Windows云服务器排障思路–云惠网

avatar
avatar
云惠网小编
337
文章
0
评论
2020年7月18日16:26:34 评论 21 次浏览 8956字阅读29分51秒
摘要

Windows排障对我来说很简单,毕竟是鼠标操作,而且有那么多小工具辅助排障,非常轻松。本文更偏重通用能力,不仅适用腾讯云,其他云也适用。专对腾讯云的话,推荐我写的一篇腾讯云SDK踩坑、填坑的文档,那个花了我上百个小时,是我10篇云+社区文档的集锦,腾讯云API Explorer工具的基本用法,让你熟练掌握6种SDK的使用。

Windows排障对我来说很简单,毕竟是鼠标操作,而且有那么多小工具辅助排障,非常轻松。本文更偏重通用能力,不仅适用腾讯云,其他云也适用。专对腾讯云的话,推荐我写的一篇腾讯云SDK踩坑、填坑的文档,那个花了我上百个小时,是我10篇云+社区文档的集锦,腾讯云API Explorer工具的基本用法,让你熟练掌握6种SDK的使用。

回归本文主题,在说Windows排障思路之前,我先提醒一下大家,PC软件在Windows服务器上的一些意外表现我在这里特别介绍过,服务器上使用PC软件要谨慎。另外,Windows日志获取和分析并不难,我一般都自己分析,有提工单的功夫自己都分析出来原因了(个人感觉阿里云的工单服务最慢、腾讯云的工单服务给用户打电话的频率最高、华为云的工单服务我还在体验中……)。

言归正传,本文从系统驱动、应用软件、计划任务、开机加载项、系统关键目录、病毒木马、dmp文件分析、常用软件集nirsoft.net和sysinternals.com、通用软件10个方面进行简要介绍Windows排障思路。

1、系统驱动

①process explorer

如上图,只能选System进程,选择后点“view → Lower Pane View → Dlls (Ctrl+D)”,在下方有系统所有驱动,有4列:Name、Description、Company Name、Path,主要通过看“Company Name”这一列比较能容易分辨出哪些是新引入的。

也可以通过autoruns查看系统驱动、服务列表、计划任务来找异常。

https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

https://cloud.tencent.com/developer/article/1557575

整体来说,autoruns和process explorer是我进行Windows排障的必用工具,是性价比最高的Windows排障工具。

②nirsoft.net ServiWin

ServiWin utility displays the list of installed drivers and services on your system.

ServiWin实用程序显示系统上已安装的驱动程序和服务的列表。

http://www.nirsoft.net/utils/serviwin.html

nirsoft.net里还有个小工具叫InstalledDriversList,顾名思义就知道其作用。

2、应用软件

appwiz.cpl

第三方软件比如revo uninstaller pro、UninstallView(nirsoft.net小工具之一)等都可以查看系统已经安装的软件有哪些,这些软件可以比appwiz.cpl更详细地展示各软件安装的先后顺序,卸载的话也比appwiz.cpl卸载得干净一些。

3、计划任务

①计划任务快捷方式的位置

C:ProgramDataMicrosoftWindowsStart MenuProgramsAdministrative ToolsTask Scheduler.lnk

②命令:

taskschd.msc

③计划任务存在于4个位置:

C:WindowsSysWOW64Tasks

C:WindowsSystem32Tasks

C:WindowsSystem

C:WindowsTasks

4、开机加载项

①对分析开机加载项有用的软件:

AnVir Task Manager

WhatInStartup

Autoruns

Security Task Manager

Startup Delayer

WinPatrol

②Winlogon Shell,打开组策略分析,没有的话略过

③分析注册表位置

HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnceEx

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServices

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServicesOnce

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnceEx

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesOnce

HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows

HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWinlogon

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWindows

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionShellServiceObjectDelayLoad

④Startup目录

C:ProgramDataMicrosoftWindowsStart MenuProgramsStartup

C:UsersAdministratorAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup

C:WindowsSysWOW64configsystemprofileAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup

C:WindowsSystem32GroupPolicyMachineScriptsStartup

C:Documents and SettingsAll UsersStart MenuProgramsStartup

C:ProgramDataStart MenuProgramsStartup

⑤%xxx%目录

%APPDATA%

%CommonProgramFiles%

%TEMP% 和 %TMP%

%ProgramW6432%

%programfiles(X86)%

%programfiles%

%SYSTEMROOT%

%WINDIR%

%HOMEDRIVE%

%SYSTEMDRIVE%

%ALLUSERSPROFILE%

%USERPROFILE%

%public%

5、系统关键目录

Fonts

Desktop

Web

Temp

System

Sytem32

Windows

Logs

Security

Inf

Debug

……

运行框输入以上文件夹名称即可打开

例如

⑥系统环境变量

echo %path% (跟Linux不一样,Linux是echo $PATH)

6、服务列表

services.msc

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservices

好多木马病毒存在于硬盘并且在注册表里注册了“服务”,但是这个服务是隐藏的,并不能在services.msc列表里看到

psservice (sysintelnals.com pstools工具集 https://cloud.tencent.com/developer/article/1617430

7、病毒木马

360、电脑管家 https://cloud.tencent.com/developer/article/1612225

https://www.virustotal.com/gui/home/upload

http://lockhunter.com/download.htm

Windows木马病毒经常藏匿于以下位置

C:UsersAdministratorAppDataLocalMicrosoftWindowsTemporary Internet Files

C:UsersAdministratorAppDataLocalMicrosoftWindowsTemporary Internet FilesContent.IE5

还有其他Content.IE5,用Everything搜一下

C:WindowsTemp

C:UsersADMINI~1AppDataLocalTemp (还有其他用户的temp目录,替换用户名即可)

C:UsersAdministratorAppDataLocalTemp同上

XP、2003的temp路径如下

C:DocumentsandSettings用户名LocalSettingsTemp

C:DocumentsandSettings用户名LocalSettingsTemporary Internet Files

C:Windowsinf

C:WindowsWeb

C:Windowsdebug

C:WindowsFonts

各个分区的System Volume Information

杀毒命令(正常系统文件都有固定位置,不在原有位置的同名文件一般都是病毒木马)

wmic process where "name='svchost.exe' and ExecutablePath<>'C:\WINDOWS\system32\svchost.exe'" call Terminate

wmic process where "name='wininit.exe' and ExecutablePath<>'C:\WINDOWS\system32\wininit.exe'" call Terminate

wmic process where "name='csrss.exe' and ExecutablePath<>'C:\WINDOWS\system32\csrss.exe'" call Terminate

wmic process where "name='csrs.exe' and ExecutablePath<>'C:\WINDOWS\system32\csrs.exe'" call Terminate

wmic process where "name='WUDFHost.exe' and ExecutablePath<>'C:\WINDOWS\system32\WUDFHost.exe'" call Terminate

wmic process where "name='services.exe' and ExecutablePath<>'C:\WINDOWS\system32\services.exe'" call Terminate

wmic process where "name='taskhost.exe' and ExecutablePath<>'C:\WINDOWS\system32\taskhost.exe'" call Terminate

wmic process where "name='conhost.exe' and ExecutablePath<>'C:\WINDOWS\system32\conhost.exe'" call Terminate

wmic process where "name='winlogon.exe' and ExecutablePath<>'C:\WINDOWS\system32\winlogon.exe'" call Terminate

wmic process where "name='msinfo.exe' and ExecutablePath<>'C:\WINDOWS\system32\msinfo.exe'" call Terminate

wmic process where "name='explorer.exe' and executablepath<>'%SystemDrive%\windows\explorer.exe'" call Terminate

wmic process where "name='msinfo.exe' and ExecutablePath<>'C:\WINDOWS\system32\msinfo.exe'" delete

wmic process where "name='explorer.exe' and executablepath<>'%SystemDrive%\windows\explorer.exe'" delete

获取字体目录里异常进程的命令,结果集里并不都是病毒,命令的作用是排除掉字体文件把剩下的文件列出来

wmic datafile where "drive='c:' and path='\windows\fonts\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name

wmic datafile where "drive='c:' and path='\windows\fonts\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name,Path,CreationDate,LastAccessed,LastModified

wmic datafile where "drive='c:' and path='\windows\fonts\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name,Path,CreationDate,LastAccessed,LastModified /value

wmic datafile where "drive='c:' and path='\windows\fonts\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name,Path,CreationDate,LastAccessed,LastModified /format:list

https://cloud.tencent.com/developer/article/1613296

8、dmp文件分析

①bluescreen view

http://www.nirsoft.net/utils/blue_screen_view.html

https://www.dell.com/support/article/zh-cn/sln179253/%E8%AF%86%E5%88%AB%E5%92%8C%E8%AF%8A%E6%96%AD%E6%88%B4%E5%B0%94%E8%AE%A1%E7%AE%97%E6%9C%BA%E4%B8%8A%E7%94%B1%E8%93%9D%E5%B1%8F-bsod-%E5%AF%BC%E8%87%B4%E7%9A%84windows%E5%B4%A9%E6%BA%83%E5%92%8C%E9%87%8D%E6%96%B0%E5%90%AF%E5%8A%A8%E9%94%99%E8%AF%AF?lang=zh

②windbg(winbdg怎么安装、怎么使用麻烦自己上网查)

9、其他可能会用到的软件

①Sysinternals.com工具集

Sysinternals里有pstools等一大堆实用小工具,这里要重点强调下,newsid.exe已经被淘汰了,不要在云服务器上乱用newsid,这可能会导致服务器黑屏或陷入recovery模式而无法恢复,如果是修改sid,建议使用sysprep命令或使用sidchg这个第三方软件。值得一提的是,sysprep有2个缺点:特别耗费时间、会清理“家目录”里的数据。

②nirsoft.net里面有很多好软件,比如UninstallView、LastActivityView、TurnedOnTimesView、WinLogOnView、BlueScreenView、BrowsingHistoryView、CurrPorts、DevManView、DriverView 、EventLogSourcesView、HashMyFiles、InstalledCodec、InstalledDriversList、ProcessActivityView、ProduKey、RegScanner 、ShellMenuView、SmartSniff、SoundVolumeView、SpecialFoldersView、USBDeview、WebSiteSniffer、WhatInStartup、ServiWin

10、通用软件或能力

云平台安全组、系统防火墙、everythingnotepad++powershellwireshark

11、关于Windows方面的积累我还有很多,列举如下

Windows系统小工具之pstools:psservice、psinfo……

Exception Processing Message 0xc000007b Parameters

Windows网络小工具之pstools:psping、pslist……

Win10这样卸载Edge浏览器不会导致注销和重启变慢

Windows网络小工具之traceroute和tcping

利用 WimBuilder2 最新稳定版 DIY Win10PE

制作种子文件分享自己制作的基于最新版Win10的WinPE

是否可以删除 WinSxS 文件夹

花15分钟时间掌握必知必会的20个PowerShell命令

fonts文件夹挖矿病毒识别办法

最全Windows代系介绍,迎接Windows 2020,回顾Windows XP经典

curl --tlsv1.x和--tls-max 1.x 参数详解

Windows奇技淫巧:如何添加TrustedInstaller权限

win10 、server 2019、office 2019激活

WinPE制作介绍

XP Win7 双系统 多用户远程连接配置

Visual Studio 2019 惨痛 踩坑 经历 0x80070490 0x80040154

Windows挂CFS(NFS)中文乱码如何解决

好用的Windows跨平台远程工具分享

Linux和Windows下硬盘/分区对拷和硬盘/分区写0是怎么回事

我爱你的一诺

WinNTSetup极大简化Windows系统安装

推荐一款非常实用的Windows驱动备份、恢复、删除的专用工具

DiskGenius 5.1版本bug很多,不建议使用

Windows命令新解

Windows SmartScreen阻止文件执行如何关闭?

sql server 2000、2005/2008/2008R2/2012/2014/2016/2017/2019 express全版本下载地址

sqlserver2008/2008R2/2012/2014/2016/2017/2019通用安装脚本

win10/server2016/server2019关闭系统自带安全保护

Windows安装dig命令

phpstudy8在windows2016上安装后在服务列表找不到服务

windows校验文件时计算md5、sha1、sha256值的若干种办法

误删除 文件 磁盘 格式化 勒索 加密 数据 恢复 指南

实用powershell命令

低配机器安装个WPS经常内存爆满卡死如何解决?

Windows 邮箱服务器 WinWebMail Server 配置过程

Windows安全狗导致的若干问题

解决explorer.exe被篡改加载NewOverlayIcon32(64).dll报错

IIS启动不了,80端口被占用,如何快速定位被谁占用

Windows查看网卡驱动版本

FileZilla 错误:Server unexpectedly closed network connection 无法连接到服务器

Windows服务器在Mac上远程后看起来字体和图标都特别小,如何解决?

安装Windows Performance Toolkit进行0.1微秒级CPU监控

到底哪个才是Windows服务器真正的用户名?

Windows服务器如何支持https多站点

分享个Windows远程会话管理工具,非常赞,谁用谁知道

3389 Windows 远程端口修改工具

任务管理器里所有进程的内存占用加起来怎么远小于总的内存×内存占用率?

关于Windows服务器默认远程会话数的说明

针对国内机房访问国外网站如亚马逊等网站效果较差时的解决办法

利用process explorer和autoruns找蓝屏、死机的异常点

Windows上利用powershell安装dotnet和iis

我常用的Windows命令

Windows远程复制粘贴大文件不稳定如何解决

Windows EIP直通手动配置步骤

Windows缓存目录200多万个缓存文件导致业务不可用

腾讯云618
avatar
腾讯云618
匿名

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: