Cómo rastrear el registro de "acceso denegado" y los eventos de archivo usando Process Monitor

Una aplicación bien escrita maneja los errores adecuadamente, notifica al usuario en detalle sobre el error que contrarrestó y cómo solucionarlo, en lugar de fallar en silencio o arrojar un código de error oscuro y salir. Esta publicación le dice cómo rastrear los eventos de "Acceso denegado" para las actividades de archivo y registro que ocurren en el sistema, usando Process Monitor.

(Ya tengo un artículo sobre cómo usar Process Monitor con un ejemplo; y este artículo explica específicamente cómo rastrear / rastrear entradas de "Acceso denegado" configurando las Opciones de filtrado en Process Monitor).

1. Obtenga Process Monitor desde la página Windows SysInternals.

2. Acepte el EULA que aparece cuando ejecuta el programa por primera vez.

3. Process Monitor comienza a capturar eventos automáticamente. Detenga la captura haciendo clic en el botón Capturar (CTRL + E) en la barra de herramientas.

El conjunto de 5 botones que ve a la derecha es para mostrar 5 actividades diferentes que se capturan.

(De todos modos, todo se captura, pero puede elegir lo que se muestra en la ventana de salida).

1. Registro

2. Sistema de archivos

3. Actividad de red

4. Proceso y actividad de subprocesos

5. Perfilado de Procesos

4. El procedimiento de solución de problemas más básico requiere que los botones 1 o 2 (o ambos, si es necesario) estén activados. Entonces, habilite los botones 1 y 2 para comenzar.

5. Desde el menú Filtro, y haga clic en Filtro (CTRL + L)

6. En el cuadro de diálogo Filtro de Process Monitor, haga clic en el botón Restablecer. Esto es para borrar cualquier filtro si lo configuró anteriormente.

7. Luego, configure las opciones de filtrado como la siguiente, para capturar específicamente las entradas "Acceso denegado".

 El resultado contiene NEGADO y luego Incluir 

8. Haga clic en Agregar y haga clic en Aceptar.

9. Comience a capturar habilitando el botón de alternancia Capturar en la barra de herramientas.

10. Ahora, comience a reproducir el problema. Suponga que intenta crear una clave de registro y encuentra un error ... intente hacer la misma operación mientras Process Monitor la captura en segundo plano.

11. Después de reproducir el problema, verá que Process Monitor enumera las entradas de acceso denegado (si ha ocurrido alguna).

En este ejemplo, intenté crear una clave de registro bajo la rama HKEY_CLASSES_ROOT usando la línea de comandos REG.EXE, y contrarrestó un error de acceso denegado. Por supuesto, sabía que REG.EXE debe ejecutarse en un símbolo del sistema elevado para crear o modificar claves en las áreas del sistema del registro. Esto es para fines ilustrativos.

12. Tome nota del nombre del proceso, la operación que intentó realizar y el archivo / directorio o la ruta del registro que intentó modificar. Modifique los permisos si es necesario.

Sin embargo, tenga en cuenta que no todas las entradas de ACCESO DENEGADO que ve en Process Monitor pueden ser necesariamente eventos problemáticos. Algunos son perfectamente normales. Si no está seguro de lo que se muestra en el registro, guárdelo en un archivo PML. comprimirlo y enviarlo al equipo de soporte respectivo.