微软官方小工具集(Windows Sysinternals)

Windows Sysinternals 是微软官方推出的一套完全免费的系统管理工具合集。它最早由国外工程师 Mark Russinovich 开发，2006 年被微软收购后继续以免费形式提供给公众使用，其中一部分工具还开放了源代码。这套工具原本是为了解决工程师日常工作中碰到的各种 Windows 疑难杂症而编写的，后来被整理成合集，长期受到 IT 从业者的认可。里面包含大量实用的绿色小软件，例如 Desktops、Process Explorer、Autoruns 等，每一款都值得了解、收藏并学习使用。如果把系统管理员比作战士，Sysinternals 就是手中的利器，熟悉它并配合对 Windows 体系的了解，能明显提升电脑维护和应用水平。

这套工具从哪来、能做什么

1、 Sysinternals 最初是 Mark Russinovich 个人开发的工具集合，2006 年被微软收购，此后由微软官方免费提供

2、 这些工具原本用于解决工程师日常工作中遇到的各种问题，后来被整合成合集并向公众免费发布

3、 合集里的软件多为绿色小工具，部分工具还公开了源代码，在 IT 圈内一直有不错的口碑

4、 工具覆盖系统管理、安全排查、进程监控、磁盘操作等多个方向、熟悉之后能更从容地处理 Windows 的各种状况

进程与系统监控类工具

1、 Process Explorer 能查看进程打开了哪些文件、注册表项和其他对象，以及加载了哪些 DLL，甚至可以显示每个进程的所有者

• 2. Process Monitor 用于实时监视文件系统
• 注册表
• 进程
• 线程和 DLL 的活动

3、 ProcDump 是命令行工具，专门用来抓取难以隔离和复现的 CPU 峰值转储，也能在进程出现挂起窗口或未处理异常时生成转储

4、 DebugView 可以截取设备驱动程序对 DbgPrint 的调及 Win32 程序生成的 OutputDebugString，无需活动调试器就能在本地或通过网络查看和记录调试输出

5、 Diskmon 能捕捉所有硬盘活动，也可以像软件磁盘活动灯一样停留在系统任务栏中

6、 TCPView 是活动套接字的命令行查看器；PortMon 则用于监视串行端口和并行端口的活动，能识别标准串行与并行 IOCTL，3.x 版还增强了界面和筛选功能

启动项、账户与权限排查

- Autoruns 可以查看哪些程序被配置为在系统启动和登录时自动运行，并完整列出应用程序能够配置自动启动的注册表和文件位置

- AccessChk 用于快速回答特定用户或用户组对文件、目录、注册表项和 Windows 服务等资源拥有何种访问权限

- AccessEnum 能显示谁以何种权限访问系统中的目录、文件和注册表项，方便查找权限漏洞

- ShareEnum 可以扫描网络上的文件共享并查看其安全设置，帮助关闭安全漏洞

- LogonSessions 列出系统中的活动登录会话；PsLoggedOn 显示登录到某个系统的用户

- PsGetSid 显示计算机或用户的 SID；ShellRunas 则通过 shell 上下文菜单以另一个用户身份启动程序

- Autologon 可以在登录过程中跳过密码屏幕；PsPasswd 用于更改帐户密码

命令行工具与远程操作

- PsExec 可以在远程系统上执行进程，PsList 显示进程和线程信息，PsKill 用于终止本地或远程进程

- PsSuspend 能挂起和继续进程，PsShutdown 用于关闭并可选重新启动计算机

- PsFile 查看远程打开的文件，PsService 查看和控制服务，PsLogList 用于转储事件日志记录

- PsInfo 获取系统信息、PsTools 套件则包含多个命令行程序、可列出本地或远程计算机上运行的进程、远程运行进程、重启计算机、转储事件日志等

- Handle 能显示哪些进程打开了哪些文件，ListDLLs 列出所有当前加载的 DLL，包括加载位置和版本号，2.0 版还会打印已加载模块的完整路径名

- MoveFile 可以安排在系统下一次重启时执行移动和删除命令，PendMoves 则枚举这些待执行的重命名和删除操作

- Contig 用于对频繁使用的单个文件进行碎片整理，或创建连续的新文件；Sync 可将缓存数据刷新到磁盘

磁盘、注册表与安全相关工具

1、 Disk2vhd 能简化从物理系统到虚拟机（p2v）的迁移；DiskExt 显示卷磁盘映射；DiskView 是图形化磁盘扇区工具

2、 Disk Usage (DU) 按目录查看磁盘使用情况；NTFSInfo 可查看 NTFS 卷的详细信息，包括主文件表 (MFT) 和 MFT 区的大小与位置，以及 NTFS 元数据文件的大小

3、 PageDefrag 对分页文件和注册表配置单元进行碎片整理；VolumeId 用于设置 FAT 或 NTFS 驱动器的卷 ID

4、 SDelete 能安全覆盖敏感文件，并按符合 DoD 的方式清理先前删除文件所在的可用空间

5、 RegDelNull 扫描并删除包含嵌入空字符的注册表项，这类项标准注册表编辑工具无法删除；RegJump 可跳转到 Regedit 中指定的注册表路径

6、 RootkitRevealer 扫描系统以找出基于 Rootkit 的恶意软件；Sigcheck 转储文件版本信息并检查系统中的映像是否已进行数字签名

7、 Streams 显示 NTFS 备用数据流；EFSDump 查看加密文件的信息；Strings 在二进制映像中搜索 ANSI 和 UNICODE 字符串

8、 AdExplorer 是高级 Active Directory 查看器和编辑器；AdInsight 是 LDAP 实时监视工具，用于排查 Active Directory 客户端应用程序的问题；AdRestore 可恢复已删除的 Server 2003 Active Directory 对象

桌面辅助与小型实用工具

1、 Desktops 可以创建最多四个虚拟桌面，通过任务栏界面或热键预览每个桌面的内容并轻松切换

2、 BgInfo 是可配置的桌面背景生成程序，能自动把 IP 地址、计算机名称、网络适配器等系统信息显示在桌面上

3、 ZoomIt 是用于屏幕缩放和绘图的演示实用工具

• 4. BlueScreen 屏幕保护程序不仅精确模拟蓝屏
• 还模拟重新启动（含 CHKDSK）
• 可在 Windows NT 4
• Windows 2000
• Windows XP
• Server 2003 和 Windows 9x 上运行

5、 Ctrl2cap 是内核模式驱动程序，用于演示在键盘类驱动上过滤输入，把 Caps-Lock 变成控制键，并展示如何用 NtDisplayString() 打印初始化蓝屏消息

6、 Coreinfo 是命令行工具，显示逻辑处理器与物理处理器之间的映射、NUMA 节点及其所在插槽，以及分配给每个逻辑处理器的缓存

7、 ClockRes 用于查看系统时钟的分辨率，也就是计时器的最大分辨率；CacheSet 允许利用 NT 提供的功能控制缓存管理器的工作集大小，兼容 NT 的所有版本

8、 Hex2dec 用于十六进制与十进制之间的相互转换；Whois 查看 Internet 地址的所有者；WinObj 是基本对象管理器命名空间查看器；PipeList 显示系统上的命名管道，包括每个管道的最大实例数和活动实例数；ProcFeatures 报告处理器和 Windows 对物理地址扩展和无执行缓冲区溢出保护的支持情况；LoadOrder 查看设备加载到 WinNT/2K 系统中的顺序；LDMDump 转储逻辑磁盘管理器在磁盘上的数据库内容，说明 Windows 2000 动态磁盘的分区情况；LiveKd 使用 Microsoft 内核调试程序检查真实系统