Поўнае кіраўніцтва па Process Hacker: пашыраная альтэрнатыва дыспетчару задач

Для многіх карыстальнікаў Windows дыспетчар задач не падыходзіць. Вось чаму некаторыя ў выніку звяртаюцца да Process Hacker. Гэты інструмент набыў папулярнасць сярод адміністратараў, распрацоўшчыкаў і аналітыкаў бяспекі, бо дазваляе ім праглядаць і кіраваць сістэмай на ўзроўні, які стандартны дыспетчар задач Windows нават не можа сабе ўявіць.

У гэтым падрабязным кіраўніцтве мы разгледзім Што такое Process Hacker, як яго спампаваць і ўсталявацьШто ён прапануе ў параўнанні з дыспетчарам задач і аглядальнікам працэсаў, і як выкарыстоўваць яго для кіравання працэсамі, службамі, сеткай, дыскам, памяццю і нават даследавання шкоднасных праграм.

Што такое Process Hacker і чаму ён такі магутны?

Process Hacker — гэта, па сутнасці, пашыраны менеджар працэсаў для WindowsГэта праграма з адкрытым зыходным кодам і цалкам бясплатная. Многія людзі апісваюць яе як «дыспетчар задач на стэроідах», і праўда ў тым, што гэта апісанне цалкам яму падыходзіць.

Яго мэта — даць вам вельмі падрабязны агляд таго, што адбываецца ў вашай сістэмеПрацэсы, службы, памяць, сетка, дыск… і, перш за ўсё, інструменты для ўмяшання, калі нешта завісае, спажывае занадта шмат рэсурсаў або падазрае на наяўнасць шкоднасных праграм. Інтэрфейс нечым нагадвае Process Explorer, але Process Hacker дадае нямала дадатковых функцый.

Адной з яго моцных бакоў з'яўляецца тое, што ён можа выяўляць схаваныя працэсы і спыняць «абароненыя» працэсы які дыспетчар задач не можа закрыць. Гэта дасягаецца дзякуючы драйверу рэжыму ядра пад назвай KProcessHacker, які дазваляе яму непасрэдна ўзаемадзейнічаць з ядром Windows з павышанымі прывілеямі.

Быць праектам Адкрыты зыходны код, код даступны кожнамуГэта спрыяе празрыстасці: супольнасць можа праводзіць аўдыт, выяўляць недахопы бяспекі, прапаноўваць паляпшэнні і гарантаваць адсутнасць схаваных непрыемных сюрпрызаў. Многія кампаніі і спецыялісты па кібербяспецы давяраюць Process Hacker менавіта з-за гэтай адкрытай філасофіі.

Варта, аднак, адзначыць, што Некаторыя антывірусныя праграмы пазначаюць яго як «рызыкоўны» або як PUP (патэнцыйна непажаданую праграму).Не таму, што яно шкоднаснае, а таму, што яно здольнае забіваць вельмі адчувальныя працэсы (у тым ліку службы бяспекі). Гэта вельмі магутная зброя, і, як і любую іншую зброю, яе трэба выкарыстоўваць разумна.

Спампаваць Process Hacker: версіі, партатыўная версія і зыходны код

Каб атрымаць праграму, звычайна трэба зайсці на іх афіцыйная старонка OA ваш рэпазітар на SourceForge / GitHubТам вы заўсёды знойдзеце апошнюю версію і кароткі агляд таго, што можа рабіць інструмент.

У раздзеле загрузак вы звычайна ўбачыце два асноўныя спосабы для 64-бітных сістэм:

• Налада (рэкамендуецца): класічны ўсталёўнік, той, якім мы заўсёды карысталіся, рэкамендаваны для большасці карыстальнікаў.
• Бінарныя файлы (партатыўныя): партатыўная версія, якую можна запускаць непасрэдна без усталёўкі.

Варыянт «Налада» ідэальна падыходзіць, калі вы хочаце Пакіньце Process Hacker ужо ўсталяваным.інтэграваны з меню «Пуск» і з дадатковымі опцыямі (напрыклад, заменай дыспетчара задач). Партатыўная версія, з іншага боку, ідэальна падыходзіць для перанясіце яго на USB-назапашвальніку і выкарыстоўваць яго на розных кампутарах без неабходнасці ўсталёўваць што-небудзь.

Крыху далей яны таксама звычайна з'яўляюцца 32-бітныя версііКалі вы ўсё яшчэ працуеце са старым абсталяваннем. У нашы дні яно не так распаўсюджана, але ўсё яшчэ ёсць асяроддзі, дзе яно неабходнае.

Калі вас цікавіць тое, што важдацца з зыходным кодам Або вы можаце скампіляваць сваю ўласную зборку; на афіцыйным сайце вы знойдзеце прамую спасылку на рэпазітар GitHub. Адтуль вы можаце праглядаць код, сачыць за журналам змяненняў і нават прапаноўваць паляпшэнні, калі хочаце ўнесці свой уклад у праект.

Праграма важыць вельмі мала, каля некалькі мегабайтТакім чынам, загрузка займае ўсяго некалькі секунд, нават пры павольным падключэнні. Пасля завяршэння вы можаце запусціць усталёўнік або, калі вы абралі партатыўную версію, распакаваць і запусціць выканальны файл непасрэдна.

Пакрокавая ўстаноўка ў Windows

Калі вы выбіраеце праграму ўстаноўкі (Setup), працэс даволі тыповы для Windows, хоць з Некалькі цікавых варыянтаў, якія варта разгледзець спакойна.

Як толькі вы двойчы пстрыкнеце па загружаным файле, Windows адлюструе Кантроль уліковых запісаў карыстальнікаў (UAC) Вас папярэдзіць, што праграма хоча ўнесці змены ў сістэму. Гэта нармальна: Process Hacker патрабуе пэўных прывілеяў для сваёй працы, таму вам трэба будзе пагадзіцца, каб працягнуць.

Першае, што вы ўбачыце, гэта майстар усталёўкі з тыповымі экран ліцэнзііПраграма «Process Hacker» распаўсюджваецца па ліцэнзіі GNU GPL версіі 3, за некаторымі выключэннямі, згаданымі ў тэксце. Рэкамендуецца азнаёміцца ​​з імі перад тым, як працягваць, асабліва калі вы плануеце выкарыстоўваць яе ў карпаратыўным асяроддзі.

 

На наступным этапе ўсталёўшчык прапануе тэчка па змаўчанні куды будзе скапіявана праграма. Калі шлях па змаўчанні вам не падыходзіць, вы можаце змяніць яго непасрэдна, увёўшы іншы шлях або скарыстаўшыся кнопкай прагартаць каб выбраць іншую тэчку ў браўзеры.

Тады спіс кампанентаў якія складаюць праграму: асноўныя файлы, цэтлікі, параметры, звязаныя з драйверамі, і г.д. Калі вы хочаце поўную ўстаноўку, самае простае — пакінуць усё адзначаным. Калі вы дакладна ведаеце, што не будзеце выкарыстоўваць пэўную функцыю, вы можаце зняць з яе выбар, хоць месца, якое яна займае, мінімальнае.

Далей памочнік папросіць вас назва тэчкі ў меню «Пуск»Звычайна прапануецца «Process Hacker 2» ці нешта падобнае, што створыць новую тэчку з такой назвай. Калі вы аддаеце перавагу, каб ярлык з'явіўся ў іншай існуючай тэчцы, вы можаце націснуць «Агляд» і выбраць яго. У вас таксама ёсць опцыя Не стварайце тэчку ў меню «Пуск» каб у меню «Пуск» не было створана ніякага запісу.

На наступным экране вы знойдзеце набор дадатковыя опцыі якія заслугоўваюць асаблівай увагі:

• Ствараць ці не ствараць ярлык на працоўным сталеі вырашыце, ці будзе гэта толькі для вашага карыстальніка ці для ўсіх карыстальнікаў каманды.
• Сляза Узломшчык працэсаў пры запуску WindowsІ калі ў такім выпадку вы хочаце, каб яно адкрывалася згорнутым у вобласці апавяшчэнняў.
• Рабіць тое, што Process Hacker замяняе дыспетчар задач Стандартная версія Windows.
• Усталюйце Драйвер KProcessHacker і дайце яму поўны доступ да сістэмы (вельмі магутная опцыя, але не рэкамендуецца, калі вы не ведаеце, што яна прадугледжвае).

Пасля таго, як вы выбераце гэтыя налады, усталёўшчык пакажа вам зводка канфігурацыі А калі вы націснеце «Усталяваць», пачнецца капіраванне файлаў. На працягу некалькіх секунд вы ўбачыце невялікую паласу прагрэсу; працэс хуткі.

Пасля завяршэння памочнік паведаміць вам, што Усталёўка паспяхова завершана і будзе адлюстроўвацца некалькі вокнаў:

• Запускаць Process Hacker пры закрыцці майстра.
• Адкрыйце журнал змяненняў для ўсталяванай версіі.
• Наведайце афіцыйны сайт праекта.

Па змаўчанні звычайна ўсталяваны толькі гэты сцяжок. Запусціць працэс хакераКалі пакінуць гэты параметр як ёсць, то пасля націскання кнопкі «Завершыць» праграма адкрыецца ўпершыню, і вы зможаце пачаць эксперыментаваць з ёй.

Як пачаць працаваць з Process Hacker і першыя крокі

Калі вы вырашылі стварыць ярлык на працоўным стале падчас усталёўкі, запусціць праграму будзе вельмі проста, як двойчы пстрыкніце па значкуГэта самы хуткі спосаб для тых, хто часта ім карыстаецца.

Калі ў вас няма прамога доступу, вы заўсёды можаце Адкрыйце яго з меню «Пуск»Проста націсніце кнопку «Пуск», перайдзіце ў раздзел «Усе праграмы» і знайдзіце тэчку «Process Hacker 2» (ці любую іншую назву, якую вы выбралі падчас усталёўкі). Унутры вы знойдзеце запіс праграмы і зможаце адкрыць яе адным пстрычкай мышы.

Пры першым запуску кідаецца ў вочы тое, што Інтэрфейс вельмі перагружаны інфармацыяй.Не хвалюйцеся: з невялікай практыкай макет стане даволі лагічным і арганізаваным. Насамрэч, ён адлюстроўвае значна больш дадзеных, чым стандартны дыспетчар задач, пры гэтым застаючыся зручным для кіравання.

Уверсе ў вас ёсць радок Асноўныя ўкладкі: Працэсы, Службы, Сетка і ДыскКожны з іх паказвае вам розныя аспекты сістэмы: запушчаныя працэсы, службы і драйверы, сеткавыя падключэнні і актыўнасць дыска адпаведна.

На ўкладцы «Працэсы», якая адкрываецца па змаўчанні, вы ўбачыце ўсе працэсы. у выглядзе іерархічнага дрэваГэта азначае, што вы можаце хутка вызначыць, якія працэсы з'яўляюцца бацькамі, а якія — даччынымі. Напрыклад, часта можна ўбачыць, што Нататнік (notepad.exe) залежыць ад explorer.exe, як і многія вокны і праграмы, якія вы запускаеце з Правадніка.

Укладка «Працэсы»: праверка і кантроль працэсаў

Прагляд працэсаў — гэта сэрца Process Hacker. Адсюль вы можаце паглядзіце, што насамрэч працуе на вашай машыне і хутка прымаць рашэнні, калі нешта пойдзе не так.

У спісе працэсаў, акрамя назвы, ёсць такія слупкі, як PID (ідэнтыфікатар працэсу), працэнт выкарыстання працэсара, агульная хуткасць уводу/вываду, выкарыстоўваная памяць (прыватныя байты), карыстальнік, які запускае працэс, і кароткае апісанне.

Калі вы навядзеце курсор мышы і ўтрымаеце яго на імгненне над назвай працэсу, адкрыецца акно. усплывальнае акно з дадатковай інфармацыяйПоўны шлях да выканальнага файла на дыску (напрыклад, C:\Windows\System32\notepad.exe), дакладная версія файла і назва кампаніі, якая яго падпісала (Microsoft Corporation і г.д.). Гэтая інфармацыя вельмі карысная для адрознення легітымных працэсаў ад патэнцыйна шкоднасных імітацый.

Цікаўны аспект Працэсы каляровыя у залежнасці ад іх тыпу або стану (сэрвісы, сістэмныя працэсы, прыпыненыя працэсы і г.д.). Значэнне кожнага колеру можна праглядзець і наладзіць у меню. Хакер > Параметры > Падсвятленне, калі вы хочаце адаптаваць схему пад свой густ.

Калі пстрыкнуць правай кнопкай мышы на любым працэсе, з'явіцца меню кантэкстнае меню з поўным наборам опцыйАдна з самых яркіх опцый — «Уласцівасці», якая вылучаецца і адкрывае акно з надзвычай падрабязнай інфармацыяй пра працэс.

Гэта акно ўласцівасцей арганізавана ў некалькі ўкладак (каля адзінаццаці)Кожная ўкладка прысвечана пэўнаму аспекце. На ўкладцы «Агульныя» паказаны шлях да выканальнага файла, камандны радок, які выкарыстоўваецца для яго запуску, час выканання, бацькоўскі працэс, адрас блока асяроддзя працэсу (PEB) і іншыя нізкаўзроўневыя дадзеныя.

На ўкладцы «Статыстыка» адлюстроўваецца пашыраная статыстыка: прыярытэт працэсу, колькасць спажываных цыклаў працэсара, аб'ём памяці, які выкарыстоўваецца як самой праграмай, так і апрацоўваемымі ёю дадзенымі, выкананыя аперацыі ўводу/вываду (чытанне і запіс на дыск або іншыя прылады) і г.д.

Укладка «Прадукцыйнасць» прапануе Графікі выкарыстання працэсара, памяці і ўводу/вываду Для гэтага працэсу вельмі карысна выяўляць рэзкія скачкі або анамальную паводзіны. Тым часам укладка «Памяць» дазваляе праглядаць і нават непасрэдна рэдагаваць змесціва памяці працэсу, вельмі прасунутая функцыянальнасць, якая звычайна выкарыстоўваецца пры адладцы або аналізе шкоднасных праграм.

Акрамя ўласцівасцей, кантэкстнае меню змяшчае шэраг ключавыя параметры уверсе:

• спыніць: неадкладна завяршае працэс.
• Абрываць дрэва: закрывае выбраны працэс і ўсе яго даччыныя працэсы.
• Прыпыняць: часова прыпыняе працэс, які можна аднавіць пазней.
• Перазапуск: перазапускае прыпынены працэс.

Выкарыстанне гэтых опцый патрабуе асцярожнасці, таму што Process Hacker можа спыняць працэсы, якія іншыя менеджары не могуць.Калі вы зачыніце нешта крытычна важнае для сістэмы або важнае прыкладанне, вы можаце страціць дадзеныя або выклікаць нестабільнасць. Гэта ідэальны інструмент для спынення шкоднасных праграм або працэсаў, якія не рэагуюць, але вам трэба ведаць, што вы робіце.

Далей у тым жа меню вы знойдзеце налады для Прыярытэт працэсара У опцыі «Прыярытэт» можна ўсталяваць узроўні ад «Рэальны час» (максімальны прыярытэт, працэс атрымлівае доступ да працэсара кожны раз, калі яго запытвае) да «У рэжыме чакання» (мінімальны прыярытэт, працэс запускаецца толькі ў тым выпадку, калі нішто іншае не хоча выкарыстоўваць працэсар).

У вас таксама ёсць магчымасць Прыярытэт уводу/вывадуГэты параметр вызначае прыярытэт працэсу для аперацый уводу/вываду (чытанне і запіс на дыск і г.д.) са значэннямі, такімі як Высокі, Нармальны, Нізкі і Вельмі нізкі. Налада гэтых параметраў дазваляе, напрыклад, абмежаваць уплыў вялікай копіі або праграмы, якая перагружае дыск.

Яшчэ адна вельмі цікавая асаблівасць — адправіцьАдтуль вы можаце адправіць інфармацыю пра працэс (ці ўзор) у розныя онлайн-сэрвісы антывіруснага аналізу, што выдатна падыходзіць, калі вы падазраяце, што працэс можа быць шкоднасным, і хочаце атрымаць другую думку, не выконваючы ўсю працу ўручную.

Кіраванне службамі, сеткай і дыскамі

Process Hacker не толькі сканцэнтраваны на працэсах. Іншыя асноўныя ўкладкі даюць вам даволі дакладны кантроль над службамі, сеткавымі падключэннямі і актыўнасцю дыска.

На ўкладцы «Паслугі» вы ўбачыце поўны спіс Службы і драйверы WindowsГэта тычыцца як актыўных, так і спыненых службаў. Адсюль вы можаце запускаць, спыняць, прыпыняць або аднаўляць службы, а таксама змяняць тып іх запуску (аўтаматычны, ручны або адключаны) або ўліковы запіс карыстальніка, ад імя якога яны працуюць. Для сістэмных адміністратараў гэта чыстае золата.

На ўкладцы «Сетка» адлюстроўваецца інфармацыя ў рэжыме рэальнага часу. якія працэсы ўстанаўліваюць сеткавыя злучэнніГэта ўключае такую ​​інфармацыю, як лакальныя і аддаленыя IP-адрасы, парты і стан падключэння. Гэта вельмі карысна для выяўлення праграм, якія звязваюцца з падазронымі адрасамі, або для вызначэння таго, якое прыкладанне перагружае вашу прапускную здольнасць.

Напрыклад, калі вы сутыкнуліся з "блакіроўкай браўзера" або вэб-сайтам, які блакуе ваш браўзер пастаяннымі дыялогавымі вокнамі, вы можаце выкарыстоўваць укладку "Сетка", каб знайсці яго. канкрэтнае падключэнне браўзера да гэтага дамена і закрыць яго з Process Hacker, без неабходнасці завяршаць увесь працэс браўзера і губляць усе адкрытыя ўкладкі, ці нават блакаваць падазроныя злучэнні з CMD калі вы аддаеце перавагу дзейнічаць з каманднага радка.

На ўкладцы «Дыск» пералічаны аперацыі чытання і запісу, якія выконваюцца сістэмнымі працэсамі. Адсюль вы можаце выявіць праграмы, якія перагружаюць дыск без бачных прычын або выяўлення падазроных паводзін, такіх як праграма, якая запісвае вялікія аб'ёмы дадзеных і можа шыфраваць файлы (тыповая паводзіны некаторых праграм-вымагальнікаў).

Пашыраныя функцыі: дэскрыптары, дампы памяці і "выкрадзеныя" рэсурсы

Акрамя базавага кантролю працэсаў і паслуг, Process Hacker уключае вельмі карысныя інструменты для канкрэтных сцэнарыяўасабліва пры выдаленні заблакаваных файлаў, даследаванні дзіўных працэсаў або аналізе паводзін праграм.

Вельмі практычны варыянт — Знайсці дэскрыптары або DLL-файлыГэтая функцыя даступная з галоўнага меню. Уявіце, што вы спрабуеце выдаліць файл, а Windows настойвае на тым, што ён «выкарыстоўваецца іншым працэсам», але не паведамляе, якім менавіта. З дапамогай гэтай функцыі вы можаце ўвесці назву файла (ці яе частку) у радок фільтра і націснуць «Знайсці».

Праграма адсочвае, дэскрыптары (ідэнтыфікатары рэсурсаў) і DLL-бібліятэкі Адкрыйце спіс і пакажыце вынікі. Калі вы знойдзеце патрэбны файл, вы можаце пстрыкнуць правай кнопкай мышы і выбраць «Перайсці да працэсу-ўладальніка», каб перайсці да адпаведнага працэсу на ўкладцы «Працэсы».

Пасля таго, як гэты працэс будзе вылучаны, вы можаце вырашыць, ці варта яго завяршыць (Завяршыць). вызваліць файл і мець магчымасць выдаліць заблакаваныя файлыПерад тым, як вы гэта зробіце, Process Hacker пакажа папярэджанне, якое нагадае вам, што вы можаце страціць дадзеныя. Зноў жа, гэта магутны інструмент, які можа дапамагчы вам выйсці з цяжкага становішча, калі ўсё астатняе не дапамагае, але яго варта выкарыстоўваць з асцярожнасцю.

Яшчэ адна пашыраная функцыя — стварэнне дампы памяціУ кантэкстным меню працэсу можна выбраць «Стварыць файл дампа…» і выбраць тэчку, у якую трэба захаваць файл .dmp. Гэтыя дампы шырока выкарыстоўваюцца аналітыкамі для пошуку тэкставых радкоў, ключоў шыфравання або індыкатараў шкоднасных праграм з дапамогай такіх інструментаў, як шаснаццатковыя рэдактары, скрыпты або правілы YARA.

Process Hacker таксама можа справіцца Працэсы .NET больш поўны, чым некаторыя падобныя інструменты, што карысна пры адладцы праграм, напісаных на гэтай платформе, або аналізе шкоднасных праграм на аснове .NET.

Нарэшце, калі гаворка ідзе пра выяўленне рэсурсаёмісты працэсПроста націсніце на загаловак слупка працэсара, каб адсартаваць спіс працэсаў па выкарыстанні працэсара, або на прыватныя байты і агульную хуткасць уводу/вываду, каб вызначыць, якія працэсы выкарыстоўваюць памяць або перагружаюць увод/вывад. Гэта значна спрашчае выяўленне вузкіх месцаў.

Сумяшчальнасць, драйвер і меркаванні бяспекі

Гістарычна склалася, што Process Hacker працаваў на Windows XP і пазнейшыя версіі, які патрабуе .NET Framework 2.0. З часам праект развіваўся, і самыя апошнія версіі арыентаваны на Windows 10 і Windows 11, як 32-бітныя, так і 64-бітныя, з некалькі больш сучаснымі патрабаваннямі (некаторыя зборкі вядомыя як System Informer, духоўны пераемнік Process Hacker 2.x).

У 64-бітных сістэмах узнікае далікатная праблема: падпісанне драйвера ў рэжыме ядра (Падпісанне кода ў рэжыме ядра, KMCS). Windows дазваляе загружаць толькі драйверы, падпісаныя сапраўднымі сертыфікатамі, прызнанымі Microsoft, у якасці меры прадухілення руткітаў і іншых шкоднасных драйвераў.

Драйвер, які Process Hacker выкарыстоўвае для сваіх больш пашыраных функцый, можа не мець подпісу, прынятага сістэмай, або ён можа быць падпісаны тэставымі сертыфікатамі. Гэта азначае, што, у стандартнай 64-бітнай усталёўцы WindowsДрайвер можа не загрузіцца, і некаторыя "глыбокія" функцыі будуць адключаныя.

Дасведчаныя карыстальнікі могуць скарыстацца такімі опцыямі, як актываваць тэставы рэжым Windows (што дазваляе загружаць пробныя драйверы) або, у старых версіях сістэмы, адключэнне праверкі подпісу кіроўцы. Аднак гэтыя манеўры значна зніжаюць бяспеку сістэмы, бо яны адкрываюць дзверы для іншых шкоднасных кіроўцаў, каб яны маглі бескантрольна праслізнуць.

Нават без загружанага драйвера, Process Hacker усё яшчэ з'яўляецца вельмі магутны інструмент маніторынгуВы зможаце бачыць працэсы, службы, сетку, дыск, статыстыку і шмат іншай карыснай інфармацыі. Вы проста страціце частку магчымасці завяршаць абароненыя працэсы або атрымліваць доступ да некаторых вельмі нізкаўзроўневых дадзеных.

У любым выпадку, варта памятаць, што некаторыя антывірусныя праграмы выяўляюць Process Hacker як Рызыкоўнае праграмнае забеспячэнне або патэнцыйна непажаданае праграмнае забеспячэнне Менавіта таму, што гэта можа перашкаджаць працэсам бяспекі. Калі вы выкарыстоўваеце яго законна, вы можаце дадаць выключэнні ў сваё рашэнне бяспекі, каб прадухіліць ілжывыя трывогі, заўсёды ведаючы, што вы робіце.

Для ўсіх, хто хоча лепш зразумець, як паводзіць сябе іх Windows, ад вопытных карыстальнікаў да спецыялістаў па кібербяспецы, Наяўнасць Process Hacker у вашым арсенале мае вялікае значэнне калі прыходзіць час дыягнаставаць, аптымізаваць або даследаваць складаныя праблемы ў сістэме.