Better Windows ServicesAjukan pertanyaan kepada mesin
Satu bahasa, di kotak pencarian jendela dan di bws list --query. Satu kata polos mencari pada nama, nama tampilan, akun, dan jalur peluncuran. Sebuah bidang mempersempitnya. 21 bidang, dan teks yang sama berarti hal yang sama di kedua bagian alat ini.
Enam yang menjawab pertanyaan nyata
Apa yang seharusnya hidup dan tidak hidup
start:auto !status:running
Kueri pertama yang ditulis kebanyakan orang, dan yang sama sekali tidak bisa dijawab services.msc.
Layanan yang berkasnya hilang
file:missing
Entri yang menunjuk ke berkas eksekusi yang tidak ada di disk. Biasanya pencopotan yang meninggalkan registrasinya.
Tidak bertanda tangan, tanpa kebisingan sesi
signed:no peruser:no
Keluarga per pengguna membuat satu salinan per sesi dan memenuhi daftar dengan hampir-duplikat. Ini menanyakan sisanya.
Berjalan padahal dinonaktifkan
mismatch:running
Konfigurasi dan status yang tidak sesuai - entri yang diatur manajer agar tidak pernah dimulai, tetapi tetap berjalan.
Apa pun yang meminta hak debug
privilege:SeDebugPrivilege
Hak istimewa yang memungkinkan sebuah proses membuka proses lain mana pun. Layak diketahui layanan mana yang memintanya.
Apa yang tidak bisa dibaca alat ini
account:?
Entri yang akunnya tidak bisa dibaca sesi ini. Pertanyaan yang bahkan tidak bisa diajukan services.msc.
Cara kueri ditulis
Istilah
- Istilah dipisahkan spasi dan semuanya harus cocok - tidak ada kata kunci
andkarena tidak ada arti lain yang mungkin. - Bidang yang sama ditulis dua kali adalah satu-satunya pengecualian:
status:running status:stoppedberarti salah satunya, karena itulah yang ditulis dengan mencentang dua filter. Dua batas pada sebuah angka tetap mempersempit -pid:>1000 pid:<2000adalah rentang di antara keduanya. !di depan sebuah istilah menegasikannya:!status:running. Dalam berkas batch dengansetlocal EnableDelayedExpansion, cmd memakan!itu tanpa sepatah kata pun dan kueri diam-diam berarti hal lain - tulis^!di dalam tanda kutip di sana.- Koma di dalam bidang berarti atau:
start:manual,disabled. - Tanda kutip melindungi apa pun yang mengandung spasi atau titik dua:
account:"NT SERVICE\McmSvc". - Jalur yang ditempel apa adanya -
C:\Windows\System32\svchost.exe- dicari, tidak dibaca sebagai bidang bernama C.
Cara teks dicocokkan
name:spoolcocok dengan apa pun yang mengandungnya - bawaannya, karena itulah yang diharapkan orang dari kotak pencarian.name:=spooleradalah kecocokan persis.name:spool*menerima wildcard,*dan?.name:/^Sql.*/adalah ekspresi reguler, dan di dalam garis miring ia ditulis seperti ekspresi reguler ditulis:\?,\\, dan koma berarti di sana apa yang berarti di sana. Garis miring yang tidak pernah ditutup adalah galat - untuk mencari garis miring itu sendiri, tulis\/atau pakai tanda kutip.- Huruf besar-kecil diabaikan, termasuk di luar ASCII - nama tampilan dalam bahasa Polandia atau Yunani cocok dengan cara apa pun mengetikkannya.
Tiga kata yang diterima setiap bidang
any- ada nilai, apa pun itunone- benar-benar tidak ada nilai - entri tidak memilikinya?- alat ini tidak dapat membaca bidang ini, atau belum membacanya, yang merupakan pertanyaan yang bahkan tidak bisa diajukanservices.msc
Nilai yang salah ketik adalah galat, tidak pernah hasil kosong. status:runing menjawab Did you mean running? dan berakhir dengan kode 2. Daftar kosong akan tampak seperti jawaban, dan perbedaan antara "tidak ada yang cocok" dan "Anda salah mengetik" adalah perbedaan antara mesin yang bersih dan audit yang tidak membuktikan apa pun. Kueri yang tidak akan mempersempit apa pun juga ditolak di baris perintah, sehingga skrip tidak bekerja pada seluruh mesin karena salah ketik.
Contoh lainnya
Masing-masing bekerja sama di kotak pencarian jendela dan setelah bws list --query, dan masing-masing dijalankan di Windows sungguhan sebelum ditulis di sini. Apa yang ditemukannya bergantung pada mesin - dan untuk pertanyaan tentang masalah, jawaban kosong adalah yang Anda inginkan.
Status dan tipe startup
| Kueri | Apa yang ditemukan |
|---|---|
status:stopPending, | Macet saat berhenti atau memulai - penantian yang ditampilkan snap-in dan tidak pernah berakhir. |
start:auto status:stopped trigger:none | Diatur mulai otomatis, berhenti, dan tidak menunggu pemicu - daftar pendek yang layak dibaca setelah restart. |
start:delayed | Otomatis, dimulai sedikit setelah entri otomatis lainnya. |
start:manual, | Berjalan padahal tidak ada yang memulainya saat boot - ada yang memintanya, pemicu memulainya, atau seseorang. |
Akun
| Kueri | Apa yang ditemukan |
|---|---|
account:localsystem !publisher:microsoft | Berjalan sebagai LocalSystem, akun terkuat, dari berkas yang tidak ditandatangani Microsoft. Kueri tentang penerbit membaca tanda tangan sendiri, sehingga memakan beberapa detik. |
!account:localsystem, | Layanan yang berjalan di bawah akun lain mana pun - akun virtual, akun terkelola, atau milik seseorang. |
account:"NT SERVICE" | Akun virtual milik layanan itu sendiri. Tanda kutip menjaga kata-katanya tetap bersama, karena ada spasi. |
Berkas dan tanda tangan
| Kueri | Apa yang ditemukan |
|---|---|
signed:notSigned, | Tanpa tanda tangan, rantai yang tidak dipercaya Windows, atau berkas yang diubah setelah ditandatangani. |
signed:trusted !publisher:microsoft | Bertanda tangan, tepercaya, dan bukan dari Microsoft - perangkat lunak yang dipasang perusahaan lain di mesin ini. |
type:driver start:boot, | Driver yang dimuat saat Windows dimulai yang tanda tangannya tidak dipercaya Windows. Pada mesin yang sehat, tidak ada. |
!path:C:\Windows type:ownProcess | Layanan dengan prosesnya sendiri yang berkasnya berada di luar folder Windows. |
path:\AppData\ | Diluncurkan dari dalam profil seseorang, tempat terakhir layanan diharapkan. |
path:\System32\\ type:ownProcess | Garis miring terbalik di depan spasi menjadikan spasi bagian dari kata, sehingga jalur yang berakhir dengan garis miring terbalik ditulis dengan dua ketika istilah lain mengikutinya. Di akhir kueri, satu sudah cukup. |
Pemicu dan dependensi
| Kueri | Apa yang ditemukan |
|---|---|
trigger:device status:stopped | Menunggu perangkat tiba, jadi berhenti karena suatu alasan. |
trigger:network | Dimulai ketika permintaan tiba di titik akhir jaringan - port, named pipe, atau antarmuka RPC. |
trigger:stop | Entri yang bisa dihentikan oleh pemicu, bukan hanya dimulai. |
dependson:Winmgmt | Entri yang membutuhkan WMI untuk berjalan. |
requiredby:Spooler | Segala yang dibutuhkan Print Spooler untuk berjalan, dan apa yang dibutuhkan semua itu pada gilirannya. |
Hak istimewa dan proses
| Kueri | Apa yang ditemukan |
|---|---|
privilege:SeTcbPrivilege | Meminta untuk bertindak sebagai bagian dari sistem operasi. |
privilege:SeImpersonatePrivilege !account:localsystem | Dapat bertindak atas nama klien sambil berjalan di bawah akun selain LocalSystem. |
sidtype:unrestricted | Membawa SID layanan sendiri di prosesnya, sehingga izin bisa menyebutnya saja. sidtype:restricted menanyakan yang prosesnya juga dibatasi penulisan. |
type:sharedProcess status:running | Berjalan di dalam svchost bersama, bersama yang lain. |
memory:>200MB | Proses yang memakai lebih dari 200 MB. Memori dibaca sendiri ketika kueri menanyakannya. |
pid:1000-2000 | Dalam proses yang id-nya antara 1000 dan 2000. |
Nama dan teks
| Kueri | Apa yang ditemukan |
|---|---|
spool | Satu kata polos, dicari pada nama, nama tampilan, akun, dan jalur peluncuran. |
name:=wuauserv | Persis nama ini, dan tidak ada yang sekadar mengandungnya. |
name:win* | Nama yang diawali win, ditulis dengan wildcard. |
name:/svc$/ | Nama yang diakhiri svc, ditulis sebagai ekspresi reguler. |
description:none | Tanpa deskripsi sama sekali, yang berlaku untuk kebanyakan driver. |
description:? | Deskripsi yang tidak bisa diserahkan Windows, biasanya karena menunjuk ke berkas bahasa yang tidak ada. |
peruser:template | Templat per pengguna yang disalin Windows untuk setiap sesi yang masuk. |
Setiap bidang
Dibangun dari program itu sendiri, sehingga tabel ini tidak bisa menyimpang dari apa yang diterima alat ini. Bidang tanpa daftar nilai menerima teks, angka, atau ukuran - kolom ketiga menyebutkan yang mana.
| Bidang | Menanyakan tentang | Nilai |
|---|---|---|
name | nama layanan, yang dipakai Windows untuk mengenalinya | teks |
display | nama tampilan, seperti yang dieja Windows ini | teks |
description | apa yang dikatakan entri tentang dirinya sendiri | teks |
type | jenis entri apa itu | driver, kernelDriver, fileSystemDriver, ownProcess, sharedProcess, unknown |
peruser | apakah ini salah satu keluarga per pengguna yang disalin Windows per sesi | yes, no, template, instance |
status | apa yang sedang dilakukannya sekarang | running, stopped, paused, pending, startPending, stopPending, pausePending, continuePending, unknown |
start | apa yang dilakukan manajer terhadapnya pada boot berikutnya | automatic, auto, delayed, manual, disabled, boot, system, unknown |
account | akun tempat ia berjalan, seperti yang dieja manajer | teks, mis. localsystem |
pid | proses tempat ia berjalan | angka: 1234, >1000, 100-200 |
trigger | kondisi yang memulai atau menghentikannya | device, ip, domain, firewall, policy, network, custom, state, aggregate, unknown, start, stop |
path | baris perintah yang diluncurkan manajer | teks |
file | apakah berkas yang dijalankannya ada di disk | present, missing |
signed | apa yang dipikirkan Windows tentang tanda tangan berkas, tanpa memeriksa pencabutan | yes, no, trusted, notSigned, untrustedRoot, expired, revoked, tampered, unknown |
publisher | siapa yang menandatangani berkas - terbukti hanya oleh tanda tangan tepercaya | teks |
privilege | hak istimewa yang diminta entri | teks, mis. SeDebugPrivilege |
dependson | apa yang dibutuhkan yang satu ini | nama layanan |
requiredby | apa yang rusak jika yang satu ini berhenti | nama layanan |
sidtype | tipe SID layanan | unrestricted, restricted, unknown |
sddl | deskriptor keamanan, sebagai teks | teks |
memory | apa yang dipakai prosesnya | ukuran dengan satuan: 500MB, >1GB, 100MB-1GB |
mismatch | konfigurasi dan status yang tidak sesuai | stopped, running |
Dua hal yang perlu diketahui
Beberapa bidang mahal, dan memintanya mengaktifkan pembacaan
Tanda tangan memakan beberapa detik pada seluruh mesin dan memori adalah pengukuran, bukan pengaturan, jadi tidak ada yang dibaca untuk sebuah daftar kecuali diminta. Kueri yang menyebut salah satunya mengaktifkan pembacaan itu sendiri - Anda tidak perlu mengingat --signatures selain signed:no. Di jendela, kueri tentang tanda tangan menyatakan bahwa jawabannya belum lengkap sampai tanda tangan tiba, alih-alih menampilkan daftar yang lebih pendek seolah-olah itulah jawabannya.
Hasil yang dinilai berdasarkan sesuatu yang tidak terbaca menyatakannya
Jika entri dinilai berdasarkan bidang yang tidak bisa dibaca sesi ini, hasilnya membawa baris yang menyebutkan berapa banyak - karena hasil seperti itu bisa kekurangan entri, atau memuat yang bukan miliknya. Itu adalah aturan yang sama yang dijaga seluruh alat: pembacaan yang gagal terlihat dalam jawaban, tidak pernah ditelan. Penerbit mendapat perlakuan yang sama ketika hanya sertifikat yang mengklaimnya: di samping putusan apa pun selain trusted namanya ditampilkan sebagai not verified, dan publisher: menghitung entri itu sebagai tidak pasti pada barisnya sendiri - jadi !publisher:microsoft mempertahankan berkas Microsoft yang diubah seseorang setelah ditandatangani.