Verwenden von Process Monitor zur Fehlerbehebung und Suche nach Registrierungs-Hacks

In der heutigen Ausgabe der Geek School lernen Sie, wie Sie mit Process Monitor tatsächlich Fehler beheben und Registrierungshacks herausfinden, von denen Sie sonst nichts wissen würden.

Process Monitor ist eines der beeindruckendsten Tools, die Sie in Ihrem Toolkit haben können, da es fast keine andere Möglichkeit gibt, zu sehen, was eine Anwendung tatsächlich unter der Haube tut. Nur so können Sie feststellen, in welche Dateien von welchem ​​Prozess geschrieben wird, wo Dinge in der Registrierung gespeichert sind und welche Dateien darauf zugreifen.

Wir beginnen mit der heutigen Lektion, indem wir uns ansehen, wie Registrierungsschlüssel mithilfe von Windows-Einstellungsdialogen und Process Monitor gefunden werden. Anschließend werden wir ein aktuelles Fehlerbehebungsszenario durchgehen, das auf einem unserer Computer im Labor aufgetreten ist und leicht zu lösen ist mit Process Monitor.

Verwenden des Prozess-Explorers zum Suchen von Registrierungsschlüsseln für allgemeine Einstellungen

Jeder hat irgendwann auf ein Kontrollkästchen geklickt oder den Wert eines Dropdown-Felds geändert. Haben Sie sich jemals gefragt, wo diese Werte tatsächlich gespeichert sind? Viele Anwendungen und praktisch alles in Windows werden in der Registrierung gespeichert… irgendwo.

Für das heutige Beispiel verwenden wir die erste Option im ersten Bereich der Taskleiste und der Navigationseigenschaften. Dies ist ein Dialogfeld, das in allen Windows-Versionen vorhanden sein sollte. Unsere Mission ist es nun herauszufinden, wo diese Einstellung tatsächlich in der Registrierung gespeichert ist. Sie können dieser bestimmten Einstellung folgen oder eine der anderen Einstellungen im selben Dialogfeld ausprobieren – oder an einer anderen Stelle, für die Sie den verborgenen Einstellungsort suchen möchten.

Das erste, was Sie tun möchten, wenn Sie versuchen, einen Datensatz zu erfassen, ist, Process Monitor zu starten und dann die Einstellung zu ändern. An diesem Punkt können Sie verhindern, dass Process Monitor weiterhin Ereignisse erfasst, damit die Liste nicht außer Kontrolle gerät. (Hinweis: Das Menü Datei hat die Option, oder es ist das dritte Symbol von links).

Jetzt, da wir eine Menge Daten in der Liste haben, ist es Zeit, die Liste zu filtern, um die Anzahl der Zeilen zu reduzieren, die wir durchsehen müssen. Da es sich um einen Registrierungswert handelt, der geändert wird, müssen wir nach «RegSetValue» filtern. Dies ist das, was Windows verwendet, um einen Registrierungsschlüssel tatsächlich auf eine neue Einstellung festzulegen. Verwenden Sie die Option «Einschließen», um diese Ereignisse anzuzeigen.

Ihre Liste sollte jetzt nur noch auf Registrierungsschlüssel beschränkt sein, die geändert wurden. Es ist also an der Zeit, sich die Ereignisse anzusehen und herauszufinden, um welchen Registrierungsschlüssel es sich handelt. Da wir die Einstellung «Taskleiste sperren» überprüfen und einer der gesetzten Registrierungsschlüssel das Wort «Taskleiste» im Namen enthält, ist dies ein guter Anfang. Klicken Sie mit der rechten Maustaste auf den Pfad und wählen Sie «Zum Speicherort springen».

Process Monitor öffnet den Registrierungseditor und markiert den Schlüssel in der Liste. Jetzt müssen wir sicherstellen, dass dies tatsächlich der richtige Schlüssel ist, was ziemlich einfach herauszufinden ist. Schauen Sie sich die Einstellung an und dann den Schlüssel. Im Moment ist die Einstellung aktiviert und die Taste ist auf 0 gesetzt.

Ändern Sie also die Einstellung, klicken Sie im Dialogfeld auf Übernehmen und aktualisieren Sie das Registrierungseditorfenster mit der Taste F5. In unserem Fall haben wir definitiv die richtige Einstellung ausgewählt, sodass Sie jetzt sehen können, dass der TaskbarSizeMove-Wert auf 1 gesetzt ist.

Wenn Sie nicht den richtigen Wert ausgewählt haben, wird beim erneuten Durchführen des Einstellungstests keine Änderung angezeigt. Suchen Sie also die nächste logische und beginnen Sie von vorne.

Fehlerbehebung bei Problemen mit Process Monitor

Es ist nicht wirklich möglich, in einem einzigen Artikel zu veranschaulichen, wie Probleme mit Process Monitor oder einem anderen Tool behoben werden können. Es gibt einfach viel zu viele Problemkombinationen, die möglicherweise schief gehen könnten.

Wir können jedoch zeigen, wie wir Process Monitor tatsächlich verwendet haben, um ein echtes Problem zu beheben, das tatsächlich auf einem unserer Testcomputer aufgetreten ist. Wir hatten Crapware installiert und beschlossen dann, den Computer aufzuräumen. Das Problem war ein Eintrag im Fenster «Programme deinstallieren», der einfach nicht verschwinden würde.

Jedes Mal, wenn Sie auf Ändern klicken, um es zu entfernen, wird die Fehlermeldung «Beim Deinstallieren von AwfulApp ist ein Fehler aufgetreten» angezeigt. Möglicherweise wurde es bereits deinstalliert. Möchten Sie AwfulApp aus der Liste der Programme und Funktionen entfernen? “.

Das wäre großartig gewesen, außer wir haben dann eine Fehlermeldung erhalten, die besagt: „Sie haben nicht genügend Zugriff, um OutfoxTV aus der Liste der Programme und Funktionen zu entfernen. Bitte kontaktieren Sie Ihren Systemadministrator.»

Das erste, was zu tun war, war, den Deinstallationsprozess bei laufendem Prozessmonitor erneut zu versuchen, der eine enorme Datenmenge erfasste. Dieses Mal haben wir uns entschieden, die Suchfunktion (STRG + F) zu verwenden, um schnell zu finden, wonach wir in der Liste gesucht haben. Sie können auch einen Filter verwenden, wenn Sie möchten, aber dies schien einfach zu sein, und zum Glück hat es beim ersten Mal funktioniert.

Nachdem wir uns das erste Element in der Liste angesehen hatten, stellten wir einen Fehler fest: Windows versuchte, auf die Registrierungsschlüssel für das Deinstallationsprogramm zuzugreifen, diese befanden sich jedoch nicht an der ersten Stelle in der Registrierung, die Windows suchte. Wenn Sie jedoch ein paar Schlüssel nach unten schauen, wird unter HKLM Software Wow6432Node ein RegOpenKey-Ereignis mit einem SUCCESS-Ergebnis für etwas angezeigt.

Die Suche nach diesem Registrierungsschlüssel führte uns sehr schnell zur Ursache des Problems: Eine Meldung «Zugriff verweigert», als Windows versuchte, die Bereinigung der Liste mithilfe des RegDeleteKey-Vorgangs durchzuführen. Interessant!

Als erstes mussten Sie die Funktion «Springen zu» verwenden, um den Schlüssel in der Registrierung zu finden und einen Blick darauf zu werfen.

Schauen Sie sich all diese Registrierungsschlüssel dort an! Kein Wunder, dass es immer noch in der Liste erscheint.

Um sicherzugehen, haben wir das Verzeichnis C: Programme geöffnet, um zu sehen, ob noch Dateien vorhanden sind, aber die App wurde offensichtlich bereits vom PC gelöscht.

Die Lösung war sehr einfach: Wir haben nur den Registrierungsschlüssel manuell gelöscht, bei dem Windows Probleme beim Löschen hatte. Wenn wir eine Nachricht erhalten hätten, dass der Zugriff verweigert wurde, hätten wir die Einstellung Berechtigungen verwenden können, um sicherzustellen, dass wir Zugriff haben, und es erneut versucht.

Zum Glück funktionierte das Löschen sofort und unsere Liste der Deinstallationsprogramme war jetzt klar.

Dies sind nur einige der vielen Möglichkeiten, wie Sie Process Monitor verwenden können. Es ist ein äußerst wichtiges und nützliches Dienstprogramm, dessen Beherrschung einige Zeit in Anspruch nehmen wird. Wenn Sie dies jedoch tun, kann es Ihnen wirklich bei der Lösung vieler Probleme helfen.

Nächste Lektion

Ab Montag mit der nächsten Lektion werden wir viele der anderen Dienstprogramme im SysInternals Toolkit untersuchen, einschließlich einiger der leistungsstarken Befehlszeilen-Tools.