NotMyFault 教學:故意觸發 BSOD,驗證你的記憶體傾印設定真的有效
設定畫面勾了核心記憶體傾印,真的藍屏那天 `C:\Windows` 卻空空如也——傾印設定是少數「不驗證就等於沒設定」的項目。本文用微軟官方工具 NotMyFault v4.6 製造一次可控藍屏,走完查現況、備空間、取得工具、觸發、驗收五個步驟,並逐筆列出兩份微軟官方文件對小型傾印大小的數字分歧。
Sysinternals
LiveKd 教學:不必真的當機,用 WinDbg 分析正在執行中的 Windows 核心
想看核心在忙什麼,卻不想等電腦藍屏一次?LiveKd 替執行中的 Windows 核心做記憶體快照,再餵給 kd 或 WinDbg,不改開機設定、不重開機就能下 !process、!thread、!vm。本文從安裝、符號設定一路帶到 -m 鏡像傾印與 Hyper-V 參數,並拆解「快照不等於單一瞬間狀態」這個關鍵限制,順帶對照 Windows 內建本機核心除錯砍掉了哪些指令、要付出什麼代價。
Sysmon 教學:替 Windows 建立完整的處理程序與網路連線紀錄
工作管理員和 TCPView 都只看得到「現在」,程式跑完就查無此人。這篇用官方 Sysmon v15.21 帶你走完安裝、設定檔規則與事件記錄檔調校,並先講清楚最容易踩的坑:Windows 11 已有內建 Sysmon,不能和獨立版並存。另補上預設為何沒開網路監控,以及和 4688 稽核的取捨。
TCPView 教學:查看哪個 Windows 程式正在偷偷連線上網
什麼都沒開,網路燈卻一直閃?工作管理員只給你一個百分比,答不出「是哪個 exe 在連外」。這篇用微軟官方 TCPView v4.19,教你看懂程序、遠端位址與 TCP 狀態三欄,用三步流程排除自己造成的連線、從 svchost.exe 拆出真正連外的服務,再用簽章驗身分;並補上 Tcpvcon 命令列快照、四種工具的取捨,以及切連線、結束程序、防火牆封鎖三個層級該怎麼選。
ProcDump 教學:抓出應用程式沒回應與當機瞬間的記憶體傾印檔
程式卡死或閃退的當下,工作管理員只給你一句「沒有回應」,現場一重開就消失。這篇用微軟官方 ProcDump v12.01,教你分辨「當機」與「沒回應」該用 `-e` 還是 `-h`、四種傾印類型該怎麼選,再把 `.dmp` 丟進 WinDbg 分析,並補上事後除錯器註冊與解除、線上服務降低中斷的參數,以及把傾印檔交給第三方前必須知道的隱私紅線。
Process Explorer 完整教學:找出鎖定檔案、異常程序與可疑 DLL
檔案刪不掉、跳出「正在另一個程式中開啟」,工作管理員永遠給不了答案。這篇用官方 Process Explorer v17.13,教你用 Find Handle or DLL 反查鎖住檔案的行程,再切到 DLL 檢視、搭配簽章與 VirusTotal 揪出可疑 DLL,並補上命令列 Handle 與 ListDLLs 的批次用法、關閉 handle 的官方風險警告,以及提交檔案前必知的隱私紅線。
Autoruns 完整教學:找出工作管理員看不到的隱藏開機項目
工作管理員的「啟動應用程式」分頁全停用了,開機還是慢、關掉的程式又自己跑回來?那是因為你看的清單本來就不完整。本文用 Sysinternals Autoruns v14.3 把服務、排程工作、WMI 與 Winlogon 等自動啟動位置一次攤開:開簽章驗證降噪、逐分頁判讀重點,再用 autorunsc 存 CSV 基準線比對差異,並附完整回退步驟。
檔案總管一直閃退或重啟?Explorer.exe 當機完整排查方法
檔案總管閃退、桌面圖示整批消失再重畫、按右鍵就沒回應,其實都是同一件事:殼層處理程序當掉了。這篇從架構講起,說明為什麼第三方右鍵選單與縮圖處理常式能把整個桌面弄垮,再帶你用事件檢視器抓出出錯模組名稱、用官方工具做二分法隔離,最後附上降低耦合的長期設定與四種翻車情境的回退步驟。
一個檔案裡還能藏檔案?NTFS Alternate Data Streams 原理與檢查方法
從網路抓回來的腳本被擋、Excel 巨集被封鎖,原因藏在一條你看不到的資料流裡。本文用微軟官方文件拆解 NTFS Alternate Data Streams 的命名規則與機制,說明 Zone.Identifier 怎麼撐起 Office 巨集封鎖,並比較三種檢查方式的能力邊界與該不該刪的判斷。
Windows 11 記憶體壓縮是什麼?Memory Compression 拆解
工作管理員那個「使用中 (已壓縮) 12.3 GB (1.4 GB)」到底在搞什麼?Memory Compression 不是 bug,是 Windows 從 Win10 1507 起就在背後幫你擠 RAM 的核心機制。本文從 PowerShell 的 Get-MMAgent 切入,搭配 Sysinternals RAMMap 看完整 page list 結構,一路拆到 Modified Page List + Xpress 演算法 + Compression Store 工作流程,還對比 macOS Compressed Memory 與 Linux zram 的差異。最後告訴你 90% 的人為什麼不該關,以及真正該關的兩種冷門場景。