PsList gebruiken op Windows: complete handleiding

Als u Windows-systemen beheert en snel en betrouwbaar inzicht wilt in wat er met processen gebeurt, is PsList een van die hulpprogramma's die u uit de brand kunnen helpen . Het maakt deel uit van de PsTools-suite van Sysinternals en stelt u met slechts een paar commando's in staat om de CPU, het geheugen, de threads en de proceshiërarchieën tot in detail te inspecteren, zowel lokaal als op afstand.

Naast het weergeven van processen, blinkt PsList uit wanneer je de procesboom wilt bekijken , gegevens periodiek wilt vernieuwen zoals een mini -Taakbeheer in de console, of wilt filteren op naam of PID. En in combinatie met PsKill en PsExec kun je van observeren overgaan naar handelen: een problematisch proces lokaliseren, veilig beëindigen en binnen enkele seconden opnieuw starten, zelfs op geautoriseerde externe machines.

Wat is PsList en wat kan het weergeven?

PsList is een commandoregelprogramma van Sysinternals dat is ontworpen om processen en hun belangrijkste telemetriegegevens weer te geven . Met één commando kunt u kolommen verkrijgen zoals prioriteit, aantal threads en handles, virtueel geheugen en werkset, evenals cumulatief CPU-gebruik en runtime voor elk proces.

De tool kan werken op het lokale systeem of op een toegankelijke externe machine . In het laatste geval ondersteunt het expliciete inloggegevens als uw huidige machtigingen onvoldoende zijn om prestatiemeters op het andere systeem uit te lezen. PsList kan dus zowel interactieve diagnostiek als scriptgebaseerde automatisering aan.

pslist
pslist exp
pslist -t
pslist \\EQUIPO-REMOTO -u DOMINIO\Usuario -p Contraseña

PsList biedt ook specifieke weergaven: u kunt details per proces opvragen, u concentreren op het geheugenverbruik of een gecombineerde weergave activeren waarin alles tegelijk te zien is. Wanneer u een compleet overzicht nodig hebt, bespaart de juiste schakelaar u stappen en verduidelijkt de algehele situatie.

Installatie, ondersteunde versies en hoe het binnenin werkt

PsList maakt deel uit van PsTools , een suite van consolehulpprogramma's van Sysinternals. De installatie is eenvoudig: kopieer het uitvoerbare bestand naar een map in uw PATH of start het via het pad. Het pakket is lichtgewicht en ideaal voor beheerders die de voorkeur geven aan draagbare tools.

Compatibiliteit: In moderne omgevingen draait PsList op Windows 8.1 en later aan de clientzijde , en op Windows Server 2012 en later aan de serverzijde. Deze versies garanderen de benodigde ondersteuning en API's om de informatie te verzamelen die de tool beschikbaar stelt.

Waar haalt het zijn gegevens vandaan? PsList gebruikt Windows- prestatiemeters (dezelfde als die van PerfMon). Hierdoor is de informatie consistent met wat u in de eigen Prestatiemeter van het systeem zou zien . Deze integratie verklaart ook waarom u in externe scenario's mogelijk moet authenticeren met een account dat over de juiste machtigingen beschikt.

Een praktische opmerking: alle geheugenwaarden die PsList weergeeft, zijn in kilobytes (KB) . Als u de waarden vergelijkt met andere tools die in MB rapporteren, houd hier dan rekening mee om verwarring te voorkomen.

Syntaxis en essentiële parameters

De basissyntaxis is flexibel en omvat zowel eenvoudige als geavanceerde gevallen. Dit zijn de belangrijkste parameters die u moet beheersen om er het maximale uit te halen:

parameter	Wat doet
pslist exp	Filteren en geeft processen weer waarvan de naam begint met "exp" (bijvoorbeeld Explorer).
-d	monster draaddetails van proces.
-m	Richt de output op geheugenstatistieken.
-x	Gecombineerd uitzicht met processen, geheugen en threads.
-t	Toon de procesboom (hiërarchie).
-s [n]	Uitvoeren in typemodus Taakmanager gedurende n seconden (Escape om te annuleren).
-r n	Stel de verversingssnelheid in seconden in de vorige modus (standaard 1).
\\equipo	In plaats van het lokale systeem krijgt het de informatie van de afstandsbediening aangegeven (NT/Win2K+; het moderne Windows van vandaag).
-u	Hiermee kunt u een specificeren gebruiker om in te loggen op de afstandsbediening.
-p	geeft de aan wachtwoord op de opdrachtregel. Als u -p Nadat u uw account hebt ingevoerd, zal PsList u er interactief om vragen.
nombre	Filtert en geeft processen weer die beginnen met die naam.
-e	Forceer het exacte match van de procesnaam.
pid	Beperkt de uitvoer tot het proces met dat PID beton (bijv. pslist 53).

Met deze basis kunt u alles dekken, van snelle filters op naam tot PID-specifieke auditsEn als u een verrijkte mondiale visie wilt, activeer dan -x en u beschikt in één keer over gegevens over processen, geheugen en threads.

pslist -x
pslist -m chrome
pslist -t -e explorer.exe
pslist 1234

Houd er bij externe omgevingen rekening mee dat domeinpaden en gebruikers worden geschreven met de gebruikelijke Windows-syntaxis: \\COMPUTER of DOMAIN\User . Pas dit aan de topologie van uw organisatie aan.

Uitvoer lezen: afkortingen en velden

De uitvoer van PsList maakt gebruik van standaardafkortingen om informatie samen te vatten. Hieronder vindt u de belangrijkste afkortingen die u moet kennen om kolommen en statistieken te interpreteren:

kolom	Betekenis
Pri	Prioriteit van het proces in de planner.
thd	Aantal threads in het proces.
Hand	Aantal handgrepen Open.
VM	Virtueel geheugen toegewezen.
WS	Werkset (Werkset) in het fysieke geheugen.
Priv	Privé virtueel geheugen van proces.
Privé Pk	Piek van het privé virtuele geheugen bereikt.
Storingen	Aantal paginafouten (paginafouten).
Niet-P	De grootte van niet-gepagineerde pool geassocieerd.
Pagina	De grootte van paginagewijs zwembad.
Cswtch	Contextveranderingen die heeft meegemaakt.

Je ziet ook gegevens over CPU-tijd en verstreken tijd , die nuttig zijn om te begrijpen hoeveel CPU-tijd het proces heeft verbruikt en hoe lang het al draait. Deze velden zijn essentieel voor het identificeren van processen die vastlopen of meer resources verbruiken dan verwacht.

Taakbeheertypemodus en continue vernieuwing

Als u een of meer processen gedurende een bepaalde tijd wilt bewaken zonder dat u ergens op hoeft te drukken, gebruik bemonsteringsmodus van PsList met -s. Deze modus ververst de uitvoer en blijft actief de tijd die u opgeeft (of totdat u op Escape drukt). Met -r U bepaalt hoeveel seconden deze wordt bijgewerkt.

pslist -s 15 -r 2

Het vorige voorbeeld laat PsList 15 seconden draaien met een verversingsinterval van twee seconden . Dit is erg handig om kortstondige pieken in CPU- of geheugengebruik vast te leggen die je bij een enkele uitvoering mogelijk zou missen.

Werken met externe teams: referenties en beveiliging

Een van de sterke punten van PsList is het vermogen om queryprocessen op externe machines waarmee u connectiviteit en rechten hebt. De syntaxis is eenvoudig: u voegt de computernaam of het IP-adres toe met \\ en indien nodig worden de referenties vermeld.

pslist \\MAQUINA -u DOMINIO\Administrador -p 

Als u specificeert gebruiker maar je laat de optie weg -p, PsList zal u vragen om de wachtwoord interactiefDit is handig bij het handmatig typen en voorkomt dat het wachtwoord in de consolegeschiedenis wordt opgeslagen. Om in te voeren scriptsis het raadzaam om het als parameter door te geven of een veilig mechanisme injectie van geloofsbrieven.

Houd er rekening mee dat u op sommige netwerken toestemming nodig hebt om te lezen prestatietellers van het externe team. Als uw account deze niet heeft, is de combinatie van -u y -p met een bevoorrechte gebruiker lost het probleem op en staat PsList toe toegang tot de gegevens.

Praktische voorbeelden

Om alle processen te vinden waarvan de naam met een specifieke tekenreeks begint, filtert u op voorvoegsel en verfijnt u de weergaveopties :

pslist svchost

Als u geïnteresseerd bent in een specifiek proces met een bekende PID, beperk dan de uitvoer tot die identificatiecode:

pslist 888

Voor een compleet overzicht (processen + geheugen + threads) in één commando activeert u de gecombineerde weergave :

pslist -x

En als je de relatie tussen ouder- en kindprocessen wilt begrijpen, is er niets beters dan een boomdiagram om de hiërarchie te ontrafelen en precies te achterhalen wie wie heeft gestart:

pslist -t

Combineer PsList met andere PsTools om te handelen (PsKill en PsExec)

Zodra je het probleemproces hebt gevonden, kun je met PsKill van observatie overgaan tot actie . De gebruikelijke workflow is als volgt: toon de processtructuur op de externe machine, noteer de naam of PID en beëindig het proces op een gecontroleerde manier.

pslist -t \\[EquipoRemoto o IP]
pskill -t \\[EquipoRemoto o IP] -u [EQUIPO\UsuarioAdmin] -p [Password] [NombreProceso o PID]

De modificator -t in PsKill zorgt ervoor dat de definitieve versie wordt voltooid proces en zijn nakomelingen (handig als er threads hangen). Als je het nodig hebt, kun je met PsExec herstart het binaire bestand om een ​​'herstart' van de getroffen service of applicatie te simuleren.

psexec \\[EquipoRemoto o IP] -u [EQUIPO\UsuarioAdmin] -p [Password] "C:\\Ruta\\Programa\\app.exe"

Met deze combinatie is het in zakelijke omgevingen eenvoudig om tests uit te voeren, services te herstellen zonder toegang tot extern bureaublad, of onderhoudstaken te automatiseren volgens beleid en servicevensters.

PsList in geheugenanalyse (Volatiliteit): een stukje van de forensische puzzel

In het vakgebied van incidentrespons duikt het concept "pslist" ook op in Volatility , het platform voor geheugendumpanalyse . Hier is het idee echter anders: je inspecteert geen live Windows-systeem, maar een RAM-capture om te reconstrueren wat er is gebeurd.

In Volatiliteit 2 wordt de proceslijst verkregen met vol.py ... pslist, de zoektocht naar verborgen processen met psscan en de hiërarchie met pstree. Daarnaast is er psxview om weergaven te contrasteren en verduisteringen te detecteren. In Volatility 3 veranderen de commando's naar de notatie met Windows-voorvoegsel (bijvoorbeeld windows.pslist, windows.psscan, windows.pstree) en er is geen direct equivalent voor psxview.

# Volatility 2
vol.py -f "memdump.raw" --profile <perfil> pslist
vol.py -f "memdump.raw" --profile <perfil> psscan
vol.py -f "memdump.raw" --profile <perfil> pstree

# Volatility 3
vol.py -f "memdump.raw" windows.pslist
vol.py -f "memdump.raw" windows.psscan
vol.py -f "memdump.raw" windows.pstree

Netwerkmodules, services, kernelmodules en meer hebben ook hun varianten. In V2 kun je: netscan, modules, svcscan, filescan, handles, dlllist, cmdline, hivescan y hivelistIn V3 nemen hun tegenhangers de vorm aan windows.netscan, vensters.modules, windows.svcscan, windows.filescan, ramen.grepen, windows.dlllijst, windows.cmdline, windows.printkey, Etc.

# Ejemplos de Volatility 3
vol.py -f "memdump.raw" windows.netscan
vol.py -f "memdump.raw" windows.modules
vol.py -f "memdump.raw" windows.svcscan
vol.py -f "memdump.raw" windows.filescan
vol.py -f "memdump.raw" windows.handles --pid <PID>
vol.py -f "memdump.raw" windows.dlllist --pid <PID>
vol.py -f "memdump.raw" windows.cmdline

Voor extractie gebruikt u in V2 memdump o dumpfiles met uitvoermappen, en in V3 de plugin windows.dumpfiles staat dumping toe door PID, virtueel of fysiek adresDeze stromen integreren procesanalyse met netwerkartefacten, logging en modules, waardoor een compleet forensisch beeld ontstaat.

Kortom, hoewel "pslist" in Volatility niet hetzelfde hulpprogramma is als Sysinternals' PsList, hebben ze wel hetzelfde doel: het reconstrueren van procesactiviteit . Als je in DFIR werkt, is het nuttig om beide te beheersen: live-analyse met PsTools en offline -analyse met Volatility 2/3 en de nieuwe pluginnamen.

Gerelateerde tools om de visie te voltooien

Naast PsList biedt het Windows-ecosysteem nog andere hulpprogramma's die waardevolle inzichten verschaffen. Door deze direct beschikbaar te hebben, worden verschillende fasen van het diagnoseproces gestroomlijnd.

• tlist.exe: van MS Debugging Tools. Geeft de procesboom weer (-t) en accepteert filters op PID of expressies voor de naam.
• pulist.exe: uit de Windows 2000-kit. Heel eenvoudig; geeft naam, PID en gebruikersaccount weer, en u kunt query's uitvoeren teams op afstand.
• cmdlijn: onthult argumenten en vlaggen waarmee een proces werd opgestart, naast een beeldroute.
• handvat: lijsten open handgrepen per proces, met opties om een ​​specifiek proces te sluiten.
• lijstdll's: lijst met DLL's die door processen zijn geladen, met pad en versieversie.
• pmdump: dumpt het geheugen van een proces door PID, nuttig voor geavanceerde analyses.
• Process Explorer: een zeer krachtige grafische interface die de meeste van deze functies samenbrengt, ideaal wanneer je hebt geen scripting nodig.

Goede praktijken en operationele notities

Zorg er in externe omgevingen voor dat de firewall en het beleid toegang tot de prestatiemeters en de benodigde service toestaan. Dit voorkomt fouten met geweigerde toegang die worden veroorzaakt door problemen met de netwerkconfiguratie in plaats van door PsList.

Bij het automatiseren met scripts is het belangrijk om te overwegen hoe je inloggegevens beschermt . Het in platte tekst doorgeven van wachtwoorden via de commandoregel kan ervoor zorgen dat ze in de geschiedenis zichtbaar worden; opties zoals interactieve prompts of geheime kisten hebben de voorkeur in een productieomgeving.

De uitvoer van PsList, die platte tekst is, integreert goed met pijpen en omleidingenJe kunt het naar een bestand sturen, filteren met findstr of converteer het naar CSV met een kleine nabewerking.

pslist -x > informe_pslist.txt
pslist -m | findstr /i "chrome firefox"

En als je met zwaar beladen teamsvermijd te agressieve vernieuwingsintervallen met -rVerantwoorde bemonstering minimaliseert de impact van observatie op gevoelige systemen.

Waar je PsList en community kunt vinden

PsList is onderdeel van het Sysinternals PsTools-pakket , dat beschikbaar is op de officiële websites van Microsoft. Het is een suite die regelmatig wordt bijgewerkt en tools toevoegt zoals PsExec, PsKill, PsService, PsLoggedOn en vele andere tools die zijn ontworpen voor lokaal en extern beheer.

Als je specifieke vragen wilt beantwoorden of ervaringen wilt delen, bieden de Sysinternals-community en Windows-gerelateerde forums praktische antwoorden. Het raadplegen van de officiële documentatie voor prestatiemeters helpt je ook te begrijpen hoe bepaalde meetwaarden worden berekend en waarom ze kunnen afwijken van wat je in andere hulpprogramma's ziet.

Met PsList krijgt u een flexibele manier om gedetailleerd te zien welke processen actief zijn, hoe ze resources verbruiken en hoe ze zich tot elkaar verhouden, zowel lokaal als op afstand. Voeg daar PsKill en PsExec aan toe en u maakt de cyclus compleet: het identificeren, ingrijpen en herstarten van een service, met behoud van controle en zonder afhankelijk te zijn van grafische sessies of complexe interactieve toegang.