Вадим Стеркин

  • Главная
  • Windows
  • SSD
  • Программы
  • Разное
  • Об авторе
Вы тут: Главная → Windows → [видео] Process Monitor: как отследить приложение, записывающее непонятные файлы на диск

[видео] Process Monitor: как отследить приложение, записывающее непонятные файлы на диск

Рубрики: Windows, Программы Обновлено: 14.10.2019 комментариев 19

Непонятные файлы на диске мы обнаруживаем двумя путями. Либо они явно видны в проводнике или файловом менеджере, либо к ним приводят поиски причины исчезновения свободного места на диске. Хорошо, если после удаления файлов, они больше не появляются. Но так бывает не всегда, и в этом случае приходится определять приложение, которое их создает.

Однажды на форум обратился человек, у которого какое-то приложение записывало в корень системного диска файлы, в имени которых содержится tmp _out.

Process Monitor

Конечно, не исключено, что эта система заражена, и требуется тщательная проверка всевозможными антивирусными средствами. Но далеко не всегда проблема связана с вредоносным кодом, и тогда понадобится другой подход. Проще всего вычислить виновника появления таких файлов с помощью утилиты Process Monitor. Из видео за четыре минуты вы узнаете, как это сделать.

Отслеживание активности

При запуске утилита отслеживает несколько типов системной активности:

  • реестр
  • файловую систему
  • сеть
  • процессы и потоки

Поскольку мы ищем причину записи файлов на диск, нужно сосредоточиться на активности в файловой системе. Для этого на панели инструментов оставьте включенной только одну кнопку, отвечающую за активность на диске.

Process Monitor

Кроме того, убедитесь, что утилита отслеживает активность. Если у вас перечеркнута кнопка, которая на рисунке обведена красным, нажмите CTRL+E.

На рисунке выше активность отслеживается, причем только в файловой системе.

Основной фильтр

Теперь нужно применить фильтр, чтобы исключить не относящуюся к делу активность. Нажмите сочетание клавиш CTRL+L, и вы увидите возможности фильтрации. В Process Monitor сразу активны некоторые фильтры, исключающие отслеживание деятельности самой программы, а также некоторых системных компонентов (файла подкачки, таблицы MFT и т.д.). Это сделано для того, чтобы исключить мониторинг стандартной активности системы. В большинстве случаев удалять эти фильтры не нужно, и достаточно просто добавить свой.

Process Monitor

На рисунке выше показан фильтр, который будет отслеживать создание и изменение всех файлов, в путях к которым содержится tmp _out. Давайте разберем фильтр подробнее слева направо:

  • Path. Путь в файловой системе. Также можно указывать разделы реестра, когда отслеживается активность в нем.
  • contains. Условие, по которому определяется поиск ключевого слова. В переводе с английского это слово означает «содержит». В зависимости от задачи можно конкретизировать условие, выбрав вариант begins with (начинается с) или ends with (заканчивается на).
  • tmp _out. Ключевое слово, которое в данном случае должно содержаться в пути. Имя файла и его расширение являются частью полного пути к файлу.
  • Include. Включение заданного условия в список отслеживаемых.

Не забудьте нажать кнопку Add, чтобы добавить фильтр в список. Впрочем, если вы забудете, Process Monitor напомнит об этом, прежде чем закрыть окно фильтров.

В данном случае я использовал часть имени файла в качестве ключевого слова, поскольку все непонятные файлы содержат в имени tmp_out. Если файлы создаются с разными именами, но зато в определенной папке, используйте путь к этой папке в качестве ключевого слова.

Поскольку задано жесткое условие фильтрации файловой активности, в окне программы, скорее всего, теперь не будет отображаться никаких процессов. Но Process Monitor уже начал их отслеживать.

Проверить работу фильтра очень просто. Достаточно создать в текстовом редакторе файл с искомым именем или в наблюдаемой папке, и Process Monitor моментально отреагирует на это.

Process Monitor
Увеличить рисунок

Дополнительные фильтры

Обратите внимание, что утилита зафиксировала не только активность блокнота, но также проводника и поиска Windows. Не относящиеся к делу процессы можно исключить из результатов, создав дополнительные фильтры. Достаточно щелкнуть по процессу правой кнопкой мыши и выбрать из контекстного меню пункт Exclude <имя процесса>. Это самый простой способ создания фильтра, но можно сделать это из окна фильтрации, как показано выше. В этом случае условие будет: Process Name – Is — <имя процесса> — Exclude.

Запись и открытие лога

Учтите, что при длительном отслеживании размер лога может измеряться гигабайтами. По умолчанию Process Monitor записывает лог в файл подкачки. Если у вас маленький системный раздел, имеет смысл сохранять лог в файл на другом разделе диска.

Для сохранения лога в файл нажмите сочетание клавиш CTRL+B и укажите имя и желаемое расположение файла.

Process Monitor

Изменения вступают в силу после перезапуска захвата активности. Теперь можно смело оставить Process Monitor включенным на длительное время, не опасаясь за лимит дискового пространства.

Остановить отслеживание активности можно сочетанием клавиш CTRL+E.

Впоследствии вы всегда сможете загрузить в утилиту лог из сохраненного файла. Закройте Process Monitor и дважды щелкните файл лога с расширением PML. Содержимое лога отобразится в окне Process Explorer.

Человек, обратившийся на форум с проблемой, так и не вернулся сообщить, помог ли ему мой совет. Но он был с таким вопросом не первый и, наверняка, не последний. Если вопрос возникнет у вас, вы сможете ответить на него с помощью Process Monitor.


О видео

Читатели блога выразили поддержку моей идее дополнять статьи видеоматериалами. Я подумал, что этот случай очень хорошо подходит, и записал ролик длиной менее 4 минут.

Если честно, создание такого видео занимает намного больше времени, чем написание статьи. Поэтому я в любом случае не готов заменять печатный текст видеоматериалами. Но мне кажется, что в данном случае видео интереснее и понятнее. А что вы думаете по этому поводу?

Видео длится около четырех минут, и я старался сделать его быстрым и емким. Ведь в реальности подготовка к поимке приложения занимает буквально одну минуту. Вас устраивает скорость изложения?

Более подробный рассказ о Process Monitor и другие примеры его практического использования вы можете посмотреть в видео моего коллеги Василия Гусева, если у вас есть свободные 40 минут :)

Метки: sysinternals, видео, диагностика Информация в статье применима к Windows 7 и новее

Об авторе

Вадим - владелец этого блога, и почти все записи здесь вышли из-под его пера. Подробности о блоге и авторе здесь.

Вас также может заинтересовать:

  • Удаление программ из консоли и простой пример мониторинга реестра
  • Как удалить профили ненужных и небезопасных беспроводных сетей в Windows
  • [видео] Как закрывать и перезапускать современные приложения в Windows 8.1
  • [видео] Как быстро и грамотно переместить профили пользователей на другой раздел
  • Как определить, каким приложением занят файл
  • Изучение автозагрузки Windows с помощью Windows Performance Analyzer
  • [видео] Charu - самурайский менеджер буфера обмена
  • Завещание мистера Гейтса
  • [видео] Почему не всегда работает перетаскивание файлов при включенном UAC
  • TrayCapture – ветеран звукозаписи
  • 10 лучших бесплатных программ для быстрой диагностики Windows
  • Как использовать встроенные средства устранения неполадок Windows
  • Как определить, является проблема системной или вызвана сторонним приложением/службой
  • Как устранить зависание панели задач или рабочего стола при запуске системы
  • Куда пропадает свободное место на системном разделе?
← Как применять автоматическую подстановку имен файлов и папок в командной строке
Сравнительный тест стабильных версий браузеров (апрель 2011) →
Telegram logo

Я в Telegram

Подпишитесь на канал и читайте интересные записи чаще! Есть вопросы? Задайте их в чате.

комментариев 19

↓
  1. sergm

    08.04.2011 в 09:46

    Вадим.
    Может стоит упомянуть еще и Filemon он тоже позволит решить задачу.

    Ваша оценка: Thumb up Thumb down 0
  2. Vadim Sterkin

    08.04.2011 в 10:20

    sergm, не вижу смысла, т.к. Process Monitor объединяет функционал Regmon и Filemon. Эти две утилиты больше не распространяются автором.

    Годится! Согласны? Thumb up Thumb down +4
  3. sergm

    08.04.2011 в 10:27

    Логично.

    Я сторонник того к чему привык :) т.е. набору своего инструментария…
    а то чего не хватает дописываю сам.

    PS надо будет обновиться.

    Ваша оценка: Thumb up Thumb down 0
  4. Morpheus

    08.04.2011 в 11:28

    Vadim Sterkin, спасибо!

    Хоть для меня буквы информативнее, в видео я увидел один плюс — когда читал, пропустил строчку
    Достаточно щелкнуть по процессу правой кнопкой мыши и выбрать из контекстного меню пункт
    начало абзаца прочиталось, выделенное жирным тоже, а эта часть «выпала». В видео оно увиделось.

    Ваша оценка: Thumb up Thumb down 0
  5. Vadim Sterkin

    08.04.2011 в 12:37

    sergm, понятно, что у каждого свой привычный набор утилит (и о моем я планирую рассказать в скором времени :) Но Process Monitor уже достаточно давно заменил две отдельные утилиты и расширил их функционал. Так что да, обновляться надо :)

    Morpheus, я рад, что ты нашел мое видео полезным, ибо твое скептическое отношение к ним мне известно :) В этом и есть главное преимущество коротких видео. Статью мы часто читаем по диагонали, цепляясь глазом за якоря (заголовки, жирный шрифт, картинки, код). А видео удерживает внимание непрерывно, когда автору это удается, конечно :)

    Просмотр длинного ролика вряд ли обойдется без перемотки «говорильни» к следующему фрагменту действия. Но с коротким видео, нашпигованным действиями, такого не происходит.

    Ваша оценка: Thumb up Thumb down 0
  6. Morpheus

    08.04.2011 в 13:03

    Да, скептическое :) но только когда кино заменяет собой текст и длится более 20 минут. Сути там минуты на 3, всё остальное — это «эээ», «ааа» и гигалитры воды. Я не готов 30 минут из 40 смотреть на презентационные шаблоны и рабочий стол показывающего, выискивая там нужные кусочки.
    К короткому видео, когда оно дополняет текст (а не заменяет его), претензий нет. Это может быть полезно, если сделано со вкусом. Тебе удаётся делать интересно. Спасибо!
    Твои статьи я читаю внимательно, но видимо глаз уже сам перематывает многабукф.
    З.Ы. А почему нет ссылки «цитировать» для самого материала, как для комментов?

    Ваша оценка: Thumb up Thumb down +1
  7. Vadim Sterkin

    08.04.2011 в 14:54

    Morpheus: Это может быть полезно, если сделано со вкусом. Тебе удаётся делать интересно. Спасибо! »

    Спасибо ;)

    Morpheus: А почему нет ссылки «цитировать» для самого материала, как для комментов? »

    Ссылки «Ответить» и «Цитировать» — это плагин Quote Comments. Без него в постах только ссылка «Ответ», создающая древовидную структуру, которая мне не нравится. В статьях такого нет, да и не нужно особо. Я хочу, чтобы мои статьи воспринимались как единое целое, а не раздирались на цитаты ;)

    Ваша оценка: Thumb up Thumb down 0
  8. Андрей

    08.04.2011 в 19:12

    Спасибо Вадим! Очень интересно, но я с таким не сталкивался пока.
    Видео суперски, кратко и ясно, такое редкость. Но и описание с нормальным количеством скринов, даже лучше.
    Спасибо за Ваш блог. Читаю с удовольствием :Beer:

    Ваша оценка: Thumb up Thumb down 0
  9. Алекс

    08.04.2011 в 20:56

    А я Вадим сразу вам и написал- очень будет полезно если будут хоть коротелькие ролики!! Как писал выше- нажал на паузу и разобрался)..Да и мне как то зрительно более понятно(имхо).

    Ваша оценка: Thumb up Thumb down 0
  10. Vadim Sterkin

    08.04.2011 в 21:24

    Андрей, спасибо за отзыв — я рад, что мои труды над созданием видео получают высокую оценку моих читателей зрителей :)

    Алекс, ваши пожелания воплощаются в жизнь ;) Но, как я сказал, видео более затратно по времени, хотя я все еще оптимизирую процесс его создания. Но при любом раскладе это дольше написания статьи, если придерживаться таких стандартов подачи материала, а не просто лепить 20-минутный ролик с мычанием :)

    Ваша оценка: Thumb up Thumb down 0
  11. Logvinov Vladimir

    11.04.2011 в 16:42

    Хорошая статья и самое главное (я преподаватель информатики) с хорошими примерами.

    Ваша оценка: Thumb up Thumb down 0
  12. Алекс

    11.04.2011 в 18:09

    Вадим понятно! но в любом случае будем надеяться хоть на редкие небольшие ролики:).

    Ваша оценка: Thumb up Thumb down 0
  13. Vadim Sterkin

    11.04.2011 в 21:32

    Logvinov Vladimir, спасибо за отзыв. Похоже, вы оценивали материал с точки зрения дидактического пособия :)

    Ваша оценка: Thumb up Thumb down 0
  14. Yuri

    10.08.2011 в 16:28

    Полезная статья. Просмотрел и прочитал, к сожалению, не помогло. Дело в том, что у меня утекает дисковое пространство со скоростью 1-2 мега в секунду, причём я не могу найти, куда. утекает с системного диска. Аваст последний. Сканировал и спайдером, и авастом, шиш. ВСё чисто, по их мнению. Свободного места 30 гиг, если утром комп включил, и даже не логинишься, то к вечеру, после просто стояния в экране приветствия, при входе в систему обязательно вылезет окно, что нет дискового пространства на диске С. Понятно, что какая-то служба косячит, но вот какая? Причём после перезагрузки — места снова 30 гиг, и потихоньку утекает. ФАРом хорошо видно утекание. Темпы вычищены, и прочие восстановления системы уже давно отключены, а всё равно утекает. При этом файл подкачки не пухнет более 0,5 гига, да и оперативка не заполняется полностью. Впрочем, своп я отключал, не помогло. Как бы сделать «фото» размеров файлов вначале работы, потом через некоторое время, и когда место кончится? Кто может захапывать под себя 30 гиг, а уверен, и больше? Комп в домашней сети, за NAT, сетевые дырки прикрыты. Переустновить винду можно, но гиморно. Кроме того, спортивный интерес. Винда хп лицензия со всеми апдейтами. Месяц уже голову ломаю. Как сломаю, перейду на линукс :)

    Ваша оценка: Thumb up Thumb down 0
  15. Vadim Sterkin

    10.08.2011 в 17:19

    Yuri, диагностику нужно проводить в два этапа:
    1. Выявление папок, в которых записываются файлы.
    2. Определение приложения, записывающего их.

    Для первого этапа используйте специализированные утилиты. См. номер 5 в списке 10 лучших бесплатных программ для быстрой диагностики Windows. В комментариях упоминались и другие программы этого типа.

    Ваша оценка: Thumb up Thumb down 0
  16. Дмитрий Дронов

    25.05.2015 в 23:16

    Просто спасибо. Такой труд дорогого стоит.

    Ваша оценка: Thumb up Thumb down 0
    • Vadim Sterkin

      26.05.2015 в 00:02

      Дмитрий, спасибо на добром слове.

      Ваша оценка: Thumb up Thumb down 0
  17. Сергей Валерьевич

    26.05.2017 в 20:37

    Сделал всё как показано. Создал в процесс мониторе фильтр для файла с именем «123». Создаю его в блокноте, сохраняю с именем «123» — ноль реакции. Создал фильтр на Process name «CMD» — запускаю командную строку — срабатывает, показывает процесс. Что я делаю не так в первом случае?

    Ваша оценка: Thumb up Thumb down 0
    • Vadim Sterkin

      27.05.2017 в 15:45

      Мне отсюда не видно, но похоже, что не включено отслеживание файловой активности (cmd — процесс).

      Ваша оценка: Thumb up Thumb down 0

Обсуждение завершено.

Subscribers

Популярные записи

  • Серия пенальти: Проводник vs. Total Commander (165)
  • Нюансы отключения службы SysMain в Windows 10 (26)
  • 10 бесплатных приложений для Windows Phone, которыми я пользуюсь регулярно (110)
  • Создание отчета о скорости загрузки Windows и устранение системных проблем (163)
  • Как Microsoft доставляет обновления Windows (17)
  • Как скачать видео с YouTube с помощью youtube-dl и PowerShell (29)
  • А нужен ли полный резервный образ системы? (139)
  • Еще →

Свежие комментарии

  • Виктор Гораев к записи diskusage vs. dfp: анализ занятого места на диске из командной строки
  • Vadim Sterkin к записи diskusage vs. dfp: анализ занятого места на диске из командной строки
  • Stanislav Vershinin к записи diskusage vs. dfp: анализ занятого места на диске из командной строки
  • Vadim Sterkin к записи diskusage vs. dfp: анализ занятого места на диске из командной строки
  • Vadim Sterkin к записи diskusage vs. dfp: анализ занятого места на диске из командной строки
  • Diogen к записи diskusage vs. dfp: анализ занятого места на диске из командной строки
  • Alexander Kuzin к записи diskusage vs. dfp: анализ занятого места на диске из командной строки
  • Vadim Sterkin к записи diskusage vs. dfp: анализ занятого места на диске из командной строки

Рекомендую ресурсы

  • Windows 10, etc — канал этого блога в Telegram
  • Инсайдеры Windows 10 — чат блога в Telegram
  • Community — новости предварительных сборок
  • Николай Павлов — тайны планеты Excel
  • Вадимс Поданс — PKI, PowerShell и Тера Патрик
  • Василий Гусев — PowerShell и другие скрипты
  • Kazun — PowerShell для взрослых

Реклама

Измененная тема eleven40 Pro на платформе Genesis · Архивы и метки · Правила (16+) · О рекламе · Обратная связь · Вход

Допускается копирование материалов без изменений, с указанием имени автора и гиперссылки на сайт.