Sysinternals Suite 工具包使用指南

Windows Sysinternals Suite 是一套由微软官方免费提供的系统工具集，其中包含了大量超级实的优秀绿色小软件，譬如 Desktops (虚拟桌面)、Process Explorer (进程浏览器)、Autoruns (系统启动项管理) 等等，每一款都非常实用，绝对值得你了解、收藏并学习使用它们。

这些小工具原本是为了解决工程师们平常在工作上遇到的各种问题而开发的，之后他们将这些工具集合起来称为 Sysinternals，并免费提供公众下载，其中部分还开源了，一直以来都颇受 IT 界人士的好评。如果把管理员比喻成战士的话，那么 Sysinternals 就是我们手中的良兵利器。熟悉和掌握这些工具，并且对 Windows 的体系有一定的了解，将大幅提高你的电脑维护、应用技能……

每个软件都可以单独下载，当然更建议直接下载他们的集成版——Sysinternals Suite 系统工具套装。其实，这套工具包的下载地址几乎是常年不变的，基本都保持在10M大小，下载地址大家可以记住：https://learn.microsoft.com/en-us/sysinternals/downloads/sysinternals-suite

更多信息：https://learn.microsoft.com/en-us/archive/blogs/sysinternals/

好吧，下面是列表，都是中文说明。

一、各工具简介和微软官方网页

AccessChk(https://technet.microsoft.com/zh-cn/sysinternals/bb664922.aspx)

为了确保创建安全的环境，Windows 管理员通常需要了解特定用户或用户组对文件、目录、注册表项和 Windows 服务等资源具有哪种访问权限。AccessChk 能够通过直观的界面和输出快速回答这些问题。

AccessEnum(https://technet.microsoft.com/zh-cn/sysinternals/bb897332.aspx)

这一简单但强大的安全工具可以向您显示，谁可以用何种访问权限访问您系统中的目录、文件和注册表项。使用此工具可查找权限漏洞。

AdExplorer(https://technet.microsoft.com/zh-cn/sysinternals/bb963907.aspx)

Active Directory Explorer 是一个高级的 Active Directory (AD) 查看器和编辑器。

AdInsight(https://technet.microsoft.com/zh-cn/sysinternals/bb897539.aspx)

一种 LDAP（轻型目录访问协议）实时监视工具，旨在对 Active Directory 客户端应用程序进行故障排除。

AdRestore(https://technet.microsoft.com/zh-cn/sysinternals/bb963906.aspx)

恢复已删除的 Server 2003 Active Directory 对象。

Autologon(https://technet.microsoft.com/zh-cn/sysinternals/bb963905.aspx)

登录过程中跳过密码屏幕。

Autoruns(https://technet.microsoft.com/zh-cn/sysinternals/bb963902.aspx)

查看哪些程序被配置为在系统启动和您登录时自动启动。Autoruns 还能够完整列出应用程序可以配置自动启动设置的注册表和文件位置。

BgInfo(https://technet.microsoft.com/zh-cn/sysinternals/bb897557.aspx)

此完全可配置程序会自动生成桌面背景，其中包含有关系统的 IP 地址、计算机名称、网络适配器及更多内容的重要信息。

BlueScreen(https://technet.microsoft.com/zh-cn/sysinternals/bb897558.aspx)

此屏幕保护程序不仅精确模拟“蓝屏”，而且也模拟重新启动（完成 CHKDSK），并可在 Windows NT 4、Windows 2000、Windows XP、Server 2003 和 Windows 9x 上工作。

CacheSet(https://technet.microsoft.com/zh-cn/sysinternals/bb897561.aspx)

CacheSet 是一个允许您利用 NT 提供的功能来控制缓存管理器的工作集大小的程序。它与 NT 的所有版本都兼容。

ClockRes(https://technet.microsoft.com/zh-cn/sysinternals/bb897568.aspx)

查看系统时钟的分辨率，亦即计时器最大分辨率。

Contig(https://technet.microsoft.com/zh-cn/sysinternals/bb897428.aspx)

您是否希望迅速对您频繁使用的文件进行碎片整理？使用 Contig 优化单个的文件，或者创建连续的新文件。

Coreinfo(https://technet.microsoft.com/zh-cn/sysinternals/cc835722.aspx)

Coreinfo 是一个新的命令行实用工具，可向您显示逻辑处理器与物理处理器之间的映射、NUMA 节点和它们所处的插槽，以及分配给每个逻辑处理器的缓存。

Ctrl2cap(https://technet.microsoft.com/zh-cn/sysinternals/bb897578.aspx)

这是一个内核模式的驱动程序，可在键盘类驱动程序上演示键盘输入过滤，以便将 Caps-Lock 转变为控制键。在此级别过滤允许在 NT 刚好要“看到”键之前变换和隐藏键。Ctrl2cap 还显示如何使用 NtDisplayString() 打印初始化蓝屏的消息。

DebugView(https://technet.microsoft.com/zh-cn/sysinternals/bb896647.aspx)

Sysinternals 的另一个优先程序：此程序截取设备驱动程序对 DbgPrint 的调用和 Win32 程序生成的 OutputDebugString。它允许在不使用活动的调试器的情况下，在本地计算机上或通过 Internet 查看和记录调试会话输出。

Desktops(https://technet.microsoft.com/zh-cn/sysinternals/cc817881.aspx)

使用这一新的实用工具可以创建最多四个虚拟桌面，使用任务栏界面或热键预览每个桌面上的内容并在这些桌面之间轻松地进行切换。

Disk2vhd(https://technet.microsoft.com/zh-cn/sysinternals/ee656415.aspx)

Disk2vhd 可简化从物理系统到虚拟机 (p2v) 的迁移。

DiskExt(https://technet.microsoft.com/zh-cn/sysinternals/bb896648.aspx)

显示卷磁盘映射。

Diskmon(https://technet.microsoft.com/zh-cn/sysinternals/bb896646.aspx)

此实用工具会捕捉所有硬盘活动，或者在您的系统任务栏中象软件磁盘活动灯一样工作。

DiskView(https://technet.microsoft.com/zh-cn/sysinternals/bb896650.aspx)

图形磁盘扇区实用工具。

Disk Usage (DU)(https://technet.microsoft.com/zh-cn/sysinternals/bb896651.aspx)

按目录查看磁盘使用情况。

EFSDump(https://technet.microsoft.com/zh-cn/sysinternals/bb896735.aspx)

查看加密文件的信息。

Handle(https://technet.microsoft.com/zh-cn/sysinternals/bb896655.aspx)

此易用命令行实用工具将显示哪些进程打开了哪些文件，以及更多其他信息。

Hex2dec(https://technet.microsoft.com/zh-cn/sysinternals/bb896736.aspx)

将十六进制数字转换为十进制及反向转换。

接合点(https://technet.microsoft.com/zh-cn/sysinternals/bb896768.aspx)

创建 Win2K NTFS 符号链接。

LDMDump(https://technet.microsoft.com/zh-cn/sysinternals/bb897413.aspx)

转储逻辑磁盘管理器在磁盘上的数据库内容，其中说明了 Windows 2000 动态磁盘的分区情况。

ListDLLs(https://technet.microsoft.com/zh-cn/sysinternals/bb896656.aspx)

列出所有当前加载的 DLL，包括加载位置及其版本号。2.0 版将打印已加载模块的完整路径名。

LiveKd(https://technet.microsoft.com/zh-cn/sysinternals/bb897415.aspx)

使用 Microsoft 内核调试程序检查真实系统。

LoadOrder(https://technet.microsoft.com/zh-cn/sysinternals/bb897416.aspx)

查看设备加载到 WinNT/2K 系统中的顺序。

LogonSessions(https://technet.microsoft.com/zh-cn/sysinternals/bb896769.aspx)

列出系统中的活动登录会话。

MoveFile(https://technet.microsoft.com/zh-cn/sysinternals/bb897556.aspx)

使您可以安排在系统下一次重新启动时执行移动和删除命令。

NTFSInfo(https://technet.microsoft.com/zh-cn/sysinternals/bb897424.aspx)

用 NTFSInfo 可以查看有关 NTFS 卷的详细信息，包括主文件表 (MFT) 和 MFT 区的大小和位置，以及 NTFS 元数据文件的大小。

PageDefrag(https://technet.microsoft.com/zh-cn/sysinternals/bb897426.aspx)

对您的分页文件和注册表配置单元进行碎片整理。

PendMoves(https://technet.microsoft.com/zh-cn/sysinternals/bb897556.aspx)

枚举在系统下一次启动时所要执行的文件重命名和删除命令的列表。

PipeList(https://technet.microsoft.com/zh-cn/sysinternals/dd581625.aspx)

显示系统上的命名管道，包括每个管道的最大实例数和活动实例数。

PortMon(https://technet.microsoft.com/zh-cn/sysinternals/bb896644.aspx)

通过高级监视工具监视串行端口和并行端口的活动。它能识别所有的标准串行和并行 IOCTL，甚至可以显示部分正在发送和接收的数据。3.x 版具有强大的新 UI 增强功能和高级筛选功能。

ProcDump(https://technet.microsoft.com/zh-cn/sysinternals/dd996900.aspx)

这一新的命令行实用工具旨在捕获其他方式难以隔离和重现 CPU 峰值的进程转储。该工具还可用作用于创建进程转储的一般实用工具，并可以在进程具有挂起的窗口或未处理的异常时监视和生成进程转储。

Process Explorer(https://technet.microsoft.com/zh-cn/sysinternals/bb896653.aspx)

找出进程打开了哪些文件、注册表项和其他对象以及已加载哪些 DLL 等信息。这个功能异常强大的实用工具甚至可以显示每个进程的所有者。

Process Monitor(https://technet.microsoft.com/zh-cn/sysinternals/bb896645.aspx)

实时监视文件系统、注册表、进程、线程和 DLL 活动。

ProcFeatures(https://technet.microsoft.com/zh-cn/sysinternals/bb897554.aspx)

这一小程序会报告处理器和 Windows 对“物理地址扩展”和“无执行”缓冲区溢出保护的支持情况。

PsExec(https://technet.microsoft.com/zh-cn/sysinternals/bb897553.aspx)

在远程系统上执行进程。

PsFile(https://technet.microsoft.com/zh-cn/sysinternals/bb897552.aspx)

查看远程打开的文件。

PsGetSid(https://technet.microsoft.com/zh-cn/sysinternals/bb897417.aspx)

显示计算机或用户的 SID。

PsInfo(https://technet.microsoft.com/zh-cn/sysinternals/bb897550.aspx)

获取有关系统的信息。

PsKill(https://technet.microsoft.com/zh-cn/sysinternals/bb896683.aspx)

v1.13（2009 年 12 月 1 日）

终止本地或远程进程。

PsList(https://technet.microsoft.com/zh-cn/sysinternals/bb896682.aspx)

显示有关进程和线程的信息。

PsLoggedOn(https://technet.microsoft.com/zh-cn/sysinternals/bb897545.aspx)

显示登录到某个系统的用户。

PsLogList(https://technet.microsoft.com/zh-cn/sysinternals/bb897544.aspx)

转储事件日志记录。

PsPasswd(https://technet.microsoft.com/zh-cn/sysinternals/bb897543.aspx)

更改帐户密码。

PsService(https://technet.microsoft.com/zh-cn/sysinternals/bb897542.aspx)

查看和控制服务。

PsShutdown(https://technet.microsoft.com/zh-cn/sysinternals/bb897541.aspx)

关闭并重新启动（可选）计算机。

PsSuspend(https://technet.microsoft.com/zh-cn/sysinternals/bb897540.aspx)

挂起和继续进程。

PsTools(https://technet.microsoft.com/zh-cn/sysinternals/bb896649.aspx)

PsTools 套件包括一些命令行程序，可列出本地或远程计算机上运行的进程、远程运行进程、重新启动计算机、转储事件日志，以及执行其他任务。

RegDelNull(https://technet.microsoft.com/zh-cn/sysinternals/bb897448.aspx)

扫描并删除包含嵌入空字符的注册表项，标准注册表编辑工具不能删除这种注册表项。

RegJump(https://technet.microsoft.com/zh-cn/sysinternals/bb963880.aspx)

跳至 Regedit 中指定的注册表路径。

RootkitRevealer(https://technet.microsoft.com/zh-cn/sysinternals/bb897445.aspx)

扫描系统以找出基于 Rootkit 的恶意软件。

SDelete(https://technet.microsoft.com/zh-cn/sysinternals/bb897443.aspx)

安全地覆盖敏感文件，并使用此符合 DoD 的安全删除程序清理先前删除文件所在的可用空间。

ShareEnum(https://technet.microsoft.com/zh-cn/sysinternals/bb897442.aspx)

扫描网络上的文件共享并查看其安全设置，以关闭安全漏洞。

ShellRunas(https://technet.microsoft.com/zh-cn/sysinternals/cc300361.aspx)

通过方便的 shell 上下文菜单项，作为另一个用户启动程序。

Sigcheck(https://technet.microsoft.com/zh-cn/sysinternals/bb897441.aspx)

转储文件版本信息并检查系统中的映像是否已进行数字签名。

Streams(https://technet.microsoft.com/zh-cn/sysinternals/bb897440.aspx)

显示 NTFS 备用数据流。

Strings(https://technet.microsoft.com/zh-cn/sysinternals/bb897439.aspx)

在二进制映像中搜索 ANSI 和 UNICODE 字符串。

Sync(https://technet.microsoft.com/zh-cn/sysinternals/bb897438.aspx)

将缓存数据刷新到磁盘。

TCPView(https://technet.microsoft.com/zh-cn/sysinternals/bb897437.aspx)

活动套接字命令行查看器。

VMMap(https://technet.microsoft.com/zh-cn/sysinternals/dd535533.aspx)

VMMap 是进程虚拟和物理内存分析实用工具。

VolumeId(https://technet.microsoft.com/zh-cn/sysinternals/bb897436.aspx)

设置 FAT 或 NTFS 驱动器的卷 ID。

Whois(https://technet.microsoft.com/zh-cn/sysinternals/bb897435.aspx)

查看 Internet 地址的所有者。

WinObj(https://technet.microsoft.com/zh-cn/sysinternals/bb896657.aspx)

基本对象管理器命名空间查看器。

ZoomIt(https://technet.microsoft.com/zh-cn/sysinternals/bb897434.aspx)

在屏幕上进行缩放和绘图的演示实用工具。

二、Sysinternals Suite 小工具下载排行前10名（靠上的越受欢迎）

Process Explorer

AutoRuns

Process Monitor

PsTools

PageDefrag

RootkitRevealer

TcpView

BgInfo

BlueScreen

NewSid