新浪博客

Autoruns与Sysinternals

2007-08-14 08:22阅读：

http://blog.sina.cn/dpool/blog/u/1188742767

作者:refo 原文http://yeye-sword.spaces.live.com/blog/cns!47EB520B6B0D4E51!464.entry
分享refo的一篇文章，其中Autoruns也是xbeta必备工具；并认为sysinternals全是精品。 　　今天，忽然想起去网上找找用了很久的著名的Autoruns这个小而强大的软件的来源和出处。突然发现原来Autoruns就是原来的Sysinternals的产品，也就是Mark Russinovich和Bryce Cogswell两位Windows系统大师的作品之一。两位大师最著名的软件就是Sysinternals和ERD系列。2006年，微软宣布收购了Winternals Software，其实就是把这两位Windows系统维护的大师给搜罗到了自己的旗下。

　　今天，既然已经在网上找了他们不少的资料，那也干脆介绍一下这两位大师的作品。非IT专业人员也完全可以用这些软件来维护自己的Windows，因为这些软件实在是太小巧而强大了。

　　首先介绍一下Sysinternals，因为这些软件全部是免费的，可以轻松地从微软的TechNet上下载到。
　　注：我只介绍最有名的和我感兴趣的3款。
Autoruns

这个可以全面检查启动项目，病毒基本上没有能逃脱此处的法眼的。
一些小病毒都可以直接在这里干掉，如果碰到病毒防护软件还不能查杀的，也可以在这里先做初步的判断和手工预处理。
Autoruns与Sysinternals
Process Explorer
很多人觉得2K和XP自带的Task Manager功能实在是弱了一些，那么就用这款Process Explorer吧。而且这款Porcess Explorer还有个选项，勾上后，可以直接替代Task Manager，超级方便。可以显示进程间的上下级关系，和每个进程的exe文件、相关进程、描述、数字签名。碰到陌生的进程不会再分不清是病毒还是未知程序了。类似于rundll132和log0n这样的进程也逃不过数字签名的鉴别了。
TCPView
上面所说的Process Explorer最大的遗憾是没有网络的监控（或者是我还没研究透彻）。这个TCPView就是一个专门的网络检测工具，不过TCP这个名词就说明了它的端口检测功能非常强大。基本上，所有的会话的另一端的IP和端口及会话状态都一目了然。木马程序一个也逃不了。不过，缺点也是有的，没有流量统计功能。
小生我就配合NetLimiter2 Monitor这款软件配合使用。NetLimiter2共有Pro、Liter、Monitor3个，不过只有Monitor是免费的。但Monitor可以检测每个进程的流量，可以分Internet和Local Network，还有历史流量统计。
接着说说ERD系列，其实是两位大师的Winternals的系列软件。但我就用过ERD Commander。
首先安装要Winternals Administrator's Pak，然后可以从你的Windows中生成一张启动光盘。
这张盘就是鼎鼎大名的Winternals ERD Commander，用它可以挽救大量系统崩溃的电脑。
1. 如果电脑被有管理员权限的客户踢出域了，而本地管理员密码又没有设置过，怎么办？
用ERD Commander就可以修改本地的管理员密码，然后登录，再用域管理员账号恢复成域成员。
2. 如果安装了一个软件，或者补丁，或者中了一个病毒，导致崩溃了怎么办？
再用ERD Commander启动，可以进行文件管理，注册表管理，进程管理，WINDOWS关键文件的COPY（从ERD到客户端），也还可以再加入网络信息，登入网络，从网络COPY文件。
当然，最简单的，用XP的系统还原点还原一下，有些问题就解决了。
有人说，这不是和国内很有名的深山红叶功能差不多嘛。
但一来，这个ERD Commander在上个世纪（其实就是90年代）就有了，而且实际使用下来也是ERD比较顺手。
而且ERD Commander还可以配合安装在管理员自己电脑上的Administrator's Pak，进行一些更加强大的功能，这是深山红叶的单张启动盘所不具备的。
不过，由于Winternals已经被收购了，所以不再提供服务，官方网站的链接直接指向了TechNet的一个申明。
所以大家要自己去网上找流传的版本下载使用了。最后的版本是5.0。
提示：对于系统盘（通常为C:）或者整个硬盘做全盘加密的情况，ERD Commander和深山红叶均无能为力。

我的更多文章

下载客户端阅读体验更佳

APP专享