Görev Yöneticisi'ne Gelişmiş Bir Alternatif: İşlem Korsanı İçin Tam Kılavuz

Birçok Windows kullanıcısı için Görev Yöneticisi yetersiz kalıyor. Bu yüzden bazıları Process Hacker'a yöneliyor. Bu araç, yöneticiler, geliştiriciler ve güvenlik analistleri arasında popülerlik kazandı çünkü sistemi standart Windows Görev Yöneticisi'nin hayal bile edemeyeceği bir düzeyde görüntülemelerine ve kontrol etmelerine olanak tanıyor.

Bu kapsamlı rehberde şunları inceleyeceğiz: Process Hacker nedir, nasıl indirilir ve kurulur?Görev Yöneticisi ve İşlem Gezgini ile karşılaştırıldığında neler sunduğu ve işlemleri, hizmetleri, ağı, diski, belleği yönetmek ve hatta kötü amaçlı yazılımları araştırmak için nasıl kullanılacağı.

Process Hacker nedir ve neden bu kadar güçlüdür?

Process Hacker temel olarak, Windows için gelişmiş bir işlem yöneticisiAçık kaynaklı ve tamamen ücretsiz. Birçok kişi onu "steroidli Görev Yöneticisi" olarak tanımlıyor ve gerçek şu ki, bu tanım ona oldukça uyuyor.

Amacı size bir sisteminizde neler olup bittiğine dair çok detaylı bir görünümİşlemler, hizmetler, bellek, ağ, disk... ve hepsinden önemlisi, bir şey tıkandığında, çok fazla kaynak tükettiğinde veya kötü amaçlı yazılım şüphesi yarattığında müdahale edebilmeniz için araçlar sunar. Arayüzü Process Explorer'ı biraz andırıyor, ancak Process Hacker birçok ek özellik ekliyor.

Güçlü yanlarından biri de, gizli süreçleri tespit edin ve "korunan" süreçleri sonlandırın Görev Yöneticisi'nin kapatamadığı bu özellik, KProcessHacker adlı bir çekirdek modu sürücüsü sayesinde elde edilir ve bu sürücü, yükseltilmiş ayrıcalıklarla Windows çekirdeğiyle doğrudan iletişim kurmasını sağlar.

Bir proje olmak Açık kaynaklıdır, kod herkesin kullanımına açıktırBu, şeffaflığı teşvik eder: Topluluk bunu denetleyebilir, güvenlik açıklarını tespit edebilir, iyileştirmeler önerebilir ve gizli, tatsız sürprizlerin olmamasını sağlayabilir. Birçok şirket ve siber güvenlik uzmanı, Process Hacker'a tam da bu açık felsefe nedeniyle güveniyor.

Ancak şunu belirtmekte fayda var ki; Bazı antivirüs programları bunu "riskli" veya PUP (Potansiyel Olarak İstenmeyen Program) olarak işaretler.Kötü niyetli olduğu için değil, son derece hassas süreçleri (güvenlik servisleri dahil) öldürme kapasitesine sahip olduğu için. Çok güçlü bir silah ve tüm silahlar gibi, dikkatli kullanılmalıdır.

Process Hacker'ı indirin: sürümler, taşınabilir sürüm ve kaynak kodu

Programı edinmek için yapılması gereken olağan şey, onların adresine gitmektir. resmi oa sayfası SourceForge / GitHub'daki deponuzOrada her zaman aracın en son sürümünü ve aracın neler yapabileceğine dair kısa bir özeti bulacaksınız.

İndirmeler bölümünde normalde şunları göreceksiniz: iki ana yöntem 64 bit sistemler için:

• Kurulum (Önerilen): Klasik yükleyici, her zaman kullandığımız, çoğu kullanıcıya önerilen yükleyici.
• İkili dosyalar (taşınabilir): doğrudan kurulum yapmadan çalıştırabileceğiniz taşınabilir versiyon.

Kurulum seçeneği, eğer isterseniz idealdir Process Hacker'ı zaten yüklü bırakın.Başlat menüsüyle entegre ve ek seçeneklerle (Görev Yöneticisi'nin yerini alması gibi). Taşınabilir sürüm ise, USB sürücüsünde taşıyın ve hiçbir şey yüklemenize gerek kalmadan farklı bilgisayarlarda kullanabilirsiniz.

Biraz daha aşağıda da genellikle görünürler 32 bit sürümleriHala eski ekipmanlarla çalışıyorsanız. Günümüzde eskisi kadar yaygın değiller, ancak yine de gerekli oldukları ortamlar var.

Seni ilgilendiren şeyse kaynak koduyla oynamak Veya kendi derlemenizi derleyebilirsiniz; resmi web sitesinde GitHub deposuna doğrudan bir bağlantı bulacaksınız. Buradan kodu inceleyebilir, değişiklik günlüğünü takip edebilir ve hatta projeye katkıda bulunmak isterseniz iyileştirmeler önerebilirsiniz.

Programın ağırlığı çok azdır, yaklaşık birkaç megabaytYani indirme işlemi, yavaş bir bağlantıda bile yalnızca birkaç saniye sürüyor. İşlem tamamlandıktan sonra yükleyiciyi çalıştırabilir veya taşınabilir sürümü seçtiyseniz, yürütülebilir dosyayı doğrudan çıkarıp başlatabilirsiniz.

Windows'ta adım adım kurulum

Yükleyiciyi (Kurulum) seçerseniz, süreç Windows'ta oldukça tipiktir, ancak Göz atmaya değer bazı ilginç seçenekler sakince

İndirilen dosyaya çift tıkladığınızda Windows şunu görüntüler: Kullanıcı Hesabı Kontrolü (UAC) Programın sistemde değişiklik yapmak istediği konusunda sizi uyaracaktır. Bu normaldir: Process Hacker'ın sihrini gösterebilmesi için belirli ayrıcalıklara ihtiyacı vardır, bu yüzden devam etmek için kabul etmeniz gerekecektir.

Göreceğiniz ilk şey, tipik kurulum sihirbazıdır lisans ekranıProcess Hacker, metinde belirtilen bazı istisnalar dışında GNU GPL sürüm 3 lisansı altında dağıtılmaktadır. Özellikle kurumsal ortamlarda kullanmayı planlıyorsanız, devam etmeden önce bunlara göz atmanız iyi bir fikirdir.

 

Sonraki adımda, yükleyici şunları önerir: varsayılan bir klasör Programın kopyalanacağı yer. Varsayılan yol size uymuyorsa, başka bir yol yazarak veya düğmesini kullanarak doğrudan değiştirebilirsiniz. Araştır tarayıcıda farklı bir klasör seçmek için.

Sonra bileşen listesi Uygulamayı oluşturan öğeler: ana dosyalar, kısayollar, sürücüyle ilgili seçenekler vb. Eksiksiz bir kurulum istiyorsanız, en basit yol her şeyi işaretli bırakmaktır. Belirli bir özelliği kullanmayacağınızdan eminseniz, kapladığı alan çok az olsa da, seçimini kaldırabilirsiniz.

Daha sonra asistan sizden şunu isteyecektir: Başlat menüsündeki klasör adıGenellikle "Process Hacker 2" veya benzeri bir ad önerir ve bu adla yeni bir klasör oluşturulur. Kısayolun mevcut başka bir klasörde görünmesini tercih ederseniz, Gözat'a tıklayıp seçebilirsiniz. Ayrıca şu seçeneği de kullanabilirsiniz: Başlat Menüsü klasörü oluşturmayın böylece Başlat menüsünde herhangi bir giriş oluşturulmaz.

Bir sonraki ekranda bir dizi öğeye ulaşacaksınız ek seçenekler özel ilgiyi hak edenler:

• Yaratmak mı yaratmamak mı Masaüstünde kısayolve bunun yalnızca sizin kullanıcınız için mi yoksa takımdaki tüm kullanıcılar için mi olacağına karar verin.
• Başlatmak Windows başlangıcında İşlem KorsanıVe eğer bu durumda bildirim alanında simge durumuna küçültülmüş olarak açılmasını istiyorsanız.
• Ne yap Process Hacker, Görev Yöneticisi'nin yerini alıyor Windows standardı.
• Yükleyin KProcessHacker sürücüsü ve sisteme tam erişim verin (çok güçlü bir seçenek, ancak ne gerektirdiğini bilmiyorsanız önerilmez).

Bu tercihleri ​​seçtikten sonra, yükleyici size bir yapılandırma özeti Yükle'ye tıkladığınızda dosyalar kopyalanmaya başlayacak. Birkaç saniyeliğine küçük bir ilerleme çubuğu göreceksiniz; işlem hızlıdır.

İşlem tamamlandığında, asistan size bildirimde bulunacaktır. Kurulum başarıyla tamamlandı ve birkaç kutu görüntülenecektir:

• Sihirbazı kapatırken Process Hacker'ı çalıştırın.
• Yüklü sürüm için değişiklik günlüğünü açın.
• Projenin resmi web sitesini ziyaret edin.

Varsayılan olarak genellikle yalnızca kutu işaretlidir. İşlem Korsanını ÇalıştırEğer bu seçeneği olduğu gibi bırakırsanız, Finish'e tıkladığınızda program ilk kez açılacak ve denemelere başlayabileceksiniz.

Process Hacker'ı nasıl başlatabilirim ve ilk adımlar

Kurulum sırasında bir masaüstü kısayolu oluşturmayı seçerseniz, programı başlatmak şu kadar basit olacaktır: simgeye çift tıklayınSık kullananlar için en hızlı yoldur.

Doğrudan erişiminiz yoksa, her zaman Başlat menüsünden açınBaşlat düğmesine tıklayın, "Tüm uygulamalar"a gidin ve "Process Hacker 2" klasörünü (veya kurulum sırasında seçtiğiniz adı) bulun. İçinde program girişini bulacaksınız ve tek tıklamayla açabilirsiniz.

İlk başladığında, göze çarpan şey, Arayüz çok fazla bilgi yüklü.Endişelenmeyin: Biraz pratikle, düzen oldukça mantıklı ve düzenli hale geliyor. Hatta, standart Görev Yöneticisi'nden çok daha fazla veri görüntülerken, yine de yönetilebilir kalıyor.

En üstte bir sıra var Ana sekmeler: İşlemler, Hizmetler, Ağ ve DiskHer biri size sistemin farklı bir yönünü gösterir: sırasıyla çalışan işlemler, hizmetler ve sürücüler, ağ bağlantıları ve disk etkinliği.

Varsayılan olarak açılan İşlemler sekmesinde tüm işlemleri göreceksiniz. hiyerarşik bir ağaç biçimindeBu, hangi işlemlerin üst, hangilerinin alt olduğunu hızlıca belirleyebileceğiniz anlamına gelir. Örneğin, Not Defteri'nin (notepad.exe) explorer.exe'ye bağımlı olması yaygındır; Explorer'dan başlattığınız birçok pencere ve uygulama da öyle.

İşlemler sekmesi: işlem denetimi ve kontrolü

İşlem görünümü, Process Hacker'ın kalbidir. Buradan şunları yapabilirsiniz: gerçekte neyin çalıştığını gör Makinenizde bir sorun olduğunda hızlı kararlar alın.

İşlem listesinde isme ek olarak, şu gibi sütunlar bulunur: PID (işlem tanımlayıcısı), kullanılan CPU yüzdesi, toplam G/Ç hızı, kullanımda olan bellek (özel baytlar), işlemi çalıştıran kullanıcı ve kısa bir açıklama.

Bir işlemin isminin üzerine fareyi getirip bir süre basılı tuttuğunuzda bir pencere açılacaktır. ek ayrıntılar içeren açılır kutuDiskteki yürütülebilir dosyanın tam yolu (örneğin, C:\Windows\System32\notepad.exe), tam dosya sürümü ve dosyayı imzalayan şirket (Microsoft Corporation vb.). Bu bilgiler, meşru işlemleri potansiyel olarak kötü amaçlı taklitlerinden ayırt etmek için çok faydalıdır.

İlginç bir tarafı da şu İşlemler renklidir Türlerine veya durumlarına göre (hizmetler, sistem süreçleri, askıya alınan süreçler vb.) her rengin anlamı menüden görüntülenebilir ve özelleştirilebilir. Hacker > Seçenekler > Vurgulama, şemayı kendi zevkinize göre uyarlamak isterseniz.

Herhangi bir işleme sağ tıklarsanız bir menü görünecektir seçeneklerle dolu bağlam menüsüEn dikkat çekici olanlardan biri, vurgulanmış olarak görünen ve işlem hakkında son derece ayrıntılı bilgilerin yer aldığı bir pencere açmaya yarayan Özellikler'dir.

Bu özellik penceresi şu şekilde düzenlenmiştir: birden fazla sekme (yaklaşık on bir)Her sekme belirli bir konuya odaklanır. Genel sekmesi, yürütülebilir dosya yolunu, başlatmak için kullanılan komut satırını, çalışma süresini, üst işlemi, işlem ortamı bloğu (PEB) adresini ve diğer düşük düzeyli verileri gösterir.

İstatistikler sekmesi gelişmiş istatistikleri görüntüler: süreç önceliği, tüketilen CPU çevrimi sayısı, hem programın kendisi hem de işlediği veriler tarafından kullanılan bellek miktarı, gerçekleştirilen giriş/çıkış işlemleri (disk veya diğer aygıtlara okuma ve yazma), vb.

Performans sekmesi şunları sunar: CPU, bellek ve G/Ç kullanım grafikleri Bu işlem için, ani artışları veya anormal davranışları tespit etmek için oldukça kullanışlı bir şey. Bu arada, Bellek sekmesi, verileri incelemenize ve hatta belleğin içeriğini doğrudan düzenleyin sürecin, genellikle hata ayıklama veya kötü amaçlı yazılım analizinde kullanılan çok gelişmiş bir işlevselliği.

Özellikler'e ek olarak, bağlam menüsü bir dizi özellik içerir anahtar seçenekler en üstte:

• bitirmek: işlemi hemen sonlandırır.
• Ağacı Sonlandır: seçili işlemi ve tüm alt işlemlerini kapatır.
• Askıya almak: işlemi geçici olarak dondurur, daha sonra devam ettirilebilir.
• Yeniden: askıya alınmış bir işlemi yeniden başlatır.

Bu seçeneklerin kullanımı dikkatli olmayı gerektirir, çünkü Process Hacker, diğer yöneticilerin sonlandıramadığı süreçleri sonlandırabilir.Sistem için kritik bir şeyi veya önemli bir uygulamayı kapatırsanız, veri kaybedebilir veya istikrarsızlığa neden olabilirsiniz. Kötü amaçlı yazılımları veya yanıt vermeyen işlemleri durdurmak için ideal bir araçtır, ancak ne yaptığınızı bilmeniz gerekir.

Aynı menüde daha aşağıda, şu ayarları bulacaksınız: CPU önceliği Öncelik seçeneğinde, Gerçek zamanlı (maksimum öncelik, işlem işlemciyi istediğinde alır) ile Boşta (minimum öncelik, yalnızca başka hiçbir şey CPU'yu kullanmak istemediğinde çalışır) arasında değişen düzeyler ayarlayabilirsiniz.

seçeneğin de var G/Ç ÖnceliğiBu ayar, giriş/çıkış işlemleri (disk okuma ve yazma vb.) için işlem önceliğini Yüksek, Normal, Düşük ve Çok Düşük gibi değerlerle tanımlar. Bu seçenekleri ayarlamak, örneğin büyük bir kopyanın veya diski dolduran bir programın etkisini sınırlamanıza olanak tanır.

Bir diğer çok ilginç özellik ise GönderOradan, işlemle ilgili bilgileri (veya bir örneği) çeşitli çevrimiçi antivirüs analiz hizmetlerine gönderebilirsiniz; bu, bir işlemin kötü amaçlı olabileceğinden şüphelendiğinizde ve tüm işi manuel olarak yapmak zorunda kalmadan ikinci bir görüş almak istediğinizde harika bir özelliktir.

Hizmet, ağ ve disk yönetimi

Process Hacker yalnızca süreçlere odaklanmaz. Diğer ana sekmeler size hizmetler, ağ bağlantıları ve disk etkinliği üzerinde oldukça hassas kontrol.

Hizmetler sekmesinde, aşağıdakilerin tam listesini göreceksiniz: Windows hizmetleri ve sürücüleriBu, hem etkin hem de durdurulmuş hizmetleri kapsar. Buradan hizmetleri başlatabilir, durdurabilir, duraklatabilir veya devam ettirebilir, ayrıca başlangıç ​​türlerini (otomatik, manuel veya devre dışı) veya çalıştıkları kullanıcı hesabını değiştirebilirsiniz. Sistem yöneticileri için bu, tam anlamıyla bir altın değerindedir.

Ağ sekmesi gerçek zamanlı bilgileri görüntüler. hangi süreçler ağ bağlantıları kuruyorYerel ve uzak IP adresleri, bağlantı noktaları ve bağlantı durumu gibi bilgiler buna dahildir. Şüpheli adreslerle iletişim kuran programları tespit etmek veya bant genişliğinizi hangi uygulamanın doldurduğunu belirlemek için oldukça faydalıdır.

Örneğin, "kaş kilidi" veya tarayıcınızı sürekli iletişim kutularıyla engelleyen bir web sitesiyle karşılaşırsanız, bunu bulmak için Ağ sekmesini kullanabilirsiniz. tarayıcının o etki alanına özel bağlantısı ve tüm tarayıcı sürecini öldürmeye ve tüm açık sekmeleri kaybetmeye gerek kalmadan, hatta Process Hacker'dan kapatın CMD'den şüpheli bağlantıları engelle Eğer komut satırından hareket etmeyi tercih ediyorsanız.

Disk sekmesi, sistem süreçleri tarafından gerçekleştirilen okuma ve yazma etkinliklerini listeler. Buradan şunları tespit edebilirsiniz: diski aşırı yükleyen uygulamalar Görünür bir neden olmadan veya büyük miktarda yazma yapan ve dosyaları şifreleyebilen bir program gibi şüpheli davranışları tespit etmeden (bazı fidye yazılımlarının tipik davranışı).

Gelişmiş özellikler: tutamaklar, bellek dökümleri ve "ele geçirilmiş" kaynaklar

Temel süreç ve hizmet kontrolüne ek olarak, Process Hacker şunları içerir: belirli senaryolar için çok kullanışlı araçlarözellikle kilitli dosyaları silerken, garip süreçleri araştırırken veya uygulama davranışlarını analiz ederken.

Çok pratik bir seçenek Tutamaçları veya DLL'leri bulunBu özelliğe ana menüden erişilebilir. Bir dosyayı silmeye çalıştığınızı ve Windows'un "başka bir işlem tarafından kullanıldığını" iddia ettiğini, ancak hangisi olduğunu söylemediğini düşünün. Bu işlevle, dosya adını (veya bir kısmını) Filtre çubuğuna yazıp Bul'a tıklayabilirsiniz.

Program şunları izler: tutamaklar (kaynak tanımlayıcıları) ve DLL'ler Listeyi açın ve sonuçları görüntüleyin. İlgilendiğiniz dosyayı bulduğunuzda, sağ tıklayıp "Sahip olunan işleme git" seçeneğini belirleyerek İşlemler sekmesindeki ilgili işleme gidebilirsiniz.

Bu işlem vurgulandıktan sonra, sonlandırıp sonlandırmayacağınıza (Sonlandır) karar verebilirsiniz. dosyayı serbest bırakın ve kilitli dosyaları silBunu yapmadan önce, Process Hacker verilerinizi kaybedebileceğinizi hatırlatan bir uyarı görüntüleyecektir. Yine de, her şey başarısız olduğunda sizi zor durumdan kurtarabilecek güçlü bir araçtır, ancak dikkatli kullanılmalıdır.

Bir diğer gelişmiş özellik ise, bellek dökümleriBir işlemin bağlam menüsünden "Döküm dosyası oluştur…" seçeneğini belirleyip .dmp dosyasını kaydetmek istediğiniz klasörü seçebilirsiniz. Bu dökümler, analistler tarafından onaltılık düzenleyiciler, betikler veya YARA kuralları gibi araçlar kullanarak metin dizeleri, şifreleme anahtarları veya kötü amaçlı yazılım göstergeleri aramak için yaygın olarak kullanılır.

Process Hacker ayrıca şunları da halledebilir: .NET süreçleri Bu, söz konusu platformda yazılmış uygulamaları hata ayıklamak veya .NET tabanlı kötü amaçlı yazılımları analiz etmek için kullanışlı olan bazı benzer araçlardan daha kapsamlıdır.

Son olarak, tespit etme konusuna gelince kaynak tüketen süreçlerİşlem listesini işlemci kullanımına göre sıralamak için CPU sütun başlığına veya hangi işlemlerin belleği işgal ettiğini veya G/Ç'yi aşırı yüklediğini belirlemek için Özel baytlara ve G/Ç toplam hızına tıklamanız yeterlidir. Bu, darboğazları tespit etmeyi çok kolaylaştırır.

Uyumluluk, sürücü ve güvenlik hususları

Tarihsel olarak, Process Hacker şu şekilde çalıştı: Windows XP ve sonraki sürümler, .NET Framework 2.0 gerektirir. Zamanla proje gelişti ve en son sürümler, hem 32 hem de 64 bit Windows 10 ve Windows 11'e yöneliktir ve biraz daha modern gereksinimlere sahiptir (bazı sürümler, Process Hacker 2.x'in manevi halefi olan System Informer olarak bilinir).

64-bit sistemlerde hassas bir konu ortaya çıkıyor: çekirdek modu sürücü imzalama (Çekirdek Modu Kod İmzalama, KMCS). Windows, rootkit'leri ve diğer kötü amaçlı sürücüleri önlemek amacıyla yalnızca Microsoft tarafından tanınan geçerli sertifikalarla imzalanmış sürücülerin yüklenmesine izin verir.

Process Hacker'ın daha gelişmiş işlevleri için kullandığı sürücünün sistem tarafından kabul edilen bir imzası olmayabilir veya test sertifikalarıyla imzalanmış olabilir. Bu, şu anlama gelir: standart 64-bit Windows kurulumundaSürücü yüklenmeyebilir ve bazı "derin" özellikler devre dışı kalabilir.

İleri düzey kullanıcılar şu seçeneklere başvurabilirler: Windows "test modunu" etkinleştirin (deneme sürücülerinin yüklenmesine olanak tanır) veya sistemin eski sürümlerinde sürücü imza doğrulamasını devre dışı bırakmak. Ancak bu manevralar, diğer kötü amaçlı sürücülerin kontrolsüzce sisteme sızmasına olanak tanıdığı için sistem güvenliğini önemli ölçüde azaltır.

Sürücü yüklenmese bile Process Hacker hala bir çok güçlü bir izleme aracıİşlemleri, hizmetleri, ağı, diski, istatistikleri ve diğer birçok faydalı bilgiyi görebileceksiniz. Ancak, korumalı işlemleri sonlandırma veya çok düşük seviyeli verilere erişme yeteneğinizin bir kısmını kaybedeceksiniz.

Her durumda, bazı antivirüs programlarının Process Hacker'ı şu şekilde algılayacağını hatırlamakta fayda var: Riskware veya PUP Çünkü güvenlik süreçlerine müdahale edebilir. Eğer meşru bir şekilde kullanıyorsanız, yanlış alarmları önlemek için güvenlik çözümünüze istisnalar ekleyebilir ve ne yaptığınızın her zaman farkında olabilirsiniz.

İleri düzey kullanıcılardan siber güvenlik uzmanlarına kadar, Windows'un nasıl davrandığını daha iyi anlamak isteyen herkes için Process Hacker'ı araç kutunuzda bulundurmak büyük fark yaratır Sistemdeki karmaşık sorunları teşhis etme, optimize etme veya araştırma zamanı geldiğinde.