Sysinternals Suite is een verzameling gratis tools waarmee je diep onder de motorkap van Windows 10 kunt kijken en dingen kunt aanpassen. Er zitten meer dan 70 gratis tools in, maar welke gratis tool doet wat je wilt en hoe gebruik je de Sysinternals Suite?
Het doel van dit artikel is om je een overzicht te geven van de Sysinternals Suite. Lees verder hoe je die gratis tools voor je pc kunt gebruiken en wat elke tool doet.
Je kunt het volledige pakket gratis tools downloaden via sysinternals.com. Daar staan drie zip-archieven onder Downloads. Die met de naam Sysinternals Suite is de grootste en bevat de 32- en 64-bit versies van de tools voor x86-pc’s.
De Sysinternals Suite for Nano Server bevat een subset van de 64-bit versies. De Sysinternals Suite for ARM64 bevat, niet geheel verrassend, de 64-bit ARM-versies van de tools, voor zover die als zodanig beschikbaar zijn. Om de versies van elkaar te onderscheiden, verwijzen we in de tabellen verderop naar de 32- en 64-bit versies voor x86-pc’s als x86- en x64-versies, net als Microsoft, en naar die voor ARM64 als ARM-versies.
Aan de bestandsnaam kun je zien welke versie zich in welk uitvoerbaar bestand bevindt. De naam verraadt soms ook of het met of zonder GUI is.
Je kunt alle programma’s gebruiken, zonder downloaden, door een koppeling met internet te maken:
Vervang s: eventueel door door een andere vrije stationsletter. Om de letter weer vrij te geven klik je met rechts op het station en kies je ‘Verbinding verbreken’.
Alle Sysinternals-tools staan op een Microsoft server, waar je in Verkenner een netwerkverbinding naar maakt met bovenstaande stappen.
Blijf op de hoogte van tips voor handige tools en software!
Schrijf je in voor de nieuwsbrief:
In de meeste gevallen geeft de naam van het uitvoerbare bestand enigszins aan wat welke tool uit de Sysinternals Suite doet. Maar de volgende tabellen maken het wat makkelijker.
Tip: gebruik de zoekfunctie van je browser (toetsencombinatie Ctrl+F) om te zoeken op trefwoorden zoals ‘bestandsnaam’ of ‘registersleutel’.
| Programma | Versies: x86 / x64 / ARM64¹ | GUI (grafische interface?) | Beschrijving |
| AccessCHK | ja / ja / nee | nee | toont de effectieve rechten van bestanden, registersleutels, diensten, processen, etc. |
| AccessEnum | ja / nee / nee | ja | toont toegangsrechten voor mappen en registersleutels |
| CacheSet | ja / nee / nee | ja | de grootte van de systeemfilecache instellen – niet aankomen, dat remt alleen af |
| Contig | ja / ja / nee | nee | defragmenteert afzonderlijke bestanden |
| Disk usage³ | ja / ja / nee | nee | berekent de grootte van een map met alle submappen; bestandsnaam du.exe |
| Disk2vhd | ja / nee/ nee | ja | kopieert de complete inhoud van een fysieke datadrager inclusief partitionering naar een virtuele harde schijf |
| DiskExt | ja / ja / ja | nee | laat zien over welke datadrager een volume verdeeld is (maar kent geen Storage Spaces) |
| Diskmon | ja / nee / nee | ja | logt op welke sectoren van welke datadragers toegang wordt verkregen |
| DiskView | ja / nee / nee | ja | laat zien waar de bestanden op een datadrager staan |
| EFSDump | ja / nee / nee | nee | zoekt op een station of in een map naar EFS-versleutelde bestanden; EFS is de NTFS-eigen bestandsversleuteling, niet te verwarren met de schijfversleuteling BitLocker |
| FindLinks | ja / ja / ja | nee | laat zien welke hardlinks naar een bestand verwijzen |
| Junction | ja / ja / ja | nee | maakt symbolische links aan en laat die zien |
| LDMDump | ja / nee / nee | nee | toont informatie over dynamische stations |
| MoveFile | ja / ja / ja | nee | verplaatst of verwijdert bestanden bij de volgende herstart, die eerder door andere processen geblokkeerd werden |
| NTFSinfo | ja / ja / nee | nee | informatie over het NTFS-bestandssysteem van een schijf |
| PageDfrg | ja / nee / nee | nee | defragmenteert bestanden die exclusief geopend zijn; geschreven voor Windows NT en 2000, werkt onder Windows 10 niet meer en is daarom ook niet meer nodig |
| PendMoves | ja / ja / ja | nee | laat zien welke bestanden en mappen bij de volgende herstart hernoemd of verwijderd worden |
| SDelete | ja / ja / nee | nee | verwijdert en overschrijft afzonderlijke bestanden; let op: kopieën in temp-mappen en de prullenbak blijven bestaan |
| Sigcheck | ja / ja / ja | nee | berekent checksums van verschillende formaten voor een bestand en kan die door virustotal.com laten testen |
| Streams | ja / ja / ja | nee | laat zien welke bestanden zogeheten Alternate Data Streams (ADS) bevatten |
| Sync | ja / ja / ja | nee | hardware veilig verwijderen vanaf de commandline |
| VolumeId | ja / ja / nee | nee | veranderen van de volume-ID van een datadrager (uit te lezen met ‘fsutil fsinfo volumeinfo d:’, staat onder Volume Serial Number |
| Programma | Versies: x86 / x64 / ARM64¹ | GUI (grafische interface?) | Beschrijving |
| Active Directory Explorer³ | ja / nee / nee | ja | viewer en editor voor Active Directory; kan snapshots maken en vergelijken; bestandsnaam ADExplorer.exe |
| AdRestore | ja / nee / nee | nee | herstelt verwijderde objecten in Active Directory |
| Insight for Active Directory³ | ja / ja / ja | ja | laat realtime de interactie tussen clients en de Active Directory zien; helpt om verbindingsproblemen te analyseren; bestandsnaam ADInsight.exe |
| PipeList | ja / ja / ja | nee | toont geopende pipes voor interprocescommunicatie |
| PsFile | ja / ja / nee | nee | laat zien welke bestanden en mappen vanuit een andere computer geopend zijn (zoals Computerbeheer / Systeemwerkset / Gedeelde mappen / Geopende bestanden) |
| PsPing | ja / ja / nee | nee | ping-vervanging |
| ShareEnum | ja / nee / nee | ja | toont alle shares van een Windows-machine |
| TCPView | ja / nee / nee | ja | toont actieve TCP-verbindingen |
| TCPVCon | ja / nee / nee | nee | toont de eindpunten van TCP- en UDP-verbindingen |
| Whois | ja / ja / ja | nee | whois-request voor domeinen |
| Programma | Versies: x86 / x64 / ARM64¹ | GUI (grafische interface?) | Beschrijving |
| Autoruns | ja / ja / ja | ja² | laat zien wat Windows bij het starten automatisch mee opstart |
| Handle | ja / ja / ja | nee | toont welk proces welke bestanden geopend houdt |
| ListDLLs | ja / ja / nee | nee | lijst van de door een proces geladen DLL’s |
| Portmon | ja / nee / nee | ja | monitort en toont activiteiten op seriële en parallelle poorten |
| ProcDump | ja / ja / ja | nee | maakt handmatig of automatisch dumps van lopende processen |
| Process Explorer³ | ja / ja / ja | ja | alternatief taakbeheer; bestandsnaam procexp.exe |
| Process Monitor³ | ja / ja / ja | ja | toont alle (!) toegang tot bestanden, mappen, Register … bestandsnaam procmon.exe |
| PsExec | ja / ja / nee | nee | programma’s met hogere rechten starten, ook remote op andere pc’s |
| PsGetSid | ja / ja / nee | nee | converteert SID’s naar leesbare namen en omgekeerd |
| PsKill | ja / ja / nee | nee | sluit lopende proces(bomen) af, ook remote op andere pc’s |
| PsList | ja / ja / nee | nee | details over alle lopende processen |
| PsService | ja / ja / nee | nee | services beheren |
| PsShutdown | ja / nee / nee | nee | sluit Windows af, ook op andere pc’s |
| PsSuspend | ja / ja / nee | nee | pauzeert processen, ook op andere pc’s |
| ShellRunas | ja / nee / nee | ja | breidt het contextmenu uit met ‘Run as different user’ |
| VMMap | ja / ja / ja | ja | analyse van virtueel en fysiek procesgeheugen |
| Programma | Versies: x86 / x64 / ARM64¹ | GUI (grafische interface?) | Beschrijving |
| Autologon | ja / ja / ja | ja | stelt automatisch aanmelden voor een account bij Windows in |
| LogonSessions | ja / ja / nee | nee | informatie over de op dat moment aangemelde gebruikers- en systeemaccounts |
| PsLoggedOn | ja / ja / nee | nee | laat het aangemelde gebruikersaccount zien |
| PsLogList | ja / ja / nee | nee | toont eventlog-items |
| Sysmon | ja / ja / nee | ja | logt security-gerelateerde bestands-, register- en procesoperaties in de logweergave |
| Programma | Versies: x86 / x64 / ARM64¹ | GUI (grafische interface?) | Beschrijving |
| ClockRes | ja / ja / ja | nee | toont de nauwkeurigheid van de systeemklok |
| Coreinfo | ja / ja / nee | nee | leest informatie over de processor uit: features, caches, cores, socket … |
| LiveKd | ja / ja / nee | nee | debugger voor Windows; heeft de Debugging Tool for Windows nodig (WinDbg, KD, CDB, NTSD) |
| LoadOrder | ja / ja / nee | ja² | laat zien welke drivers en services tijdens welke fase van het booten geladen worden; de eerste van ntoskrnl.exe (Boot), de volgende van smss.exe (System) tot en met de laatste services.exe (Automatic) |
| PsInfo | ja / ja / nee | nee | toont wat systeeminformatie, ook van remote pc’s; let op: sommige waarden zijn niet betrouwbaar, waaronder die van het RAM |
| RAMMap | ja / ja / ja | ja | details over het RAM-gebruik van processen, bestanden etc. |
| WinObj | ja / nee / nee | ja | toont informatie over de namespace van de NT Object Manager |
| Programma | Versies: x86 / x64 / ARM64¹ | GUI (grafische interface?) | Beschrijving |
| BgInfo | ja / ja / nee | ja | zet systeeminformatie op het bureaublad |
| CPUSTRES | ja / ja / nee | ja | stresstest voor de CPU |
| Ctrl2cap | ja / nee / nee | nee | maakt van de CapsLock een Ctrl-toets |
| DebugView | ja / ja / ja | ja | vangt debug-output van programma’s af en toont die |
| Desktops | ja / nee / nee | ja | virtuele desktops, bij Windows 10 niet meer nodig |
| Hex2dec | ja / ja / ja | nee | rekent decimaal om in hexadecimaal en omgekeerd |
| NotmyFault | ja / ja / nee | ja² | genereert een bluescreen |
| PsPasswd | ja / ja / nee | nee | verandert wachtwoorden van gebruikersaccounts, ook remote op andere pc’s; bedoeld voor batchscripts om op beheerde computers het adminwachtwoord in een keer te veranderen |
| RegDelNull | ja / ja / ja | nee | zoekt en verwijdert ongeldige registeritems met null-tekens in de naam |
| RegistryUsage³ | ja / ja / ja | nee | berekent de grootte van registersleutels; bestandsnaam: ru.exe |
| RegJump | ja / nee / nee | nee | opent Regedit met de meegegeven sleutel, kan sleutel ook van klembord halen |
| Strings | ja / ja / ja | nee | toont alle in een bestand zittende tekenreeksen |
| Testlimit | ja / ja / nee | nee | simuleert voor debugdoeleinden een vol geheugen en andere resource-bottlenecks |
| ZoomIt | ja / ja / ja | ja | beeldschermloep, door Russinovich vooral gemaakt voor eigen technische voordrachten |
Extra opmerkingen bij de tabellen: ¹ afhankelijk van de versie is de bestandsnaam bij x86: naam.exe, x64: naam64.exe, Arm64: naam64a.exe ² afzonderlijke commandlineversie beschikbaar (x86: naamc.exe, x64: naamc64.exe, ARM64: naamc64a.exe) ³ bestandsnaam wijkt af van programmanaam, zie beschrijving
Tips over de bediening worden door de programma’s zelf gegeven, ook al hebben slechts enkele een afzonderlijke gedetailleerde hulp. Je kunt die downloaden als afzonderlijke bestanden in CHM- of HLP-formaat. CHM-bestanden kunnen worden geopend door er eenvoudigweg op te dubbelklikken. De HLP-bestanden kan Windows daarentegen sinds Vista niet meer weergeven en kun je beter negeren.
Meer informatie en tips voor de verschillende tools vind je ook in c’t magazine 5/2021 en in andere uitgaven van c’t magazine.
Op de Sysinternals-website staan verdere beschrijvingen en instructies. Ze zijn gesorteerd volgens categorieën zoals de tabellen. Je kunt op de website zoeken naar de naam van het programma. Nu we het er toch over hebben: Microsoft biedt ook een forum aan dat gekoppeld is aan de Sysinternals-website (Sysinternals Forum).
(Informatie afkomstig uit het artikel van Axel Vahldiek en Noud van Kruysbergen, c’t magazine 5/2021, p. 38)
Wil je je Windows 11 Home upgraden naar Pro zodat je beschikking hebt over meer functies? Met de tips in deze workshop kun je dat (bijna altijd) doen ...
Iedereen die een computer of server met het openbare internet verbindt, wordt al snel het doelwit van hackers. Sommige wetenschappers gaan ervan uit d...
