

关闭句柄

第9章 安全工具

SigCheck

指定要扫描的文件

签名验证

VirusTotal分析

有关文件的其他信息

输出格式

杂项

AccessChk

“有效权限”是什么？

AccessChk的使用

对象类型

搜索访问权利

输出选项

Sysmon

Sysmon可记录的事件

Sysmon的安装和配置

提取Sysmon事件数据

AccessEnum

ShareEnum

ShellRunAs

Autologon

LogonSessions

SDelete

SDelete的使用

SDelete的工作原理

第10章 Active Directory工具

AdExplorer

连接到域

AdExplorer显示的内容

对象

特性

搜索

快照

AdExplorer的配置

AdInsight

AdInsight的数据捕获

显示选项

查找感兴趣的信息

筛选结果

保存和导出AdInsight的数据

命令行选项

AdRestore

第11章 桌面工具

BgInfo

配置要显示的数据

外观选项

保存BgInfo配置以供后用

其他输出选项

更新其他桌面

Desktops

ZoomIt

ZoomIt的使用

放大模式

绘图模式

键入模式

休息计时器

LiveZoom

第12章 文件工具

Strings

Streams

NTF S链接工具

Junction

FindLinks

Disk Usage （DU）

重启后文件操作工具

PendMoves

MoveFile

第13章 磁盘工具

Disk2Vhd

Sync

DiskView

Contig

整理现有文件的碎片

分析现有文件的碎片化程度

分析可用空间的碎片程度

创建连续的文件

DiskExt

LDMDump

VolumeID

第14章 网络和通信工具

PsPing

ICMP Ping

TCP Ping

PsPing服务器模式

TCP/UDP延迟测试

TCP/UDP带宽测试

PsPing直方图

TCPView

Whois

第15章 系统信息工具

RAMMap

Use Counts

Processes

Priority Summary

Physical Pages

Physical Ranges

File Summary

File Details

清理物理内存

保存和加载快照

Registry Usage （RU）

CoreInfo

-c：有关内核的信息

-f：内核功能信息

-g：有关处理器组的信息

-l：有关缓存的信息

-m： NUMA访问成本

-n：有关NUMA节点的信息

-s：有关插槽的信息

-v：与虚拟化有关的功能

WinObj

LoadOrder

PipeList

ClockRes

第16章 其他工具

RegJump

Hex2Dec

RegDelNull

Bluescreen Screen Saver

Ctrl2Cap

第3部分 排错——“难解之谜”

第17章 错误信息

错误信息排错

案例：文件夹被锁定

案例：文件正在使用中错误

案例：照片查看器的未知错误

案例：ActiveX注册失败

案例：“播放到”失败

案例：安装失败

排错

具体分析

案例：不可读取的文本文件

案例：文件夹关联丢失

案例：临时注册表配置文件

案例：Office RMS错误

案例：林功能级别提升失败

第18章 崩溃

崩溃故障的排错

案例：反病毒软件更新失败

案例：Proksi工具的崩溃

案例：网络位置感知服务的故障

案例：EMET升级失败

案例：崩溃转储丢失

案例：无规律卡顿

第19章 挂起和性能迟钝

挂起和性能迟钝问题的排错

案例：IExplore耗尽CPU

案例：失控的网站

案例：ReadyBoost造成的问题

案例：笔记本蓝光播放器卡顿

案例：公司内网长达15分钟的登录

案例：PayPal邮件挂起

案例：财务软件挂起

案例：缓慢的主题演讲演示

案例：Project文件打开缓慢

复合案例：Outlook挂起

第20章 恶意软件

恶意软件排错

Stuxnet（震网）

恶意软件和Sysinternals工具

Stuxnet的传播介质

Windows XP上的Stuxnet

深入调查

通过筛选查找相关事件

Stuxnet对系统的改动

PNF文件

Windows 7中的特权提升

借助Sysinternals工具发现的Stuxnet

案例：奇怪的重启动

案例：假冒的Java更新程序

案例：Winwebsec恐吓软件

案例：失控的GPU

案例：莫名其妙的FTP连接

案例：服务的错误配置

案例：阻止Sysinternals的恶意软件

案例：杀进程的恶意软件

案例：假冒系统组件

案例：神秘的ASEP

第21章 理解系统行为

案例：Q：盘

案例：莫名其妙的网络连接

案例：短命的进程

案例：应用安装记录器

案例：未知的NTLM通信

第22章 开发者排错

案例：被破坏的Kerberos委派

案例：ProcDump内存泄漏