Лабораторная работа: Утилиты командной строки Windows для работы с сетью
Лабораторная работа: Утилиты командной строки Windows для работы с сетью
Подготовительная часть
Для проведения данной лабораторной работы необходим компьютер под управлением операционной системы Microsoft Windows 2000, XP или более старшей версии.
Все команды будут выполняться в командном интерпретаторе. Для его запуска необходимо нажать кнопку «Пуск» и выбрать раздел «Выполнить…». В строке ввода указать имя команды:
и нажать кнопку “Ok”. Откроется окно интерпретатора. Команды вводятся с клавиатуры, завершаются вводом “Enter”. Предыдущие команды можно вызвать для редактирования и последующего выполнения с помощью курсорной клавиши «Вверх».
Утилита ipconfig
Данная программа предназначена для получения информации о настройках протокола TCP/IP сетевых интерфейсов ОС Windows. Для получения краткой информации о настройках необходимо выполнить команду ipconfig без параметров.
Выполните команду ipconfig и запишите информацию об IP-адресе, маске сети и шлюзе по умолчанию для сетевого адаптера.
Для получения подробной информации о настройках TCP/IP необходимо выполнить команду ipconfig с ключом /all, т. е. ipconfig /all
Выполните команду ipcofig /all и запишите информацию об аппаратном адресе сетевой карты, списке DNS-серверов сетевого подключения.
Утилита ping
Данная программа предназначена для проверки доступности удаленного узла по сети. Для этого используется служебный протокол ICMP. С локальной машины на удаленный узел посылается запрос с кодом “echo-request” и в течение некоторого времени локальная машина ожидает ответа “echo-reply”. Если такой ответ не получен, то причин может быть несколько:
1) если получено диагностическое сообщение по протоколу ICMP, то необходимо проанализировать это сообщение (например, требуется фрагментация пакета);
2) если ничего не получено, то удаленный узел не отвечает на запрос (не включен или на узле ответ блокирует брандмауэр), либо время прохождения пакетов по линии связи больше чем время ожидания ответа – в этом случае следует увеличить время ожидания.
В простейшем случае в качестве аргумента команде необходимо указать имя узла (DNS-имя или NetBIOS-имя) или IP-адрес узла, например: ping 10.20.30.40
Проверьте доступность по сети шлюза по умолчанию и любого соседнего компьютера.
Среди дополнительных опций команда ping принимает флаг –f, который запрещает фрагментацию IP-пакетов. Так как сетевой уровень абстрагируется от используемой технологии канального уровня, то необходим механизм, с помощью которого можно передавать блоки данных произвольной длины через различные транспортные сети с их собственными технологиями канального уровня, которые имеют разные ограничения на размер кадра (MTU). В случае если пакет данных плюс служебные заголовки превышает размер кадра, то пакет разбивается на фрагменты, которые уже могут быть переданы в кадрах канального уровня. На конечном узле фрагменты собираются в единый пакет данных.
Вторая опция команды – это флаг —l, после которого через пробел указывается цифра – размер буфера, который будет посылаться на удаленный узел в пакете ICMP. Используя совместно ключи — l и — f можно выяснить максимальный размер блока данных, помещенного в IP-пакет, который еще иначе называется MSS (максимальный размер сегмента). MSS будет равен длине блока данных + длина ICMP заголовка, который равен 8 байт в случае команды ping. Размер стандартного заголовка IP-пакета равен 20 байт. Таким образом MTU = “размер буфера команды ping” + 8 + 20.
Экспериментально выясните максимальный размер кадра канального уровня (MTU) в сети ВГУЭС. Для этого необходимо посылать пакеты различной длины при установленном флаге запрета фрагментации. В качестве удаленного узла можно выбрать адрес шлюза по умолчанию или адрес любого соседнего компьютера. Начните с начального значения размера буфера 1500.
Еще один флаг команды – это флаг —a, который позволяет получить имя DNS по адресу компьютера (как правило IP-адресу).
Определите DNS-имя любого соседнего компьютера по его IP-адресу.
Следующий флаг команды – это флаг —i, который позволяет задать TTL – «время жизни» посылаемых пакетов. Для решения проблем наличия петель в маршрутизации и, соответственно, бесконечной циркуляции IP-пакетов в сети, каждый посылаемый пакет имеет поле TTL, которое содержит некоторое целое число. Это число уменьшается на единицу при каждом прохождении пакета маршрутизаторов. В тот момент, когда значение TTL станет равным 0, такой пакет отбрасывается, а отправителю по протоколу ICMP отправляется уведомление о том, что пакет отброшен из-за нулевого TTL. По рекомендации RFC 1700 начальное значение TTL должно быть 64. Таким образом, это обеспечивает прохождение пакетом до 63 промежуточных маршрутизаторов. Различные операционные системы могут выбирать начальное значение TTL по-разному.
Приходящее уведомление о нулевом значении TTL помимо всего прочего содержит и IP-адрес маршрутизатора, на котором произошло обнуление TTL. Таким образом, посылая пакеты с начальным TTL = 1 и увеличивая TTL на единицу, можно получить список всех маршрутизаторов на пути следования пакета от отправителя к получателю.
Определите список маршрутизаторов на пути следования пакетов от локального компьютера до адреса 192.168.100.1 и до адреса www. *****.
Утилита tracert
Данная утилита автоматизирует рассмотренный ранее процесс получения промежуточных маршрутизаторов с помощью утилиты ping. В простейшем случае в качестве аргумента команде необходимо указать имя узла (DNS-имя или NetBIOS-имя) или IP-адрес узла, например: tracert 10.20.30.40
Определите список маршрутизаторов на пути следования пакетов от локального компьютера до адреса 192.168.47.1 и до адреса mail. *****.
По умолчанию tracert выполняет преобразование полученных IP-адресов маршрутизаторов в символьные имена DNS. Это замедляет работу tracert, поэтому если преобразование не требуется, то можно указать ключ –d
Определите список маршрутизаторов на пути следования пакетов от локального компьютера до адреса 192.168.47.1 и до адреса mail. ***** без преобразования IP-адресов в имена DNS.
Утилита route
Утилита route позволяет получить/изменять таблицу маршрутизации локального компьютера. Для того чтобы получить таблицу маршрутизации, необходимо выполнить команду route с параметром print, т. е. route print
Получите таблицу маршрутизации локального компьютера.
Для внесения изменений в таблицу маршрутизации используются параметры add и delete.
Утилита arp
Данная утилита позволяет получить таблицу соответствия IP-адресов и MAC-адресов. В связи с тем, что сетевой уровень вводит свою систему адресов, уникальных в пределах все составной сети, то необходим механизм, с помощью которого можно преобразовывать IP-адреса в аппаратные адреса канального уровня, используемой транспортной сети.
В случае если IP-адрес назначения находится в подсети, подключенной напрямую к одному из сетевых интерфейсов компьютера (т. е. не используя шлюз), то отправитель может отправить пакет данных «напрямую. Для этого отправитель посылает в соответствующий сетевой интерфейс (согласно таблице маршрутизации) широковещательный запрос по протоколу ARP, содержащий следующие данные:
Тот компьютер, который владеет искомым IP-адресом, отвечает на запрос. При этом результат опроса, т. е. MAC-адрес конечного компьютера, сохраняется в таблице ARP отправителя в течение некоторого времени, после которого запись удаляется. Конечный компьютер так же сохраняет в своей таблице ARP соответствие IP-адреса и MAC-адресе отправителя.
Если же удаленный узел достижим через шлюз, то пакет передается ему, и он принимает решение о методе доставке конечному узлу. В этом случае ARP запрос будет послан для выяснения аппаратного адреса шлюза.
Для получения таблицы ARP, необходимо запустить команду arp с ключом — a, т. е. arp —a
Получите таблицу ARP локального компьютера.
Команда arp также позволяет выполнять модификацию таблицы маршрутизации с помощью ключей — s и — d (добавление и удаление соответственно).
Утилита netstat
Если запустить команду netstat без параметров, то можно получить список активных TCP соединений между локальным и удаленными компьютерами. В колонке «состояние» отображается статус TCP-соединения.
Получите список активных TCP-соединений локального компьютера.
По умолчанию netstat выполняет преобразование полученных IP-адресов в символьные имена DNS и номера портов в название сетевых служб. Это замедляет работу netstat, поэтому если преобразование не требуется, то можно указать ключ –n
Получите список активных TCP-соединений локального компьютера без преобразования IP-адресов в символьные имена DNS.
Если указать ключ —a, то в списке соединений будут указаны также и прослушиваемые компьютером порты TCP и UDP.
Получите список прослушиваемых компьютером портов TCP и UDP с и без преобразования IP-адресов в символьные имена DNS.
Утилита netstat в операционной системе Windows XP и старше поддерживает ключ —o, с помощью которого можно получить название/идентификатор процесса, создавшего/прослушивающего соединение.
Утилита telnet
Данная программа изначально была предназначена для реализации сеансов удаленного терминала с компьютером по сети по протоколу telnet. В качестве «побочного» эффекта утилиты можно отметить ее способность проверять прослушиваемые порту протокола TCP. Формат выполнения команды следующий:
Хост – это удаленный компьютер, порт – это номер TCP-порта.
Вот значения номеров портов широко известных сетевых служб:
Лабораторная работа 7 УТИЛИТЫ WINDOWS
1 Лабораторная работа 7 УТИЛИТЫ WINDOWS 1. Цель работы и задачи Теоретическая часть Описание лабораторного оборудования Задание Методика выполнения задания Требования к содержанию и оформлению отчета Контрольные вопросы Критерии оценки выполнения лабораторной работы Литература Цель работы и задачи Целью работы является практическое изучение возможностей утилит Windows на примере наиболее характерных операций. Задачами работы является: закрепление навыков использования аналога диспетчера задач; овладение методикой масштабирования и редактирования презентаций в демонстрации; приобретение навыков управления мониторингом системы, процессами, потоками. 2. Теоретическая часть Утилиты — обслуживающие программы, которые предоставляют пользователю сервисные функции. Многие из утилит обладают развитым диалоговым интерфейсом с пользователем и приближаются по уровню общения к оболочкам. Остальные же используются путем их запуска с определенными аргументами. Программы утилиты — это специальные компьютерные программы для выполнения особых функций, предназначенные для расширения возможностей операционных систем. Это могут быть безвозвратное удаление файлов, восстановление данных, оптимизация Windows, очистка реестра и другие важные задачи.
2 Обычно программы-утилиты имеют не очень большой размер и значительно увеличивают диапазон взаимодействия с Windows. Утилиты могут быть встроенными в ОС и представлять собой часть оболочки или быть самостоятельными программами. Существующие в настоящее время утилиты обеспечивают реализацию таких функций: а) Обслуживание дисков, а именно: — форматирование дисков в нескольких режимах; восстановление ошибочно удаленных файлов, а также в случае разрушения; — дефрагментация файлов на диске, вследствие чего время доступа к файлам сокращается до 30% и облегчается восстановление информации в случае разрушения; — надежное затирание конфиденциальной информации. б) утилиты печати; в) шифрование информации; г) защита от компьютерных вирусов; д) архивация данных. 3.Описание лабораторного оборудования Веб-узел Sysinternals был создан в 1996 г. Марком Руссиновичем (Mark Russinovich) и Брюсом Когсвеллом (Bryce Cogswell) для размещения созданных ими усовершенствованных сервисных программ и технической информации. В июле 2006 г. корпорация Microsoft приобрела компанию Sysinternals. Пакет программ Sysinternals Suite можно скачать по ссылке — Пакет содержит более 60 утилит для анализа и мониторинга системы, работы с файлами и дисками, сетевые и диагностические программы. Сервисные программы Sysinternals помогают как специалистам по информационным технологиям, так и разработчикам управлять, находить и устранять неисправности и выполнять диагностику приложений и операционной системы Windows.
3 Process Explorer — программа, предназначенная для мониторинга системных ресурсов. Обладает более богатым функционалом, чем стандартный Диспетчер Задач. Это системная утилита, позволяющая отслеживать процессы, происходящие на компьютере. С ее помощью всегда можно узнать, что происходит в операционной системе в данный момент. Среди основных отличий Process Explorer от Диспетчера Задач отмечают следующие: отображение запущенных процессов в виде древовидной структуры; наличие средств графического отображения данных (для повышения качества восприятия информации); применение разноцветной подсветки данных (для удобства восприятия); вывод информации об используемых системой динамически подключаемых библиотеках; возможность запуска программ с различными правами пользователя; Интерфейс программы представляет собой два окна, в которых отображаются текущие процессы. В верхнем окне программы отображаются все процессы с указанием учетных записей, которым эти процессы соответствуют. В нижнем окне, в зависимости от режима работы, могут отображаться все запущенные в данный момент дескрипторы, а в режиме DLL все динамические библиотеки, загруженные в память тем или иным процессом. Это позволяет с точностью определить, какому процессу соответствует отображаемая информация. Это весьма полезно для пользователей, которые имеют навыки обращения с операционными системами по системной части. Кроме всего прочего, программа обладает качественным поиском. Всегда точно можно узнать, с помощью какого приложения был открыт тот или иной файл, какие библиотеки загружены тем или иным дескриптором. Возможности программы предусматривают изменение какоголибо процесса, или же, его полную остановку и выгрузку из памяти компьютера. Кроме всего прочего, с помощью Process Explorer предусмотрена возможность запускать любые приложения, выключать, перезагружать и даже заблокировать компьютер, сохранять в текстовом LOG-файле список всех процессов с
4 подобным описанием процессов и размером занятой каждым из них памяти, находить используемые библиотеки, включать подсветку цветом определенных процессов и многое другое. Это, в свою очередь, помогает контролировать работающие процессы и получать подробнейшую информацию по каждому из них, а также характеристики использования системных ресурсов. Скачать Process Explorer можно по ссылке После запуска файла procexp.exe (3,38МБ) в окне с лицензионным соглашением Process Explorer License Agreement нужно нажать Agree: Рисунок 1 Лицензионное соглашение После запуска программы в области уведомлений Панели задач появляется характерный значок, при наведении на него курсора мыши появляется всплывающая подсказка с информацией о загрузке центрального процессора и о том, какой процесс больше всего загружает CPU: Рисунок 2 Знак Process Monitor на панели задач Process Monitor — программа следит за разнообразной активностью в системе, анализируя события в системном реестре, сети, системных процессах и файловой системе. Эта программа для мониторинга файловой системы, реестра и процессов в оперативной памяти. Эта утилита объединяет в себе возможности программ Filemon (мониторинг файловой системы) и Regmon
5 (мониторинг реестра), но при этом Process Monitor обладает более широкими возможностями. В утилите доступен просмотр всех загруженных библиотек и внутренних kernel-драйверов различных устройств, вывод детальной информации о каждом процессе (полный путь к файлу, ID сессии, имя пользователя). Каждая колонка с данными, отображаемыми в программе, может перемещаться и удаляться, присутствует возможность устанавливать на каждый тип данных фильтр. Другие возможности Process Monitor: отслеживание запуска и завершения работы процессов и потоков, включая информацию о коде завершения; безвредные фильтры позволяют устанавливать фильтры, которые не будут приводить к потере данных; сбор стеков потоков для каждой операции позволяет в большинстве случаев определить исходную причину выполнения операции; дерево процессов отображает отношения между всеми процессами, перечисленными в сведениях трассировки; основной формат журнала сохраняет все данные, чтобы их можно было загрузить в другом экземпляре программы Process Monitor; подсказки к процессам для простого просмотра информации об образе процесса; детальные подсказки позволяют получить удобный доступ к форматированным данным, которые не помещаются в колонке; прекращаемый поиск. 4.Задание 1. Запустить утилиту Process Explorer и выполнить следующие задания: a) Записать в отчет текущую общую загруженность процессора и объем занятой оперативной памяти (отдельно размер своп-файла и физической памяти).
6 b) Открыть любой текстовый файл. Свернуть окно процесса winword c помощью программы Process Explorer. c) Назначить для сочетания клавиш [Ctrl+Alt+Delete] выполнение программы Process Explorer, а не Диспетчера Задач. d) Определить, сколько потоков у процессов explorer и procexp. e) Выяснить, откуда запускается программа Process Explorer, сколько % ресурсов процессора и ОЗУ занимает данная программа. f) Расположить столбцы окна программы в следующем порядке: CPU, PID, Working set, Private bytes. Сохранить такой вид программы. g) Определить количество запущенных процессов. h) Отсортировать по столбцу Working set и определить, какой процесс занимет больше всего ОЗУ(имя процесса и ID). i) Зарисовать в отчет дерево процессов, подсчитать количество родительских процессов и процессов-сирот. j) Определить, какой процесс больше всего загружает процессор в данный момент. k) Запишите какие процессы стали «сиротами», после завершения процесса explorer. 2. Запустить утилиту Process Monitor и выполнить следующие задания: a) Изучить панель инстурментов утилиты; b) Проанализиировать результат выполнения запросов по всем процессам в таблице Process Monitor; c) Запустить Диспетчер Задач, найти соответствующий процесс в окне данных Process Monitor, оставить в списке процессов только его в режиме просмотра активности реестра и и проанализировать: к какому ключу было последнее обращение? Тип обращения? Перейти к данному объекту в редакторе реестра. d) Настроить вид так, чтобы отображалась только активность файловой системы, выключить запись событий и проанализировать: к какому файлу было последнее обращение? Тип обращения? Открыть в проводнике этот файл.
7 e) Настроить фильтр, работающий по следующему правилу: «Не отображать события, в поле имени компании которых присутствует значение Microsoft Corporation». 3. Запустить утилиту Desktops и выполнить следующие задания: a) Создать дополнительный рабочий стол и настроить горячие клавиши переключения между ними. b) Запустить одину и ту же программу(например, Paint) на разных рабочих столах и проанализировать, каким образом отображаются процессы разных рабочих столов в диспетчере задач? 4. Запустить утилиту ZoomIt и выполнить следующие задания: a) Увеличить область системного трея, обвеcти маркером значок ZoomIt, сделать скриншот и добавить в отчет. b) Включить таймер на 1 минуту в правом верхнем углу экрана на фоне затемненного рабочего стола. 5. Методика выполнения задания 5.1 Process Explorer Рабочая область программы Process Explorer состоит из двух окон(рис.3). В верхнем окне отображается список активных процессов, включая названия учетных записей, которым принадлежат эти процессы. Информация, которая отображается в нижнем окне, зависит от выбранного режима работы программы. В режиме дескрипторов в нижнем окне отображаются все открытые дескрипторы (Handles) выбранного в верхнем окне процесса, а в режиме библиотек DLL все загруженные процессом динамические библиотеки и отображенные в память файлы. Для отображения(скрытия) нижней панели нажмите пиктограмму Show/Hide Lower Pane на панели инструментов, или выберите меню View/Show(Hide) Lower Pane, или нажмите сочетание горячих клавиш [Ctrl+L].
8 Рисунок 3 — рабочая область программы Process Explorer Для включения режима дескрипторов выберите меню View / Lower Pane View /Handles (или нажмите [Ctrl+H]). — пиктограмма для отображения дескрипторов Для включения режима библиотек DLL выберите меню View / Lower Pane View / DLLs (или нажмите Ctrl+D). — пиктограмма для отображения библиотек. Процессы в главном окне отображены в виде дерева иерархий(рис. ). То есть процессы поделены на родительские и дочерние. Материнские процессы порождают дочерние. Есть процессы-«сироты», они отсортированы по левому краю и не имеют вложенных процессов, их «родители» завершили работу. Вид списка процессов настраивается как в любой программе, использующей WinAPI. Столбцы можно перетаскивать, сортировать по возрастанию и убыванию. Измененный внешний вид можно сохранить через меню View / Save Column Set.
9 Выделив любой процесс в верхнем окне Process Explorer и щелкнув его правой кнопкой мыши (или выбрав меню Process), можно выбрать из контекстного меню нужное действие(рис.4): Рисунок 4 Контекстное меню процесса Window: Minimize (свернуть), Restore (восстановить), Maximize (развернуть на весь экран), Bring to front (сделать активным), Close (закрыть). Set Priority (Установить приоритет процесса): Realtime:24 (Реального времени), High:13 (Высокий), Above Normal:10 (Выше среднего), Normal:8 (Средний), Below Normal:6 (Ниже среднего), Idle:4 (Низкий); Kill Process (Завершить процесс); Kill Process Tree (Завершить дерево процессов); Restart (Перезапустить процесс); Suspend (Приостановить) для продолжения работы выберите Resume (Возобновить); Properties (Свойства) вызывается окно свойств процесса с вкладками(рис. 5): Image(файл, с которого запускается данный процесс), Performance, Performance Graph (текущее использование ресурсов системы), Threads,
10 TCP/IP, Security, Environment, Strings; Search Online (Поиск в Интернете) поиск дополнительных сведений о программах/процессах в Интернете. Чтобы просмотреть потоки (Threads), исполняемые в рамках процесса, неоходимо вызвать диалоговое окно свойств процесса, а в нем вкладку Threads (Потоки). Чтобы просмотреть стек потока процесса (Stack for thread) во вкладке Threads (Потоки) нажмите кнопку Stack(рис.6). Рисунок 5 Вкладки «Performance» и «Performance Graph» Рисунок 6 Стек процесса
11 Подробная информацией о системе будет доступна, если выбрать в меню View / System Information (или нажав соответствующую пиктограмму на панели инструментов), в результате откроется окно System Information(рис.7-8). Загрузка памяти отображается во вкладке Memory отдельно для виртуальной памяти (своп-файл) — System commit и физической (непосредственно ОЗУ) — Physical memory(рис. 8). Чтобы заменить стандартный Диспетчер задач Windows на Process Explorer нужно запустить Process Explorer и выбрать меню Options / Replace Task Manager. Рисунок 7 Вкладка CPU
12 Рисунок 8 Вкладка Memory После этого при нажатии комбинации клавиш [Ctrl+Alt+Delete] будет автоматически запускаться не Диспетчер задач Windows, а Process Explorer. Чтобы вернуть Диспетчер задач Windows, необходимо запустить Process Explorer и выбрать меню Options / Restore Task Manager. 5.2 Process Monitor Утилита Process Monitor выполняет перехват контролируемых монитором системных функций и сбор данных подлежащих мониторингу. Наблюдение выполняется для следующих классов операций: — обращения к файловой системе (file system), — обращение к реестру (Registry), — работа с сетью (Network), — активность процессов (Process). При первом запуске на экран будет выдано лицензионное соглашение, требующее подтверждения пользователя. Затем, после старта программы Process Monitor, выводится окно с фильтрами для исключения из процесса наблюдения событий стандартной активности системы и самого монитора.
13 Интерфейс программы состоит из 3-х частей — строка меню (menu bar), панель инструментов (toolbar)(рис.9) и область вывода данных в виде списка. Рисунок 9 Панель инструментов программы Process Monitor Программа перехватывает отслеживаемые события, связанные с активностью процессов и выдает данные в соответствии с заданными критериями фильтрации и пользовательскими настройками отображаемых колонок. Для остановки мониторинга нужно щелкнуть мышкой по кнопке с лупой на панели инструментов, так, чтобы ее изображение стало перечеркнутым красной линией. Повторный щелчок вернет режим перехвата: — Вкл\Выкл запись событий, Автоскроллинг, очистить экран. Если значок лупы перечеркнут — мониторинг активности процессов остановлен. Автоскроллинг это режим автоматической прокрутки экрана данных. При включении, в окне данных будут отображаться последние по времени выполнения операции. Если значок перечеркнут — прокрутка не будет выполняться. Другие пиктограммы панели задач: Открыть\ Сохранить текущие данные мониторинга в файл. Имеется возможность сохранить все события (All Events), события, отфильтрованные текущими фильтрами (Events displayed using current filter) или события выделенные подсветкой (Highlighted events). Можно также использовать комбинацию клавиш [Ctrl+S]. Настройка фильтра отображения, Подсветка строк, Поиск процесса среди окон на экране. Задать условия фильтрации можно сразу после старта утилиты Process Monitor (рис.10) или в любой момент времени с использованием меню программы, комбинации клавиш [CTRL+L] контекстного меню, вызываемого правой кнопкой мышки.
14 Рисунок 10 Окно настройки фильтров Запись правила фильтрации состоит из 4-х колонок(рис.10): Column — колонка (содержимое поля описания события) записи события. Можно выбрать одно из возможных полей отображаемого в окне данных программы события. Relation — логическое выражение: Is — равно, принимает значение; Is not — не равно; Less then — меньше чем; More then — больше чем; Begin with — начинается с; Ends with — заканчивается на; Contains содержит; Excludes — не содержит; Value — значение. Зависит от свойств выбранного поля в первой колонке (Columns) Action действие: Exclude — исключить событие, соответствующее условиям данного фильтра; Include — включить событие, соответствующее условиям данного фильтра. Для сброса фильтра используется комбинация клавиш [CTRL+R].
15 Отобразить дерево процессов (как в Process Explorer), Поиск на странице, Перейти к объекту (файлу, ключу реестра). При отображении дерева процессов(рис.11) для каждого из них выводится информация с именем, описанием, путем исполняемого файла, владельцем, командной строкой запуска и временем старта. При установке указателя мыши на строку конкретного процесса, в нижней части окна будет выведена подробная информация о нем. Рисунок 11 Дерево процессов Информация отображается в виде иерархической структуры(рис.11), отображающей зависимости между родительскими и порожденными процессами. Процессы, имеющие одного и того же родителя, отображаются в порядке, соответствующем времени запуска. Так, например, процесс winlogon.exe c идентификатором (PID) равным 1772 запустил services.exe с идентификатором 1816, который, в свою очередь породил несколько процессов svchost.exe и т.д.(рис. 11).
16 Jump To Object(перейти к объекту) это возможность быстрого перехода к исследуемому объекту — ключу или разделу в редакторе реестра, папке или файлу в проводнике Windows, также можно использовать комбинацию клавиш [Ctrl+J]. Вкл\Выкл виды активности (Реестр, Файловая система, Сетевая активность, Активность процессов и нитей). Каждому событию, перехваченному программой Process Monitor, соответствует одна строка в окне вывода данных. Двойной щелчок на отдельной строке вызовет окно просмотра свойств события (Event Properties). Порядок следования строк соответствует последовательности выполнения операций. Информация в окне вывода данных разделена на несколько столбцов, состав которых можно выбрать с помощью контекстного меню Select Columns, вызываемого правой кнопкой мышки на поле описания колонок или через главное меню Options / Select Columns(рис. 12). Возможен вывод колонок, разбитых на 3 категории: Application Details — сведения о процессе; Event Details — сведения о событии; Process Management — данные о родительском процессе, порождаемых потоках и контексте учетной записи безопасности исследуемого процесса. Информация, дающая представление о том, какой процесс, какую операцию выполнил, и с каким результатом можно вывести, настроив следующие поля: 1)Sequence — номер строки (порядок следования события по времени) с начала сессии перехвата отслеживаемых событий. 2)Process Name — имя процесса, вызвавшего событие. 3)Operation — выполняемая операция. Значение зависит от типа обращения и представляет собой краткое описание, как, например, открытие ключа реестра RegOpenKey, отправка TCP пакета — TCP Send, чтение файла ReadFile и т.д. 4)Path — путь, связанный с используемым ресурсом. Это может быть файл, ключ реестра, данные TCP соединения и т.п.
17 Рисунок 12 Настройка колонок таблицы вывода данных 5)Result — результат выполнения запроса: end of file — обнаружен признак конца файла (EOF) name not found — файл, каталог или данные реестра не найдены name collision — была попытка создать новый файл, но файл с таким именем уже существует. file locked -файл открыт для монопольного доступа. success — операция выполнена успешно. invalid device request — неверный запрос к устройству. fast i/o disallowed — операция ввода/вывода запрещена. 6)Detail — дополнительная информация о событии, описывающая тип запроса, права доступа, свойства файла или каталога, тип данных, значение ключа реестра и т.п.
18 5.3 Desktops Desktops — программа для создания виртуальных рабочих столов. После запуска утилиты в трее появляется иконка программы. — иконка программы Desktops Нажатие левой кнопкой мыши открывает выбор рабочих столов, нажатие правой кнопки мыши вызывает меню, откуда можно пройти в настройки программы (Options): Рисунок 13 Контекстное меню Desktops В настройках можно выбирать тип запуска программы и горячие клавиши для переключения между рабочими столами(рис. 14). Рисунок 14 Окно настроек программы Desktops Для включения автозапуска программы при загрузке ОС необходимо поставить галочку в поле Run automatically at logon.
19 5.3 ZoomIt ZoomIt — программа для увеличения области экрана. После запуска, в трее появляется иконка программы. — иконка программы в системном трее. При нажатии на значке любой кнопкой мыши, появляется контекстное меню, из которого можно открыть настройки программы (Options), включить один из режимов увеличения или закрыть программу (Exit). Рисунок 15 Окно настроек программы В программе есть несколько вариантов увеличения экрана (рис.15): Zoom включение режима статичного увеличения, вращение колесом мыши регулирует масштаб увеличения. Нажатие левой кнопки мыши включает режим Draw, нажатие правой кнопки мыши выключает увеличение. LiveZoom включение режима динамического увеличения. Мышь остается активной, область увеличения следует за мышью. Выключение режима осуществляется той же комбинацией клавиш, как и включение. Draw режим маркера, вращение колесом мыши регулирует масштаб увеличения. Type написание текста поверх картинки. Break включение таймера обратного отсчета, интервал и прочие настройки таймера находятся во вкладке Break в настройках
20 программы ZoomIt. Дополнительные настройки (местоположение таймера, фон и т.д.) доступны по нажатию кнопки Advanced. 6. Контрольные вопросы: 1) В чем отличие Process Explorer от Диспетчера задач? 2) Как установить двухоконный режим просмотра Process Explorer? 3) Как вызвать диалоговое окно свойств процесса, какую информацию можно получить во вкладке Performance? 4) Для чего нужен автоскроллинг? 5) Для каких операций выполняется наблюдение посредством утилиты Process Monitor? 6) Какую информацию содержит каждая строка в окне вывода данных программы Process Monitor? 7) Как сохранить события, отфильтрованные текущими фильтрами? 8) Какими тремя способами можно отобразить дерево процессов в Process Monitor? 9) Какими клавишами по умолчанию переключаются рабочие столы?
