Process hacker 2 как пользоваться

Диспетчер процессов и редактор памяти Process Hacker

Знающие пользователи персональных компьютеров, ранее сталкивавшиеся с компьютерными вирусами, при малейшем подозрении на заражение в первую очередь лезут в диспетчер задач, чтобы проверить, а не «сидит» ли в списке какой-нибудь подозрительный процесс. Ведь не всегда использование антивирусных программ гарантирует полную безопасность системы. И многие разработчики создают аналоги диспетчера задач. Одна из подобных утилит под названием Process Hacker в сегодняшнем обзоре.

Process Hacker сканирует при запуске память и отображает список активных в данный момент процессов. В таблице указано название процесса и дополнительные данные: идентификатор, размер используемой памяти, размер считываемых и записываемых данных, процент использования процессора, имя пользователя и описание процесса.

Вкладка Services отображает список запущенных сервисов. Здесь указаны названия сервисов, тип, статус и способ запуска.

Здесь же правый клик на сервисе открывает контекстное меню, где можно перейти на процесс сервиса (Go to Process), запустить, остановить, перезапустить или удалить его, а также открыть окно свойств сервиса.

Вкладка Network отображает список процессов, имеющих доступ к локальной сети или интернету. Весьма полезная информация для определения приложений или процессов, передающих или получающих данные из интернета. Может помочь для выявления троянов или вирусов. В списке отображается название процесса, локальный адрес и порт, удалённый адрес и порт, используемый протокол и состояние.

Здесь правый клик на сетевом процессе позволяет запустить пинг удалённого адреса (Tools — Ping), отследить маршрут пакетов (Tools — Traceroute) или узнать данные о сайте по IP (Tools — Whois). В последнем случае Process Hacker открывает в браузере интернет-сервис, выдающий информацию.

Кнопка [System information] открывает окно с суммарной информацией об использовании системы. Здесь представлено несколько постоянно обновляемых графиков использования процессора (флажок Show one graph per CPU позволяет показывать график использования каждого ядра процессора), чтения и записи данных, а также использования памяти. Кроме того, в нижней части окна сосредоточена краткая информация о количестве запущенных процессов, времени работы системы, использовании физической памяти, количестве прерываний и системных вызовов и др.

Теперь рассмотрим немного подробнее возможности Process Hacker по управлению процессами. Вкладка Processes, как уже говорилось, отображает список активных процессов. Правый клик открывает контекстное меню с большим списком поддерживаемых функций. В первую очередь, это возможность удаления из памяти ненужного или «подвисшего» процесса. Для этого выбираем пункт Terminate или жмём клавишу Delete . Terminate Tree очищает в памяти целую ветку процессов. Три функции позволяют управлять запуском процессов: Suspend для приостановки, Resume для запуска и Restart для перезапуска.

При выборе пункта Properties открывается окно с обширной информацией о процессе. Здесь можно узнать о разработчике, местонахождении файла, увидеть командную строку, сколько времени запущен процесс, просмотреть статистику использования процессора и памяти выбранным процессом, проследить за графиками активности процесса, узнать, какие DLL использует процесс и многое другое.

Через меню Tools – Hidden Processes открывается утилита для поиска скрытых процессов. Этот инструмент также будет полезен вирусоискателям, так как многие трояны скрывают свой процесс и обычными средствами Windows их невозможно увидеть (а иногда и сами эти средства становятся недоступны, что лишний раз подтверждает необходимость использования сторонних диспетчеров процессов наподобие Process Hacker). Здесь достаточно нажать кнопку [Scan] и дождаться составления списка всех процессов. Если программа обнаружит скрытый процесс, то он будет отмечен.

Характеристики:
Язык интерфейса: английский
ОС: Windows 2000, XP, Vista, 7
Размер файла: 1,7 Мб
Лицензия: бесплатная

Как инжектить через Process Hacker

DLL Injection — это техника, используемая для манипулирования работой процесса путем запуска DLL-файла в адресном пространстве процесса. В сообществе геймеров данная техника используется для внедрения читов в игру. Наиболее популярные сетевые игры для инжекта: CS GO, Minecraft, Roblox, Fortnite.

DLL (dynamic link library) — это библиотечный файл Windows, используемый программой для вызова существующих функций.

Таким образом, произвольная команда может быть запущена на целевой системе через специально созданную DLL. Большинство атак DLL Injection проводится для атак с целью обратной разработки. Кроме того, этот метод может быть использован для увеличения прав и полномочий целевой системы.Процесс внедрения DLL в процесс состоит из следующих шагов:

1. Файл DLL, который должен быть внедрен в процесс, помещается в целевую систему;
2. В памяти целевого процесса выделяется место для указания пути DLL-файла;
3. Путь каталога, в котором находится DLL-файл, копируется в память процесса и определяются соответствующие адреса памяти;
4. DLL-файл исполняется и начинает выполнять свои процессы через процесс, в который он внедрен.

Инжект читов или DLL библиотек

;
1. Запустите игру или программу для которой необходим инжект;
2. Щелкните правой кнопкой мыши игровой процесс;
3. Выберите подменю «Разное» или «Miscellaneous»;
4. Выберите ‘Inject Dll’;
5. Выберите свой мод и нажмите кнопку «Открыть». Откроется ваша библиотека;
6. Снова щелкните правой кнопкой мыши на игровом процессе и выберите «Свойства»;
7. Перейдите на вкладку «Модули» и убедитесь, что ваш мод есть в списке.

Process Hacker: программа для управления процессами и поиска вредоносных программ

Windows Диспетчер задач — очень мощный инструмент. Благодаря ему мы можем знать все программы, которые загружаются в память, и процессы, которые выполняются в реальном времени. Однако для пользователей, которые хотят или нуждаются в дополнительных сведениях о процессах, выполняемых на компьютере, этот инструмент может оказаться недостаточным. Следовательно, необходимо всегда иметь под рукой более полные диспетчеры задач, которые позволяют нам знать в реальном времени состояние нашего компьютера, как в случае с Хакер процесса.

Process Hacker — это полноценный инструмент для Windows, полностью бесплатный и с открытым исходным кодом, предназначенный для замены диспетчера задач Windows для пользователей, которым требуется гораздо больший контроль над процессами на ПК.

Please enable JavaScript

Как мы видим, основной интерфейс гораздо более полный и подробный, чем интерфейс самого диспетчера задач Windows. Кроме того, его намного легче читать, поскольку каждый процесс имеет правильно помеченные потоки.

Если мы щелкнем правой кнопкой мыши по любому из процессов, которые мы открыли на ПК, мы сможем увидеть список действий, которые мы можем выбрать. Среди них мы сможем завершить любой процесс, целое дерево процессов и даже изменить приоритеты или искать дополнительную информацию о рассматриваемом процессе в Интернете.

Наряду с открытыми процессами, эта программа также позволяет нам контролировать службы, работающие на ПК. И, конечно, мы также будем контролировать их.

Особенности Process Hacker

Одной из особенностей этой программы является возможность отображения графики о состоянии оборудования в режиме реального времени. С использованием Сочетание клавиш Control + I мы всегда сможем узнать об использовании памяти, графики и ЦП нашего ПК. Благодаря этому простому монитору мы сможем узнать, работает ли какой-либо компонент (например, ядро ​​ЦП) на полную мощность, имея отправную точку при расследовании, например, неисправности Windows.

Еще одной из его основных функций является возможность сообщить нам, блокирует ли процесс определенный файл или папку. Использование сочетания клавиш Ctrl + F мы сможем увидеть поиск конкретных процессов и библиотек DLL, так что, если какой-либо файл создает проблемы для его устранения, мы можем легко это сделать.

Если наш Интернет работает медленно, другой функцией Process Hacker, которую мы можем использовать, является его сетевой анализатор. В пределах Cеть На вкладке главного окна мы сможем найти все процессы, которые имеют активное интернет-соединение. Таким образом, если какой-либо из них не будет подключен, мы можем принудительно завершить процесс.

Эта программа также позволяет нам знать в режиме реального времени активность нашего диска , Очень важная особенность, благодаря которой мы сможем узнать приоритет ввода / вывода каждого процесса и узнать, что что-то делает с устройством без разрешения.

Другие выдающиеся функции этой программы являются:

• Это позволяет узнать в режиме реального времени об использовании WOW64 и .NET.
• Имеет функцию создания, редактирования и управления сервисами.
• Очень маленький, портативный и 100% открытый исходный код с лицензией GPLv3.
• KProcessHacker, драйвер режима ядра для доступа к ядру Windows.

Инструмент разработчика

Возможности, предлагаемые этим диспетчером задач для Windows, очень велики. И хотя вышеперечисленные являются основными функциями этой программы, конечно, они не единственные. Process Hacker — это программа, широко используемая программистами, поскольку она позволяет нам выгружать информацию из памяти любого процесса в режиме реального времени.

Благодаря «Свалка» Опцию мы можем получить сырой дамп памяти, чтобы проанализировать, что именно происходило в памяти нашего ПК. И, кроме того, он имеет «Отладка» инструмент, который позволяет нам отлаживать любой процесс в режиме реального времени.

И это также позволяет нам видеть всю информацию о любом исполняемом файле, чтобы мы могли легко знать, что он делает или к каким библиотекам он имеет доступ.

Опасное использование

В хороших руках Process Hacker — очень мощный инструмент, который позволяет нам полностью контролировать все, что работает на нашем ПК. Однако в чужих руках это может быть опасный инструмент.

Это программное обеспечение позволяет вам завершить любой процесс, который выполняется на нашем ПК. В том числе программы безопасности и антивирус. Поэтому есть группы хакеров, которые используют этот инструмент в фоновом режиме, чтобы завершить или заблокировать антивирусные процессы.

Скачать Process Hacker

Эта программа является полностью бесплатной и с открытым исходным кодом. Если мы хотим использовать его, мы можем загрузить последнюю версию, доступную с Следующая ссылка , Эта программа совместима как с 32-битными, так и с 64-битными системами. И мы можем запустить его в Windows 7, 8.1 и Windows 10. Кроме того, если у нас более старая система, такая как XP или Vista, мы можем загрузить версию «Legacy», которая работает в этих старых выпусках.

Наконец, мы можем выбрать между устанавливаемой версией, чтобы всегда иметь под рукой программу, или переносной версией, гораздо более удобной и которую мы всегда можем носить с собой вручную по USB.

Другие альтернативы для замены диспетчера задач

Помимо Process Hacker, в сети мы также можем найти другие программы, предназначенные для замены диспетчера задач Windows. Некоторые из наиболее важных являются:

Process Explorer vs Process Hacker

Многим людям рано или поздно приходит в голову мысль, что стандартный менеджер процессов Windows весьма слаб по функционалу. Начинаются поиски альтернативы, которые в основном тут же и заканчиваются при обнаружении Process Explorer от Марка Руссиновича. Вот и Хабр даже советует эту программу.

Что тут можно сказать? Конечно, Process Explorer — это хорошая программа. Однако, не идеал. Именно в пику её неидеальности существует не только бесплатная, но и свободная альтернатива — Process Hacker. А теперь мы детально и по пунктам рассмотрим, почему Process Hacker не просто «чуть-чуть лучше», а лучше на порядок, лучше на столько, что переводит программу для продвинутого пользователя в класс инструмента системного программиста или администратора.

Термины

Ради сокращения количеств букв я буду называть Process Explorer (от Марка Руссиновича) — PE, а Process Hacker (от комьюнити) — PH.

Opensource

Я не яростный фанат свободного ПО: если проприетарная программа делает, что мне нужно, а свободная — нет, то первая лучше. Однако при прочих равных (а в данном случае PH точно не хуже) свободное ПО даёт больше пространства для манёвра. PH живёт на Sourceforge со всеми вытекающими преимуществами, весьма живым форумом и частыми релизами.

Установка

Обе программы удобнее всего использовать в виде portable-версий.
PE требует прочитать и согласиться с лицензией.
PH просто запускается и работает.

Обновление

PE не умеет проверять наличие обновлений
PH умеет проверять наличие обновлений

Иконки в трее

Есть у обеих программ. По-дефолту PE показывает там только загрузку CPU в User Mode. По-дефолту PH показывает загрузку CPU и в UserMode и в Kernel Mode.
О стиле цветовой схемы можно спорить, но лично мне красный цвет на чёрном фоне (у PH) более заметен, чем светло-зелёный на белом (у PE).

У PE можно включить до 7 иконок в трее с разной полезной информацией
У PH можно включить до 8 иконок в трее с разной полезной информацией

Уведомление о процессах\сервисах\драйверах

Абсолютно незаменимая вещь в PH — уведомления о старте\остановке\установке сервисов и драйверов. При разработке такого ПО цикл «установить, запустить, проверить, остановить, удалить» приходится делать по 20 раз на день — и с PH сразу видишь, удачно идёт дело или нет, нет нужды лезть в «Службы» или «Диспетчер устройств», нажимать там «Обновить», ждать изменений.

Контекстное меню иконок в трее

Обе программы позволяют через контекстное меню иконки в трее открывать главное окно, перезагружать\выключать компьютер, открывать окно системной информации. Но PH ещё позволяет управлять вышеупомянутыми нотификациями и десятком процессов (из топа загрузки CPU).

System Information

Окна System Information в обеих программах очень похожи и по функционалу и по дизайну. PE разбивает информацию по вкладкам, PH — открывает вкладки по клику на диаграммах в главном окне. PH показывает чуть-чуть больше информации (название процессора, общий объём физической памяти и т.д.).

Главное окно

Интерфейсы программ выглядят достаточно схоже: дерево процессов и там и там.

Отметим, однако, нюансы.

Раскраска

1. Раскраска есть в обоих программах, но если в PE она по столбикам, то в PH — по строкам. В итоге в PH удобно взглядом проследить по горизонтали все данные одного процесса, а в PE — по вертикали использование какого-нибудь ресурса разными процессами. (upd: в комментариях подсказывают, что в PE это настраивается)
2. Настройка раскраски есть и там и там, но если PE настраиваются цвета для 8 типов процессов, то в PH — для 16 (плюс некоторые опции типа длительности подсветки процесса).

Выбор столбиков с информацией о процессе

Примерно равное количество параметров у обеих программ. У PE они распределены по группам, у PH — по алфавиту. В итоге если вы знаете точное название параметра — его быстрее найти в PH, если только какой области он касается (память, диск, сеть) — быстрее в PE. Кроме того надо признать, что PE больше знает о внутренних параметрах .NET-процессов (PH тоже идёт в этом направлении, есть специальный плагин для счётчиков .NET)

Фильтр по имени процесса

Нет в PE
Есть в PH, поддерживает ключевые слова для поиска определённых типов процессов

Диаграммы производительности на тулбаре

Есть в PE
Нет в PH
Это тот редкий случай, когда что-то есть в PE и нет в PH. Давайте, однако, посмотрим как они выглядят:

Подписей нет, осей нет, при беглом взгляде не понятно ничего. Для получения значимой информации всё-равно нужно открывать окно системной информации, а вот там уже PH впереди по информативности.

«Run as. »

В PH есть очень нужный пункт меню «Run as. ». С тех пор как в контекстном меню проводника Windows этот пункт исчез, уступив место «Run as administrator» его очень не хватало.
В PE этого пункта нет.

Окно «Find Handles or DLLs»

Обратите внимание, в PE здесь есть кнопки «Search» и «Cancel». В PH — только Find. Это потому, что PE может искать ну о-о-о-очень долго и иногда поиск правда надо отменять. PH ищет просто мгновенно. Ему кнопка «Cancel» не нужна.

Поиск окна

PE позволяет нажав на кнопку с изображением мишени найти процесс по его окну.
PH позволяет найти не только процесс, но и поток, отвечающий за обработку сообщений данному окну. Кроме того найденное окно можно сразу закрыть одной кнопкой.

Справедливости ради надо признать что иконка у PE лучше (похожа на соответствующую иконку в Spy++)

Возможности контекстного меню процесса

• Открытие места хранения бинарника по Ctrl+Enter (в PE тоже есть, но на 2 клика дальше — в окне свойств процесса)
• Отправка экзешника на Virustotal
• Detach from debugger — полезно, когда к процессу прицеплена Visual Studio, которая «подвисла» и её хочется убить без закрытия процесса
• Информационные окна по процессу: GDI Handles, Heaps, Unloaded Modules, WS Watch, Windows
• Terminator — возможность убить процесс 17-ю разными способами. Интересно понаблюдать за корректностью завершения своей программы.
• Inject DLLs: крайне полезная штука при тестировании инжектинга всяких хуков. Фактически позволяет на этапе тестирования обойтись без собственного инжектора, писать только саму инжектируемую библиотеку. Для проверки теорий и исследования — крайне полезная вещь.

Сервисы и драйвера

PE считает, что его дело только обычные процессы
PH является крайне удобным инструментом работы с сервисами и драйверами.

На специальной вкладке Services главного окна можно просматривать список процессов и драйверов, их статус, можно их останавливать, запускать, удалять, просматривать и менять их свойства.
Крайне полезный инструмент для системного программиста под Windows (особенно совместно с возможностью включить для иконки в трее нотификации об изменении в списке сервисов). А еще в меню Tools можно создать новый сервис.

Сетевая и дисковая активность процессов

PE позволяет просмотреть параметры сетевой и дисковой активности процесса, позволяет посмотреть общую производительность дисковой и сетевой подсистем.
PH кроме вышеуказанного имеет в главном окне две крайне полезные вкладки «Network» и «Disk», показывающие общую сетевую и дисковую активность процессов.
Справедливости ради нужно признать, что в современных версиях Windows нечто подобное (хотя и не так удобное) показывает штатный инструмент Resource Monitor.

Модульная архитектура

PE цельный и неделимый
PH модульный, поддерживает плагины (и значительная часть описанного здесь функционала именно плагинами и реализована).

Окно информации о процессе

Группировка информации по вкладкам в программам слегка отличается, сравнивать «в лоб» трудно.

В целом можно сказать, что объём предоставляемой информации и удобство пользования примерно одинаковы. Однако есть архиважная деталь: PE в этом окне иногда врёт. Причём, как я предполагаю, не из-за багов, а по маркетинговым причинам (а уж это вообще никуда не годится). Детально этот вопрос я разбирал вот в этом топике, кому интересно — можете ознакомиться.

Окно информации о DLL

Обе программы позволяют просмотреть список DLL в адресном пространстве процесса. PE показывает их в нижней части главного окна (при включении соответствующей панели), PH показывает их во вкладке в окне информации о процессе. При двойном клике на библиотеке и там и там отображается информация о ней.

И вот здесь мы снова видим почему PE является просто прикладной утилитой для продвинутого юзера, а PH — инструментом программиста. Если PE показывает только общую информацию о библиотеке и список строк в ней, то PH показывает полный список импортируемых и экспортируемых функций. Для этого больше не нужны отдельные дизассемблеры!

Минутка здоровой критики

• есть нижняя панель, где могут отображаться DLLки или хэндлы, если интересует только эта информация — в PE до неё на один клик меньше
• можно сохранять и загружать набор колонок с информацией о процессах, полезно при периодической работе над разными типами ПО. PH тоже позволяет это делать, но только через параметры командной строки, что не так удобно
• в окне информации о процессе есть вкладка Strings, позволяющая просмотреть используемые в процессе строки. PH тоже позволяет получить эту информацию, но не столь наглядно (блоки памяти на вкладке Memory)

Выводы

Как вы и сами могли заметить, PH — этот тот случай когда в общем и так неплохую программу взяли и сделали ещё лучше, ещё дружелюбнее и ещё полезнее. Направление развития PH задавалось сообществом, детские баги быстро фиксились, упор делался на полезность инструмента не только обычному пользователю, но и программисту с сисадмином.