Comment suivre les événements de registre et de fichier «Accès refusé» à l'aide de Process Monitor

Une application bien écrite gère correctement les erreurs, informant l'utilisateur en détail de l'erreur qu'elle a contrée et de la façon de la corriger, plutôt que d'échouer silencieusement ou de lancer un code d'erreur obscur et de quitter. Cette publication vous explique comment suivre les événements "Accès refusé" pour les activités de fichiers et de registre se produisant dans le système, à l'aide de Process Monitor.

(J'ai déjà un article pratique sur l'utilisation de Process Monitor avec un exemple; et cet article explique spécifiquement comment suivre / tracer les entrées "Accès refusé" en configurant les options de filtrage dans Process Monitor.)

1. Obtenez Process Monitor à partir de la page Windows SysInternals.

2. Acceptez le CLUF qui apparaît lorsque vous exécutez le programme pour la première fois.

3. Process Monitor démarre automatiquement la capture des événements. Arrêtez la capture en cliquant sur le bouton Capture (CTRL + E) dans la barre d'outils.

L'ensemble de 5 boutons que vous voyez à droite sert à afficher 5 activités différentes qui sont capturées.

(Tout est capturé de toute façon, mais vous pouvez choisir ce qui s'affiche dans la fenêtre de sortie.)

1. Enregistrement

2. Système de fichiers

3. Activité réseau

4. Processus et activité de thread

5. Profilage de processus

4. La plupart des procédures de dépannage de base nécessitent que les boutons 1 ou 2 (ou les deux, si nécessaire) soient activés. Donc, activez les boutons 1 et 2 pour commencer.

5. Dans le menu Filtre, puis cliquez sur Filtre (CTRL + L)

6. Dans la boîte de dialogue Filtre du moniteur de processus, cliquez sur le bouton Réinitialiser. C'est pour effacer tous les filtres si vous avez configuré plus tôt.

7. Ensuite, définissez les options de filtrage comme celles ci-dessous, pour intercepter spécifiquement les entrées "Accès refusé".

 Le résultat contient REFUSÉ puis Inclure 

8. Cliquez sur Ajouter et cliquez sur OK.

9. Lancez la capture en activant le bouton bascule Capture dans la barre d'outils.

10. Maintenant, commencez à reproduire le problème. Supposons que vous essayez de créer une clé de registre et que vous rencontriez une erreur. Essayez de faire la même opération pendant que Process Monitor la capture en arrière-plan.

11. Après avoir reproduit le problème, vous verrez Process Monitor lister les entrées d'accès refusé (si elles se sont produites).

Dans cet exemple, j'ai essayé de créer une clé de Registre sous la branche HKEY_CLASSES_ROOT à l'aide de la ligne de commande REG.EXE, et il a contré une erreur d'accès refusé. Bien sûr, je savais que REG.EXE doit être exécuté sous une invite de commandes élevée pour créer ou modifier des clés dans les zones système du Registre. C'est à des fins d'illustration.

12. Prenez note du nom du processus, de l'opération qu'il a tenté d'effectuer et du fichier / répertoire ou du chemin de registre qu'il a tenté de modifier. Modifiez les autorisations si nécessaire.

Cependant, notez que toutes les entrées ACCESS DENIED que vous voyez dans Process Monitor ne sont pas nécessairement des événements problématiques. Certains sont parfaitement normaux. Si vous n'êtes pas sûr de ce qui apparaît dans le journal, enregistrez-le dans un fichier PML. le compresser et l'envoyer à l'équipe d'assistance respective.