【玩转腾讯云】Windows云服务器排障思路

Windows技术交流 • 2023-01-02 • 云技术社区 • 284 阅读

Windows排障对我来说很简单，毕竟是鼠标操作，而且有那么多小工具辅助排障，非常轻松。本文更偏重通用能力，不仅适用腾讯云，其他云也适用。专对腾讯云的话，推荐我写的一篇腾讯云SDK踩坑、填坑的文档，那个花了我上百个小时，是我10篇云+社区文档的集锦，腾讯云API Explorer工具的基本用法，让你熟练掌握6种SDK的使用。

回归本文主题，在说Windows排障思路之前，我先提醒一下大家，PC软件在Windows服务器上的一些意外表现我在这里特别介绍过，服务器上使用PC软件要谨慎。另外，Windows日志获取和分析并不难，我一般都自己分析，有提工单的功夫自己都分析出来原因了（个人感觉阿里云的工单服务最慢、腾讯云的工单服务给用户打电话的频率最高、华为云的工单服务我还在体验中……）。

言归正传，本文从系统驱动、应用软件、计划任务、开机加载项、系统关键目录、病毒木马、dmp文件分析、常用软件集nirsoft.net和sysinternals.com、通用软件10个方面进行简要介绍Windows排障思路。

1、系统驱动

①process explorer

如上图，只能选System进程，选择后点“view → Lower Pane View → Dlls (Ctrl+D)”，在下方有系统所有驱动，有4列：Name、Description、Company Name、Path，主要通过看“Company Name”这一列比较能容易分辨出哪些是新引入的。

也可以通过autoruns查看系统驱动、服务列表、计划任务来找异常。

https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

https://cloud.tencent.com/developer/article/1557575

整体来说，autoruns和process explorer是我进行Windows排障的必用工具，是性价比最高的Windows排障工具。

②nirsoft.net ServiWin

ServiWin utility displays the list of installed drivers and services on your system.

ServiWin实用程序显示系统上已安装的驱动程序和服务的列表。

http://www.nirsoft.net/utils/serviwin.html

nirsoft.net里还有个小工具叫InstalledDriversList，顾名思义就知道其作用。

2、应用软件

appwiz.cpl

第三方软件比如revo uninstaller pro、UninstallView(nirsoft.net小工具之一）等都可以查看系统已经安装的软件有哪些，这些软件可以比appwiz.cpl更详细地展示各软件安装的先后顺序，卸载的话也比appwiz.cpl卸载得干净一些。

3、计划任务

①计划任务快捷方式的位置

C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\Administrative Tools\\Task Scheduler.lnk

②命令：

taskschd.msc

③计划任务存在于4个位置：

C:\\Windows\\SysWOW64\\Tasks

C:\\Windows\\System32\\Tasks

C:\\Windows\\System\\

C:\\Windows\\Tasks\\

4、开机加载项

①对分析开机加载项有用的软件：

AnVir Task Manager

WhatInStartup

Autoruns

Security Task Manager

Startup Delayer

WinPatrol

②Winlogon Shell，打开组策略分析，没有的话略过

③分析注册表位置

HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\policies\\Explorer\\Run

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnceEx

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\RunServices

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\RunServicesOnce

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\policies\\Explorer\\Run

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnceEx

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunServices

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunServicesOnce

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\ShellServiceObjectDelayLoad\\

④Startup目录

C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\Startup

C:\\Users\\Administrator\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup

C:\\Windows\\SysWOW64\\config\\systemprofile\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup

C:\\Windows\\System32\\GroupPolicy\\Machine\\Scripts\\Startup

C:\\Documents and Settings\\All Users\\Start Menu\\Programs\\Startup

C:\\ProgramData\\Start Menu\\Programs\\Startup

⑤%xxx%目录

%APPDATA%

%CommonProgramFiles%

%TEMP% 和 %TMP%

%ProgramW6432%

%programfiles(X86)%

%programfiles%

%SYSTEMROOT%

%WINDIR%

%HOMEDRIVE%

%SYSTEMDRIVE%

%ALLUSERSPROFILE%

%USERPROFILE%

%public%

[c:\\progra~1]=[C:\\Program Files]

[c:\\progra~2]=[C:\\Program Files (x86)]

[c:\\progra~3]=[C:\\ProgramData]

[c:\\progra~1\\Intern~1\\]=[C:\\Program Files\\Internet Explorer\\]

[C:\\Users\\ADMINI~1\\]=[C:\\Users\\Administrator\\]

5、系统关键目录

C:\\Windows\\Fonts

‪C:\\Users\\Administrator\\Desktop

C:\\Windows\\Web

C:\\Windows\\Temp

C:\\Windows\\System

C:\\Windows\\System32

C:\\Windows\\

C:\\Windows\\System32\\Logs

C:\\Windows\\security

C:\\Windows\\INF

C:\\Windows\\debug

C:\\ProgramData\\Microsoft\\Windows\\Caches

C:\\Windows\\apppatch

C:\\Users\\Administrator\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files

C:\\Users\\Administrator\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files\\Content.IE5

……

运行框输入以上文件夹名称即可打开

例如

⑥系统环境变量

echo %path% （跟Linux不一样，Linux是echo $PATH）

6、服务列表

services.msc

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\services\\

好多木马病毒存在于硬盘并且在注册表里注册了“服务”，但是这个服务是隐藏的，并不能在services.msc列表里看到

psservice (sysinternals.com pstools工具集 https://cloud.tencent.com/developer/article/1617430）

7、病毒木马

360、电脑管家 https://cloud.tencent.com/developer/article/1612225

https://www.virustotal.com/gui/home/upload

http://lockhunter.com/download.htm

Windows木马病毒经常藏匿于以下位置

C:\\Users\\Administrator\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files

（还有其他用户的temp目录，替换用户名即可）

C:\\Users\\Administrator\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files\\Content.IE5

（还有其他用户的temp目录，替换用户名即可）

还有其他Content.IE5，用Everything搜一下

C:\\Windows\\Temp

C:\\Users\\ADMINI~1\\AppData\\Local\\Temp

C:\\Users\\Administrator\\AppData\\Local\\Temp同上

（还有其他用户的temp目录，替换用户名即可）

XP、2003的temp路径如下

C:\\DocumentsandSettings\\用户名\\LocalSettings\\Temp

C:\\DocumentsandSettings\\用户名\\LocalSettings\\Temporary Internet Files

C:\\Windows\\System32\\wbem

C:\\Windows\\System32\\drivers

C:\\Windows\\System32\\……

C:\\Windows\\inf\\

C:\\Windows\\Web\\

C:\\Windows\\debug\\

C:\\Windows\\Fonts

C:\\Windows\\……

各个分区的System Volume Information

杀毒命令（正常系统文件都有固定位置，不在原有位置的同名文件一般都是病毒木马）

wmic process where "name='svchost.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\svchost.exe'" call Terminate

wmic process where "name='wininit.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\wininit.exe'" call Terminate

wmic process where "name='csrss.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\csrss.exe'" call Terminate

wmic process where "name='csrs.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\csrs.exe'" call Terminate

wmic process where "name='WUDFHost.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\WUDFHost.exe'" call Terminate

wmic process where "name='services.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\services.exe'" call Terminate

wmic process where "name='taskhost.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\taskhost.exe'" call Terminate

wmic process where "name='conhost.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\conhost.exe'" call Terminate

wmic process where "name='winlogon.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\winlogon.exe'" call Terminate

wmic process where "name='msinfo.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\msinfo.exe'" call Terminate

wmic process where "name='explorer.exe' and executablepath<>'%SystemDrive%\\\\windows\\\\explorer.exe'" call Terminate

wmic process where "name='msinfo.exe' and ExecutablePath<>'C:\\\\WINDOWS\\\\system32\\\\msinfo.exe'" delete

wmic process where "name='explorer.exe' and executablepath<>'%SystemDrive%\\\\windows\\\\explorer.exe'" delete

获取字体目录里异常进程的命令，结果集里并不都是病毒，命令的作用是排除掉字体文件把剩下的文件列出来

wmic datafile where "drive='c:' and path='\\\\windows\\\\fonts\\\\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name

wmic datafile where "drive='c:' and path='\\\\windows\\\\fonts\\\\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name,Path,CreationDate,LastAccessed,LastModified

wmic datafile where "drive='c:' and path='\\\\windows\\\\fonts\\\\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name,Path,CreationDate,LastAccessed,LastModified /value

wmic datafile where "drive='c:' and path='\\\\windows\\\\fonts\\\\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name,Path,CreationDate,LastAccessed,LastModified /format:list

https://cloud.tencent.com/developer/article/1613296

8、dmp文件分析

①bluescreen view

http://www.nirsoft.net/utils/blue_screen_view.html

蓝屏示例

②windbg

9、其他可能会用到的软件

①Sysinternals.com工具集

Sysinternals里有pstools等一大堆实用小工具，这里要重点强调下，newsid.exe已经被淘汰了，不要在云服务器上乱用newsid，这可能会导致服务器黑屏或陷入recovery模式而无法恢复，如果是修改sid，建议使用sysprep命令或使用sidchg这个第三方软件。值得一提的是，sysprep有2个缺点：特别耗费时间、会清理“家目录”里的数据。

②nirsoft.net里面有很多好软件，比如UninstallView、LastActivityView、TurnedOnTimesView、WinLogOnView、BlueScreenView、BrowsingHistoryView、CurrPorts、DevManView、DriverView 、EventLogSourcesView、HashMyFiles、InstalledCodec、InstalledDriversList、ProcessActivityView、ProduKey、RegScanner 、ShellMenuView、SmartSniff、SoundVolumeView、SpecialFoldersView、USBDeview、WebSiteSniffer、WhatInStartup、ServiWin

SpecialFolderView

AppReadWriteCounte

NTFSLinksView

HtmlDocEdit

SimpleWMIView

LoadedDllsView

UninstallView

FullEventLogView

RegScanne

RegistryChangesView

TaskSchedulerView

LastActivityView