„PsList“ sistemoje „Windows“: išsamus vartotojo vadovas, parametrai ir gudrybės

PCHardwarePro » Pamokos » „PsList“ sistemoje „Windows“: išsamus vartotojo vadovas, parametrai ir gudrybės

„PsList“ yra „Sysinternals“ „PsTools“ rinkinio programa, skirta chirurginiu tikslumu audituoti procesus „Windows“ sistemose, tiek vietinėse, tiek nuotolinėse. Didžiausias jo privalumas yra rodyti išsamią procesoriaus, atminties ir gijų statistiką., su galimybėmis peržiūrėti procesų medį, filtruoti pagal pavadinimą arba PID ir valdyti panašiai kaip užduočių tvarkytuvėje.

„PsList“ patrauklumą lemia tai, kad jį galima naudoti be diegimo ir prieš kitus „Windows“ kompiuterius, jei turime administratoriaus teises. Kartu su kitais „PsTools“, tokiais kaip „PsKill“ arba „PsExec“, jis tampa nuotolinės diagnostikos ir administravimo pakaitos simboliu., ir todėl jis yra beveik kiekvienos sistemos įrankių dėžėje.

Kas yra PsList ir kam jis skirtas?

„PsList“ yra „PsTools“ rinkinio, Marko Russinovičiaus ir Bryce'o Cogswello sukurto komandinės eilutės įrankių rinkinio, kurį „Microsoft“ įtraukė įsigijusi „Sysinternals“, dalis. Ps prefiksas atitinka UNIX ps komandą, o ypač „PsList“ leidžia peržiūrėti išsamią informaciją apie veikiančius procesus ir gijas.

Įrankis pagal numatytuosius nustatymus rodo kiekvienam procesui operacinės sistemos priskirto procesoriaus laiko ir fizinės atminties metriką. Galime sutelkti dėmesį į atmintį naudodami parinktį -m arba išplėsti į gijas naudodami parinktis -d ir -t, taigi apima teismo ekspertizės scenarijus arba veiklos incidentų sprendimą.

Pagrindinis privalumas yra tas, kad „PsList“ nereikalauja nuotolinių agentų ar sudėtingų diegimų: jis veikia iš karto. Nuotoliniams kompiuteriams pakanka administratoriaus prisijungimo duomenų ir aktyvios nuotolinio registro paslaugos., kurį, kaip pradėti, pamatysime pavyzdžiuose.

Suderinamumas, reikalavimai ir ankstesni svarstymai

Remiantis naujausia „Sysinternals“ dokumentacija, „PsTools“ programų paketas veikia šiuolaikinėse aplinkose: kliento aplinkoje su „Windows 8.1“ ir naujesnėmis versijomis bei serverio aplinkoje su „Windows Server 2012“ ir naujesnėmis versijomis, įskaitant „Nano Server 2016“ ir naujesnes versijas. Kiti istoriniai įrašai nurodo ankstesnį suderinamumą su „Windows Vista“ ir „Server 2008“.Praktiškai „PsList“ buvo plačiai naudojamas keliose „Windows“ kartose.

Norėdami pateikti užklausą procesams nuotoliniame kompiuteryje, mums reikės administratoriaus teisių tame pagrindiniame kompiuteryje ir paleisti nuotolinio registro paslaugą. Be šios paslaugos aktyvavimo „PsList“ negalės nuotoliniu būdu nuskaityti našumo skaitiklių., kažkas esminio norint atkurti rodomus rodiklius.

Pirmą kartą paleidus „PsList“, pasirodo „Sysinternals“ licencijos dialogo langas. Tai galima slopinti pridedant jungiklį „-accepteula“ arba iš anksto priimant registro raktą. įrankį naudojančio vartotojo profilyje.

„PsList“ galima patalpinti bet kuriame aplanke, įtrauktame į aplinkos kintamąjį PATH, arba paleisti iš dabartinio katalogo. Nereikia diegti ar turėti priklausomybių nuo vietinės ar nuotolinės įrangos, o tai supaprastina jo naudojimą scenarijuose ir ad hoc sesijose.

Sintaksė ir pagrindiniai parametrai

Bendroji „PsList“ sintaksė palaiko vietines ir nuotolines užklausas, filtravimą pagal pavadinimą arba PID ir išplėstinius išvesties režimus. Tai yra pagrindinės parinktys, kurias verta turėti po ranka:

PsLIST [-?] [-t] [-m] [-x] [\\kompiuteris [-u naudotojas] [-p slaptažodis]] [vardas | pid] [-d] [-e] [-rn] [-s [n]] [-accepteula]

Trumpas kiekvieno parametro paaiškinimas. Aprašymai buvo suvienodinti iš oficialių nuorodų ir praktinių vadovų.:

Parametras	aprašymas
pslist išraiška	Rodo procesų, kurių pavadinimas prasideda raide „exp“, pvz., „Explorer“, statistiką. Idealiai tinka filtravimui pagal prefiksą.
-d	Apima išsamią informaciją apie gijas pagal procesą. Naudinga diagnozuojant izoliuotus blokus ar šuolius.
-m	Pakeičia numatytąjį procesoriaus rodinį į atminties rodinį. Rodo atminties naudojimo metriką.
-x	Išplėstinė išvestis: CPU, atmintis ir gijos tame pačiame rodinyje. Išsami apžvalga viena komanda.
-t	Procesų medis su visų aktyvių gijų statistika, sugrupuota pagal jų savininko procesą. Vizualizuokite hierarchiją ir santykius.
-s [š]	Užduočių tvarkyklės režimas pasirinktinai n sekundžių. Paspauskite „Escape“, kad nutrauktumėte. Nuolatinis atnaujinimas konsolėje.
-rn	Užduočių tvarkyklės režimo atnaujinimo intervalas sekundėmis; numatytoji reikšmė 1. Koreguokite atnaujinimo dažnį.
\\įranga	Užklauskite nuotolinę „Windows“ sistemą, o ne vietinę. Reikalingi galiojantys prisijungimo duomenys ir nuotolinis registras.
-u vartotojas	Vartotojo vardas, skirtas prisijungti prie nuotolinio kompiuterio. Gali būti įtrauktas domenas, jei taikoma.
-p slaptažodis	Vartotojo slaptažodis. Perduodamas atviru tekstu; jei praleistas, bus prašoma paslėptu būdu. Naudokite atsargiai scenarijuose.
pavadinimas	Filtruoti procesus, kurie prasideda nurodytu pavadinimu. Greitas fokusavimas pagal prefiksą.
-e	Priverčia tiksliai atitikti proceso pavadinimą. Venkite klaidingų teigiamų rezultatų dėl panašių prefiksų.
pid	Užuot išvardijęs viską, jis rodo proceso su nurodytu PID statistiką. Tiksli diagnozė pagal identifikatorių.
-?	Rodo pagalbą dėl parinkčių ir matavimo vienetų. Priminimas apie naudojimą iš linijos.
-accepteula	Pirmą kartą ištrinkite licencijos pranešimą. Palengvina neinteraktyvų vykdymą.

Kokią informaciją rodo ir atminties santrumpos

Pagal numatytuosius nustatymus matysite bendrą proceso vykdymo laiką, laiką branduolio ir vartotojo režimuose, taip pat skirtą fizinę atmintį. Su -m teikiate pirmenybę atminties informacijai, o ne procesoriaus informacijai, o su -x sujungiate procesorių, atmintį ir gijas.

„PsList“ naudoja „Windows“ našumo skaitiklius, kad gautų pateikiamus duomenis, kaip ir „PerfMon“. Šis metodas užtikrina, kad rodikliai atitiktų pačios sistemos rodiklius. ir venkite pasikliauti nestabiliomis API.

Atminties vienetai išreiškiami kilobaitais. Išvestyje rodomos šios santrumpos:

• Pri: proceso prioritetas.
• Thd: gijų skaičius.
• Hnd: identifikatorių skaičius.
• VM: virtuali atmintis.
• WS: darbinis rinkinys.
• PRIV: privati ​​virtuali atmintis.
• Priv Pk: privačios virtualios atminties pikas.
• Gedimai: puslapio klaidos.
• Ne P: nepuslapinis telkinys.
• puslapis: puslapiuotas telkinys.
• Cswtch: kontekstas keičiasi.

Šių žymų supratimas yra labai svarbus tiriant neįprastą atminties naudojimą, išteklių nutekėjimą ar konteksto perjungimo audras. Su jais galite atskirti, ar problema susijusi su darbiniu rinkiniu, privačia atmintimi ar puslapiavimo valdymu..

Praktiniai pavyzdžiai ir naudojimo atvejai

Norint išvardyti procesus nuotoliniame kompiuteryje, pavadintame workstation64, reikia, kad būtų aktyvi nuotolinio registro paslauga. Galime jį paleisti ir užklausti procesus naudodami šias komandas:

C:\> SC \\workstation64 paleiskite „RemoteRegistry“
C:\> pslist.exe \\workstation64

Filtravimas pagal pavadinimo prefiksą yra toks pat paprastas, kaip ir dalinio pavadinimo naudojimas. Šiame pavyzdyje rodomi procesai, kurių pavadinimas prasideda raide exp:

pslist išraiška

Norėdami matyti tik tikslaus proceso informaciją, naudokite -e tiksliam atitikimui. Tokiu būdu išvengsite šalutinių procesų, kurie turi tą patį prefiksą, fiksavimo.:

pslist -e explorer

Jei žinote PID, galite sutelkti dėmesį į vieną procesą. Ši komanda iškelia 53 proceso statistiką:

pslist 53

Nuotolinis autentifikavimas naudojant interaktyvų slaptažodžio užklausą, vengiant jo rodymo atviru tekstu komandinėje eilutėje. „PsList“ paprašys paslapties:

pslist \\MAQUINA -u MAQUINALOGIN

Sutrumpintos išvesties pavyzdys nuotolinėje užklausoje, kurioje „PsList“ prašo slaptažodžio, rodo antraštę ir pagrindinius stulpelius. Atminkite, kad atminties laukai yra KB:

PsList – proceso informacijos sąrašas
MAŠINOS proceso informacija:
Pavadinimas Pid Pri Thd Hnd Priv CPU laikas Praėjęs laikas
Neveikos būsena 0 0 2 0 0 1:15:30.953 0:00:00.000
Sistema 4 8 74 378 0 0:00:10.765 0:00:00.000

Kai reikia stebėti kelis rodiklius realiuoju laiku, praverčia užduočių tvarkyklės režimas. Su -s įjungiate nuolatinį rodinį, o su -r reguliuojate intervalą:

pslist -s 30 -r 2

Proceso medis ir gijos detalė

Pasirinkus „-t“, sukuriamas medis, kuris grupuoja gijas pagal joms priklausantį procesą, todėl lengva matyti hierarchijas, tėvus ir vaikus. Injekcijos scenarijuose arba našlaičių procesuose šis rodinys yra svarbus..

Jei jums taip pat reikia gijų detalumo, pridėkite -d, kad gautumėte metriką kiekvienai gijai. Kartu su -x matysite procesoriaus, atminties ir gijų duomenis viename rezultate., supaprastinant sudėtingą analizę nesujungiant kelių komandų.

Diegimas, licencijavimas ir pradžia

Nereikia diegti jokio „PsTools“ įrankio. Įkelkite pslist.exe į aplanką, esantį jūsų PATH arba dabartiniame kataloge, ir paleiskite jį.Norėdami pamatyti išsamią pagalbą, galite iškviesti parinktį -?.

Pirmojo paleidimo metu rodoma „Sysinternals“ EULA. Automatizuotoms aplinkoms yra jungiklis „-accepteula“ arba išankstinio priėmimo registracija. pridedant šį raktą prie vartotojo profilio:

„Set-ItemProperty“ – kelias „Registry::HKEY_CURRENT_USER\Software\Sysinternals“ – pavadinimas „EulaAccepted“ – reikšmė 1

Jei dirbate nuotoliniu būdu, įsitikinkite, kad turite administratoriaus teises tiksliniame kompiuteryje ir įjunkite nuotolinio registro paslaugą. Priešingu atveju, nuotolinės sistemos našumo skaitiklių nuskaityti negalima. ir užklausa nepavyks.

Kaip veikia PsList (žemiau)

„PsList“ gauna informaciją iš „Windows“ našumo skaitiklių, kaip ir „PerfMon“ konsolė. Šis mechanizmas prieinamas nuo „Windows NT“ ir „2000“ versijų. ir yra palaikomas dabartinėse versijose, o tai paaiškina jo metrikų nuoseklumą laikui bėgant.

Pasikliaudamas skaitiklio posisteme, „PsList“ nereikalauja invazinių metodų ar žemo lygio kabliukų. Tai sumažina nestabilumo riziką ir užtikrina patikimus procesoriaus, atminties ir gijų duomenis., suderinta su tuo, ką matytumėte vietiniuose „Windows“ įrankiuose.

„PsTools Suite“: seserinės programos ir darbo eiga

„PsList“ dar labiau sužiba, kai derinamas su kitomis „PsTools“ paketo programomis. Tai yra įrankiai, įtraukti į rinkinį pagal dokumentaciją:

• PsExec: vykdyti procesus nuotoliniu būdu.
• PsFiles: : rodyti nuotoliniu būdu atidarytus failus.
• PsGetSid: rodyti kompiuterio arba vartotojo SID.
• PsInfo: sistemos informacijos sąrašas.
• PsPing: matuoti tinklo našumą.
• PsKill: Nutraukti procesus pagal pavadinimą arba PID.
• PsList: pateikite išsamią informaciją apie procesą.
• PsLoggedOn: Matykite, kas prisijungęs vietoje arba per bendrinamus išteklius.
• PsLogList: iškelti įvykių žurnalus.
• PsPasswd: pakeisti paskyros slaptažodžius.
• PsService: peržiūros ir valdymo paslaugos.
• PsShutdown: Išjunkite arba paleiskite kompiuterį iš naujo.
• PsSuspend: sustabdyti procesus.

Įprastas veiksmų planas yra surasti procesą naudojant „PsList“ (filtruojant pagal tikslų pavadinimą su prefiksu „-eo“), įvertinti jo sunaudojimą ir, jei reikia, jį nutraukti naudojant „PsKill“. Prieš priimdami sprendimus, taip pat galite išgauti sistemos inventorių naudodami „PsInfo“..

Vienetai, išvestis ir rodymo režimai

Pagal numatytuosius nustatymus „PsList“ teikia pirmenybę procesoriaus ir laiko metrikoms. Jei jūsų dėmesys sutelktas į atmintį, nepamirškite įjungti / išjungti mygtuko „-m“, kad pamatytumėte darbinį rinkinį, privačią atmintį ir pikus. su didesniu išryškėjimu.

Nuolatinis režimas su -s puikiai tinka užfiksuoti akimirksniu fotografuojamus energijos pliūpsnius, kurie pasimeta vienoje nuotraukoje. Nustatykite -r, kad sumažintumėte triukšmą arba padidintumėte detalumą priklausomai nuo procesų apimties ir sistemos apkrovos.

Ekvivalentai ir susijusios komandos

„Windows“ ekosistemoje turite alternatyvų, priklausomai nuo konteksto. Užduočių tvarkyklė yra vaizdinė nuoroda, o TASKLIST siūlo pagrindinį sąrašą iš CMD; Kai kuriose versijose TLIST pateikia pilnus kelius.

„PowerShell“ programoje „Get-Process“ atlieka panašias funkcijas, nors ir skirtingo gylio bei formato. „Linux“ arba „WSL“ scenarijams natūrali analogija yra komanda „ps“., kuris iš pradžių įkvėpė šią įrankių šeimą.

Teismo ekspertizės ir našumo užduotims galite derinti „PsList“ su „ProcDump“, kad užfiksuotumėte išklotines piko metu, arba su „OPENFILES“, kad ištirtumėte atidarytus failus. „Sysinternals“ ekosistema apima viską – nuo ​​diagnostikos iki nuotolinio valdymo. su minimaliu trintimi.

Saugumas, įgaliojimai ir geroji praktika

Pasirinkus „-p“, slaptažodis perduodamas aiškiu tekstu, o tai nėra idealu scenarijuose ar bendruose seansuose. Pageidautina praleisti „-py“, kad „PsList“ slapta prašytų slaptažodžio. kai tai įmanoma.

Norint užtikrinti kontroliuojamą automatizavimą, „-accepteula“ ir išankstinės EULA registracijos metu vengiama interaktyvių pauzių. Nepamirškite paleisti su vartotoju, turinčiu pakankamas teises tiek vietiniame, tiek nuotoliniame kompiuteryje.

Jei nuotolinė užklausa nepavyksta, patikrinkite ryšį, teises ir ar paleista nuotolinio registro tarnyba. Greitas SC \\team paleidimas „RemoteRegistry“ paprastai atrakina skaitiklio rodmenis kai visa kita tvarkoje.

Versijos, kategorija ir istorinės pastabos

„PsList“ bėgant metams vystėsi ir yra minimas įvairiuose techniniuose duomenų lapuose ir kataloguose. Istorinėje medžiagoje matysite tokias versijas kaip 1.26 arba v1.4., kartu su senesniais naujausiais atnaujinimų aprašymais iš saugyklų arba techninių portalų.

Naujausioje „Sysinternals“ dokumentacijoje „PsList“ ir likusi „PsTools“ dalis pateikiamos kaip vieno paketo dalis. Įprasta kategorija yra procesų įrankiai ir oficialiame atsisiuntime yra visi įrankiai su jų HTML pagalba.

Pažangios integracijos ir rezultatų praturtinimas

Nors „PsList“ pati neskaičiuoja maišų ir netikrina parašų, ją galima integruoti į didesnius darbo procesus, kuriuose galima pridėti metaduomenis, pvz., vykdomųjų failų maišas arba „Authenticode“ patvirtinimą. Šiose integracijose įprasta kirsti PID, dvejetainį kelią, komandinę eilutę ir vartotojo kodą. su prieigos raktu arba skaitmeninio parašo informacija.

Yra operacinių sistemų, kurios atrenka procesus pagal reguliarias išraiškas pavadinime, PID, vykdomojo failo kelyje arba komandinėje eilutėje ir filtruoja nepatikimus dvejetainius failus pagal „Authenticode“. Toks praturtinimas yra naudingas nustatant rizikos prioritetus. ir sutelkti dėmesį į reagavimą į incidentus.

Suite diegimas ir palaikymas

„PsTools“ programų rinkinys platinamas viename pakete, kuriame yra pagalbos failas su kiekvieno įrankio naudojimo instrukcijomis. Jam nereikia jokių komponentų nuotoliniuose kompiuteriuose ir jis veikia tiesiogiai su atitinkamais jungikliais.Jei jums reikia atsakymų į kokius nors klausimus, „Sysinternals“ forumai istoriškai buvo bendruomenės palaikymo etalonas.

Įdomu tai, kad „PsList“ buvo vienas pirmųjų įrankių rinkinyje ir suformavo „PsTools“ būdingą beagentę nuotolinio administravimo filosofiją. Šis metodas išlieka aktualus ir šiandien dėl mažų eksploatavimo išlaidų ir patikimumo..

„PsList“ yra sukurtas kaip lengvas ir galingas įrankis, skirtas suprasti, kas vyksta atmintyje ir procesoriuje realiuoju laiku, lokaliai arba nuotoliniu būdu. Valdykite savo parametrus -m, -d, -t, -x, -s ir -r bei rūpinkitės leidimų reikalavimais ir nuotoliniu registru, galite greitai diagnozuoti, priimti sprendimus ir automatizuoti svarbius patikrinimus sistemoje „Windows“.