Файл: Руссинович М., Маргозис А. Утилиты Sysinternals. Справочник администратора 2012.pdf

Process Explorer  

Глава 3  77 

бражаются оставшиеся открытыми описатели и ссылки на объект. Поскольку 
каждый описатель содержит ссылку на объект, число ссылок никогда не бы-
вает меньше числа описателей.

Разница между этими двумя значениями дает число прямых (а не опосре-

дованных описателем) ссылок на объект из кода режима ядра. Объект может 
быть закрыт, только когда число ссылок на него уменьшится до нуля, то есть 
каждая открытая ссылка должна быть закрыта. Секция Quota (Квота) по-
казывает, какую часть своей квоты выгружаемого и невыгружаемого пулов 
израсходовал процесс при создании объекта.

Вкладка Security (Безопасность) в окне Handle Properties представля-

ет собой стандартное окно редактора системы безопасности, отображающее 
дескриптор защиты объекта, на который ссылается описатель. В некоторых 
случаях, особенно при работе с безымянными объектами, окно содержит 
предупреждение о риске для безопасности при отсутствии у объекта при-
своенных разрешений. Для безымянных объектов это, как правило, не важ-
но, поскольку в отсутствие имени другой процесс может получить доступ к 
объекту только через существующий описатель.

Сведения о процессе

Список процессов в главном окне Procexp может отображать огромное ко-
личество информации о всех процессах в системе, но можно получить еще 
больше подробностей о том или ином процессе. Для этого дважды щелкни-
те его в главном окне Procexp — откроется окно свойств процесса. В нем 
Procexp отображает сведения на вкладках: Image, Performance, Performance 
Graph, Threads, TCP/IP, Security, Environment и Strings. При работе с пра-
вами администратора добавляется вкладка Disk And Network (Диск и сеть). 
Дополнительные вкладки добавляются для процессов–служб, связанных с 
заданием или использующих .NET Framework.

Окно  Properties не является модальным, поэтому можно, не закрывая 

его, переключаться на главное окно. Можно открывать сразу несколько окон 
Properties, изменять их размер и разворачивать на весь экран.

Для получения основной информации, отображаемой в окне свойств про-

цесса, нужен полный доступ к этому процессу либо возможность определить 
полный путь к его образу. Без прав администратора Procexp сможет отобра-
жать подробную информацию только о процессах, работающих под той же 
учетной записью пользователя. В отличие от вкладки Disk And Network, 
которая всегда требует прав администратора, здесь имеется несколько ис-
ключений.

Вкладка Image

Вкладка  Image (рис. 3-26) отображает информацию о процессе, которая 
почти не изменяется в течение жизненного цикла, в том числе сведения из 
внедренных ресурсов: значок, версия образа, полный путь к образу, команд-

SIN_ch_03.indd   77

27.12.2011   14:14:28

78  Часть 

II   

Работа с утилитами

ная строка, использованная для запуска процесса, учетная запись, под кото-
рой работает процесс, время запуска, включены ли DEP и ASLR (только в 
Windows Vista и выше), а в x64 версиях Windows — еще и тип кода: 32- или 
64-разрядный. Два поля, которые могут изменяться — текущий каталог и ро-
дительский процесс. Если родительский процесс еще работает во время за-
пуска Procexp, в соответствующем поле будут его имя образа и PID, если он 
завершился, в поле будет строка <Non-existent Process> (Несуществующий 
процесс) и PID.

Рис. 3-26.  Вкладка Image в окне свойств процесса

Второе поле на вкладке Image — аналог поля Verified Signer, оно ото-

бражает имя компании, взятое из образа, или имя подписавшего файл вла-
дельца проверенного сертификата. Если проверка подписи не выполнялась, 
можно щелкнуть кнопку Verify, чтобы выполнить ее.

Если у процесса есть видимое окно на текущем рабочем столе, то щелчок 

кнопки Bring To Front (Активировать) открывает это окно поверх осталь-
ных. Если у процесса несколько видимых окон, то кнопка Bring To Front 
активирует окно, лежащее поверх остальных.

Щелчок кнопки Kill Process приводит к принудительному завершению 

процесса. По умолчанию Procexp запросит подтверждение, но можно от-
ключить запрос, сняв флажок Confirm Kill в меню Options.

 Внимание! 

Принудительная остановка  не дает процессу возможности корректно 

завершить работу и может привести к потере данных или нестабильности системы. 
Кроме того, Procexp не предупреждает о попытке остановки критически важных для 
системы процессов, например Csrss.exe. Остановка критического процесса приводит 
к немедленному краху Windows с «синим экраном».

Добавить комментарий к процессу можно в поле Comment. Комментарии 

будут видны в списке процессов, если отображается столбец Comment, а 
если он скрыт, то во всплывающей подсказке процесса. Комментарий отно-

SIN_ch_03.indd   78

27.12.2011   14:14:28

Process Explorer  

Глава 3  79 

сится ко всем процессам, имеющим одинаковый путь, и сохраняются при 
последующих запусках Procexp. Имейте в виду, что для идентификации 
пути к образу для процессов, работающих под другими записями, нужны 
права администратора. Если путь к образу узнать невозможно, использу-
ется имя процесса. Это означает, например, что комментарий для процесса 
svchost.exe при работе Procexp с правами администратора будет связан и с 
«C:\Windows\System32\svchost.exe», а в отсутствие прав администратора — 
только с «svchost.exe», но не с процессом, для которого указан полный путь. 
Procexp сохраняет комментарии в том же разделе реестра, что и другие на-
стройки конфигурации (HKCU\Software\Sysinternals\Process Explorer).

Вкладка Performance

Вкладка Performance (рис. 3-27), отображает счетчики загруженности ЦП, 
виртуальной памяти, физической памяти (рабочего набора), ввода-вывода, 
описателей объектов ядра и Диспетчера окон. Все данные на этой вкладке 
обновляются при обновлении окна Procexp.

Рис. 3-27.  Вкладка Performance в окне свойств процесса

Вкладка Performance удобна тем, что позволяет увидеть множество по-

казателей процесса в одном месте. Большинство полей вкладки Performance 
можно вывести и в списке процессов, как было сказано выше. Поля вклад-
ки Performance описаны выше в разделах о вкладках Process Performance, 
Process Memory и Process I/O окна Select Columns. Дополнительные сек-
ции,  отображаемые только на вкладке Performance, показывают долю вре-
мени в режимах ядра и пользователя в загруженности ЦП, а также макси-
мальное количество описателей.

SIN_ch_03.indd   79

27.12.2011   14:14:29

80  Часть 

II   

Работа с утилитами

Вкладка Performance Graph

Вкладка  Performance Graph отображает графики параметров производи-
тельности, подобные графикам Диспетчера задач, но для отдельного про-
цесса (рис. 3-28). Верхний график показывает изменения загруженности 
ЦП, где красным обозначена загруженность в режиме ядра, а зеленым — в 
режиме пользователя. Если навести указатель мыши на график, появится 
подсказка с указанием процента времени, затраченного этим процессом, от 
общего затраченного времени ЦП от общего времени ЦП на момент, соот-
ветствующий точке под указателем, а также время. Имейте в виду, что этот 
график отображает сводные данные для всех процессоров. Если процесс за-
грузил один из ЦП двухпроцессорной системы на 100%, оставив второй сво-
бодным, на графике будет значения загруженности 50%.

Рис. 3-28.  Вкладка Performance Graph в окне свойств процесса

Второй график показывает изменение количества переданной процессу 

закрытой памяти и масштабируется по максимальному значению: если мак-
симум увеличивается, график масштабируется по новому значению. Если 
навести указатель мыши на график, отображается счетчик закрытой памяти 
и время для точки под указателем. Постоянный рост значений на этом гра-
фике может свидетельствовать об утечке памяти.

Третий график отображает интенсивность файлового ввода-вывода фай-

ла и ввода-вывода на устройствах, осуществляемого процессом. Голубая ли-
ния показывает суммарный поток данных ввода-вывода, а розовая — поток 
данных при записи. График ввода-вывода масштабируется по максималь-
ному значению, зарегистрированному с начала мониторинга. Если навести 
указатель мыши на график, отображается количество прочитанных и запи-
санных байтов; байтов, переданных в других операциях, и время для точки 
под указателем.

SIN_ch_03.indd   80

27.12.2011   14:14:29

Process Explorer  

Глава 3  81 

Как сказано выше, допускается изменять размер диалогового окна и раз-

ворачивать его на весь экран. Чем шире окно, тем дольше интервал, отобра-
жаемый на графиках.

Вкладка Threads

Вкладка Threads в окне свойств процесса отображает подробную информа-
цию о его потоках, включая текущие стеки вызовов, а также позволяет оста-
навливать или приостанавливать отдельные потоки процесса. Подробнее об 
этом будет рассказано ниже.

Вкладка TCP/IP

Все активные конечные точки соединений по протоколам TCP, TCPV6, 
UDP, или UDPV6, принадлежащие процессу, показаны в списке на вкладке 
TCP/IP (рис. 3-29). Для каждого соединения отображаются протокол, со-
стояние, а также локальный и удаленный адреса и номера портов. Для про-
цессов служб Windows Vista и выше на вкладку добавляется столбец Service 
для служб — адресов подключений. Установите флажок Resolve Addresses 
(Определять адреса), чтобы определить адреса конечных точек соединений 
по DNS-именам. Если снять этот флажок, будут отображаться адреса IPv4 
или IPv6.

Рис. 3-29.  Вкладка TCP/IP в окне свойств процесса

В Windows XP на этой вкладке находится кнопка Stack (Стек), откры-

вающая окно со стеком потока, открывшего выделенную конечную точку 
(рис. 3-30). Это удобно для определения конечных точек соединений, уста-
новленных процессами System и Svchost,  поскольку стек содержит имя 
драйвера или службы, открывающих соединение.

SIN_ch_03.indd   81

27.12.2011   14:14:29