[TOC] > [sysinternals](https://learn.microsoft.com/zh-cn/sysinternals/) ## 下载 1. 推荐: 在 microsoft store 中下载 Sysinternals Suite, 下载后可直接在 开始栏中搜索 2. 点击下载整个工具箱 https://download.sysinternals.com/files/SysinternalsSuite.zip ## 介绍 ``` AccessChk AccessChk 是一个命令行工具，用于查看对文件、注册表项、服务、进程、内核对象等的有效权限。 AccessEnum 这个简单但功能强大的安全工具显示谁有权访问系统上的目录、文件和注册表项。 使用它来查找权限中的漏洞。 AdExplorer Active Directory 资源管理器是高级 Active Directory (AD) 查看器和编辑器。 AdInsight LDAP (轻型目录访问协议) 实时监视工具，用于对 Active Directory 客户端应用程序进行故障排除。 Autologon 在登录期间绕过密码屏幕。 Autoruns 查看在系统启动时和登录时配置为自动启动的程序。 自动运行还会显示注册表和文件位置的完整列表，应用程序可在其中配置自动启动设置。 BgInfo 此完全可配置的程序自动生成桌面背景，其中包含有关系统的重要信息，包括 IP 地址、计算机名称、网络适配器等。 BlueScreen 此屏幕保护程序不仅可准确模拟蓝屏，而且模拟重启 (CHKDSK) 完成，适用于 Windows NT 4、Windows 2000、Windows XP、Server 2003 和 Windows 95 和 98。 CacheSet CacheSet 是一个程序，可用于使用 NT 提供的函数控制缓存管理器的工作集大小。 它与所有版本的 NT 兼容。 ClockRes 查看系统时钟的分辨率，这也是最大计时器分辨率。 Contig 希望能够快速对常用文件进行碎片整理？ 使用 Contig 优化单个文件，或创建连续的新文件。 Coreinfo Coreinfo 是一个新的命令行实用工具，它显示逻辑处理器与物理处理器、NUMA 节点和它们所在的套接字之间的映射，以及分配给每个逻辑处理器的缓存。 DebugView Sysinternals 的另一个第一个：此程序截获由设备驱动程序和 Win32 程序发出的 OutputDebugString 对 DbgPrint 的调用。 它允许在没有活动调试器的情况下查看和记录本地计算机或 Internet 上的调试会话输出。 Desktops 使用此新实用工具，可以创建最多四个虚拟桌面，并使用托盘界面或热键预览每个桌面上的内容，并在它们之间轻松切换。 Disk2vhd Disk2vhd 简化了将物理系统迁移到虚拟机 (p2v.md) 。 DiskExt 显示卷磁盘映射。 Diskmon 此实用工具捕获所有硬盘活动或充当系统托盘中的软件磁盘活动灯。 DiskView 图形磁盘扇区实用工具。 按目录查看磁盘使用情况。 EFSDump 查看加密文件的信息。 FindLinks FindLinks 报告指定文件存在的同一 volume.md) 上的文件索引和任何硬链接 (备用文件路径。 只要文件至少有一个引用它的文件名，文件的数据将保持分配状态。 Handle 这个方便的命令行实用工具将显示哪些文件由哪些进程打开，等等。 Hex2dec 将十六进制数转换为十进制数，反之亦然。 交接点 创建 Win2K NTFS 符号链接。 LDMDump 转储逻辑磁盘管理器的磁盘上数据库的内容，该数据库描述 Windows 2000 动态磁盘的分区。 ListDL 列出当前加载的所有 DLL，包括其加载位置及其版本号。 LiveKd 使用 Microsoft 内核调试器检查实时系统。 LoadOrder 查看设备在 WinNT/2K 系统上的加载顺序。 LogonSessions 列出系统上的活动登录会话。 MoveFile 允许计划下一次重新启动的移动和删除命令。 NotMyFault Notmyfault 是一种工具，可用于在 Windows 系统上崩溃、挂起和导致内核内存泄漏。 NTFSInfo 使用 NTFSInfo 查看有关 NTFS 卷的详细信息，包括主文件表的大小和位置 (MFT) 和 MFT 区域，以及 NTFS 元数据文件的大小。 PendMoves 枚举将在下一次启动时执行的文件重命名和删除命令的列表。 PipeList 显示系统上的命名管道，包括每个管道的最大实例和活动实例数。 PortMon 使用此高级监视工具监视串行和并行端口活动。 它了解所有标准串行和并行 IOCTL，甚至显示发送和接收的一部分数据。 版本 3.x 具有强大的新 UI 增强功能和高级筛选功能。 ProcDump 此命令行实用工具旨在捕获其他情况下难以隔离和重现 CPU 峰值的进程转储。 它还充当常规进程转储创建实用工具，还可以在进程具有挂起窗口或未经处理的异常时监视和生成进程转储。 进程资源管理器 了解哪些文件、注册表项和其他对象进程已打开，哪些 DLL 已加载，等等。 这个独特强大的实用工具甚至会向你显示谁拥有每个进程。 进程监视器 实时监视文件系统、注册表、进程、线程和 DLL 活动。 PsExec 在远程系统上执行进程。 PsFile 查看远程打开的文件。 PsGetSid 显示计算机或用户的 SID。 PsInfo 获取有关系统的信息。 PsKill 终止本地或远程进程。 PsPing 衡量网络性能。 PsList 显示有关进程和线程的信息。 PsLoggedOn 显示登录到系统的用户。 PsLogList 转储事件日志记录。 PsPasswd 更改帐户密码。 PsService 查看和控制服务。 PsShutdown 关闭计算机，并选择性地重启计算机。 PsSuspend 暂停和恢复进程。 PsTools PsTools 套件包括命令行实用工具，用于列出在本地或远程计算机上运行的进程、远程运行进程、重启计算机、转储事件日志等。 RAMMap 高级物理内存使用情况分析实用工具，可在多个不同的选项卡上以不同方式显示使用情况信息。 RDCMan 管理多个远程桌面连接。 RegDelNull 扫描并删除包含嵌入的 null 字符的注册表项，这些字符本来可由标准注册表编辑工具取消删除。 查看指定注册表项的注册表空间使用情况。 RegJump 跳转到在 Regedit 中指定的注册表路径。 SDelete 使用此符合 DoD 标准的安全删除程序安全地覆盖敏感文件并清理以前删除的文件的可用空间。 ShareEnum 扫描网络上的文件共享并查看其安全设置以关闭安全漏洞。 ShellRunas 通过方便的 shell 上下文菜单条目以其他用户身份启动程序。 Sigcheck 转储文件版本信息，并验证系统上的映像是否已进行数字签名。 strings 在二进制图像中搜索 ANSI 和 UNICODE 字符串。 Sync 将缓存的数据刷新到磁盘。 Sysmon 通过 Windows 事件日志监视和报告关键系统活动。 TCPView 活动套接字查看器。 VMMap VMMap 是进程虚拟和物理内存分析实用工具。 VolumeId 设置 FAT 或 NTFS 驱动器的卷 ID。 Whois 查看谁拥有 Internet 地址。 WinObj 此处提供了最终对象管理器命名空间查看器。 ZoomIt 用于在屏幕上缩放和绘图的演示文稿实用工具。 ```