NAVIGACIJA ŠKOLE
- Koji su alati SysInternals i kako ih koristite?
- Razumijevanje procesa Explorer
- Upotrebljavajući Process Explorer za otklanjanje poteškoća i dijagnosticiranje
- Razumijevanje procesnog nadzora
- Korištenje Process Monitor za otklanjanje poteškoća i pronalaženje hackova registra
- Upotreba autoruna za rješavanje procesa pokretanja i zlonamjernog softvera
- Korištenje BgInfo-a za prikaz informacija o sustavu na radnoj površini
- Koristeći PsTools za upravljanje drugim računalima iz Command Line
- Analiza i upravljanje datotekama, mapama i pogonima
- Zatvaranje i upotreba alata zajedno
U starim danima softver će se započeti automatski dodavanjem stavke u mapu Startup u izborniku Start ili dodavanjem vrijednosti u ključ Run u registru, ali kako su ljudi i softver postali više pametni pri pronalaženju neželjenih unosa i brisanju njih, proizvođači upitnih softvera započeli su pronalaženje načina da se dobiju sve više i više posrnulih.
Ove sjenovite tvrtke za reprodukciju počele su otkrivati kako automatski učitati svoj softver putem pomoćnih objekata preglednika, usluga, upravljačkih programa, zakazanih zadataka, pa čak i kroz neke izuzetno napredne tehnike poput slanja slika i AppInit_dlls.
Provjera svakog od ovih uvjeta ručno ne bi samo dugotrajala, već je gotovo nemoguće učiniti za prosječnu osobu.
To je mjesto gdje Autoruns dolazi i štedi dan. Naravno, Process Explorer možete proučiti kroz popis postupaka i probiti se duboko u teme i ručke, a Process Monitor može otkriti točno koji ključevi registra otvaraju procesom i pokazuju vam nevjerojatne količine informacija. No, ni jedan ne zaustavlja zlonamjerni softver ili zlonamjerni softver jer se ponovno učitava sljedeći put kada pokrenete računalo.
Of course, a smart strategy would be to use all three together. Process Explorer sees what is currently running and using up your CPU and memory, Process Monitor sees what the application is doing under the hood, and then Autoruns comes in to clean things up so they don’t come back.
Autoruns vam omogućuje da vidite gotovo svaku pojedinu stvar koja se automatski učitava na vašem računalu i onemogućuje ga jednostavnim klikom na potvrdni okvir. Nevjerojatno je jednostavan za uporabu i gotovo samoobjašnjenje, osim nekih stvarno kompliciranih stvari koje morate znati da biste shvatili što neke od kartica zapravo znače. To je ono što će ova lekcija podučavati.
Rad s automatskim sučeljem
Možete preuzeti alat Autoruns s web stranice SysInternals baš kao i sve ostalo i pokrenuti ga bez instalacije. To ćete učiniti prije nego što nastavite.
Bilješka: Autoruns ne zahtijeva pokretanje kao administrator, ali realno ima najviše smisla to učiniti samo zato što postoji nekoliko značajki koje inače neće funkcionirati, a ima dobre šanse da vaš zlonamjerni softver pokrene i kao administrator.
Kada prvi put pokrenete sučelje, vidjet ćete tona kartica i popis stvari koje se automatski pokreću na vašem računalu. Zadana kartica Sve pokazuje sve iz svake kartice, ali može biti malo zbunjujuće i dugotrajno pa bi se preporučili da samo prođete svaku karticu zasebno.
Onemogućavanje stavki
Da biste onemogućili bilo koju stavku na popisu, jednostavno uklonite potvrdni okvir. To je sve što morate učiniti, samo prođite kroz popis i uklonite sve što vam nije potrebno, ponovno pokrenite računalo, a zatim ponovo pokrenite kako biste bili sigurni da je sve u redu.
Bilješka:neki zlonamjerni programi stalno prate lokacije na kojima pokreću automatsko pokretanje i odmah će vratiti vrijednost. Pomoću tipke F5 možete ponovno skenirati i vidjeti je li se neki unos vratio nakon što je onemogućio. Ako se jedan od njih ponovno pojavio, upotrijebite Process Explorer da biste obustavili ili ubijali taj zlonamjerni softver prije nego što ga onemogućite.
Boje
Kao i većina SysInternals alata, stavke na popisu mogu biti različite boje, a ovdje je ono što oni znače:
- Ružičasta - to znači da nije pronađena nijedna informacija o izdavaču ili ako je potvrda koda uključena, znači da digitalni potpis ili ne postoji ili se ne podudara ili nema podataka o izdavaču.
- zelena - ta se boja upotrebljava kada se uspoređujete s prethodnim skupom podataka iz programa Autoruns da biste označili stavku koja nije bila posljednji put.
- Žuta boja - zapis za pokretanje postoji, ali datoteka ili posao na koji to pokazuje nema više.
Isto kao i većina alata SysInternals, možete kliknuti desnom tipkom miša na bilo koji unos i izvršiti niz akcija, uključujući skakanje na unos ili sliku (stvarna datoteka u Exploreru). Možete pretraživati online za naziv procesa ili podatke u stupcu, vidjeti detaljna svojstva ili vidjeti hoće li se taj unos izvoditi tako da brzo pretražuje procesni Explorer - iako mnogi procesi imaju utovarivač koji zatim pokreće nešto drugo izlazak, pa samo zato što ta značajka pokazuje da rezultati ne znače ništa.
Ako ste kliknuli Skoči na unos, preusmjerit ćete se izravno u urednik registra, gdje možete vidjeti taj ključ registra i pogledati uokolo. Ako unos nije nešto drugo, možda ćete ga preusmjeriti na neki drugi alat, kao što je Task Scheduler.Stvarnost je da većinu vremena Autoruns prikazuje sve iste podatke izravno u sučelju, tako da obično ne trebate gnjaviti ako ne želite saznati više.
Potvrđivanje potpisa kodova
Opcija izbornika Opcije filtra vodi vas do ploče s opcijama na kojima možete odabrati jednu vrlo korisnu opciju: Potvrda potpisa kodova. To će provjeriti da li se svaki digitalni potpis analizira i potvrdi te da se rezultati prikazuju točno u prozoru. Primijetit ćete da sve stavke u ružičastom prikazu zaslona niže nisu potvrđene ili podaci izdavača ne postoje.
I za dodatne kredite, možda ćete primijetiti da je ovaj screenshot u nastavku gotovo isti kao i onaj u blizini početka, osim u toj nekoj od stavki na popisu gdje nije označena kao ružičasta. Razlika je u tome što je prema zadanim postavkama uključena opcija Potvrdi kod potpisa znakova, Autoruns će vas upozoriti samo s ružičastim redom ako nema informacija o izdavaču.
Analiziranje sustava izvan mreže (kao kod povezivanja tvrdog diska s drugim računalom)
Zamislite da je računalo vašeg prijatelja potpuno zabrljano i neće se dizati ni upaliti toliko sporo da ga ne možete iskoristiti. Pokušali ste sigurnosne načine rada i opcije oporavka poput obnove sustava, ali to nije važno jer je neupotrebljivo.
Umjesto da povučete karticu "reinstaliraj", koja je često samo "odustajam", možete izvaditi tvrdi disk i spojiti ga s računalom ili prijenosnim računalom pomoću praktičnog USB tvrdi disk. Imate jednu, zar ne? Zatim samo učitate Autoruns i idite na File -> Analyse Offline System.
Uspoređujući se s drugim računalom (ili prethodnim čistom instalacijom)
Datoteka -> Usporedi izgleda neupadljivo, no to može biti jedan od najmoćnijih načina analize računala i vidjeti što je dodano od posljednjeg skeniranja ili usporedbe s poznatim čistim računalom.
Da biste koristili tu značajku, samo učitajte Autoruns na računalu koje pokušavate pregledati ili pomoću načina rada izvan mreže koji smo ranije opisali, a zatim krenite prema Datoteka -> Usporedi. Sve što je dodano od usporedbe verzije će se pojaviti u svijetlo zelenom. Jednostavno je to. Da biste spremili novu verziju, upotrijebite opciju Datoteka -> Spremi.
Gledanje kartica
Kao što ste vidjeli do sada, Autoruns je vrlo jednostavan, ali moćan alat koji bi vjerojatno mogao koristiti gotovo bilo tko. Mislim, sve što trebate učiniti je isključiti kutiju, zar ne? Međutim, korisno je imati još informacija o tome što znače sve ove kartice pa ćemo vas ovdje pokušati educirati.
Sljedeća stranica: Prijava, zakazane zadatke i otmicu slika
