Windows排障对我来说很简单，毕竟是鼠标操作，而且有那么多小工具辅助排障，非常轻松。本文更偏重通用能力，不仅适用腾讯云，其他云也适用。专对腾讯云的话，推荐我写的一篇腾讯云SDK踩坑、填坑的文档，那个花了我上百个小时，是我10篇云 社区文档的集锦，腾讯云API Explorer工具的基本用法，让你熟练掌握6种SDK的使用。
回归本文主题，在说Windows排障思路之前，我先提醒一下大家，PC软件在Windows服务器上的一些意外表现我在这里特别介绍过，服务器上使用PC软件要谨慎。另外，Windows日志获取和分析并不难，我一般都自己分析，有提工单的功夫自己都分析出来原因了（个人感觉阿里云的工单服务最慢、腾讯云的工单服务给用户打电话的频率最高、华为云的工单服务我还在体验中……）。
言归正传，本文从系统驱动、应用软件、计划任务、开机加载项、系统关键目录、病毒木马、dmp文件分析、常用软件集nirsoft.net和sysinternals.com、通用软件10个方面进行简要介绍Windows排障思路。
1、系统驱动
①process explorer
如上图，只能选System进程，选择后点“view → Lower Pane View → Dlls (Ctrl D)”，在下方有系统所有驱动，有4列：Name、Description、Company Name、Path，主要通过看“Company Name”这一列比较能容易分辨出哪些是新引入的。
也可以通过autoruns查看系统驱动、服务列表、计划任务来找异常。
https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns
https://cloud.tencent.com/developer/article/1557575
整体来说，autoruns和process explorer是我进行Windows排障的必用工具，是性价比最高的Windows排障工具。
②nirsoft.net ServiWin
ServiWin utility displays the list of installed drivers and services on your system.
ServiWin实用程序显示系统上已安装的驱动程序和服务的列表。
http://www.nirsoft.net/utils/serviwin.html
nirsoft.net里还有个小工具叫InstalledDriversList，顾名思义就知道其作用。
2、应用软件
appwiz.cpl
第三方软件比如revo uninstaller pro、UninstallView(nirsoft.net小工具之一）等都可以查看系统已经安装的软件有哪些，这些软件可以比appwiz.cpl更详细地展示各软件安装的先后顺序，卸载的话也比appwiz.cpl卸载得干净一些。
3、计划任务
①计划任务快捷方式的位置
C:ProgramDataMicrosoftWindowsStart MenuProgramsAdministrative ToolsTask Scheduler.lnk
②命令：
taskschd.msc
③计划任务存在于4个位置：
C:WindowsSysWOW64Tasks
C:WindowsSystem32Tasks
C:WindowsSystem
C:WindowsTasks
4、开机加载项
①对分析开机加载项有用的软件：
AnVir Task Manager
WhatInStartup
Autoruns
Security Task Manager
Startup Delayer
WinPatrol
②Winlogon Shell，打开组策略分析，没有的话略过
③分析注册表位置
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnceEx
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServices
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServicesOnce
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnceEx
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesOnce
HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows
HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWinlogon
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWindows
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionShellServiceObjectDelayLoad
④Startup目录
C:ProgramDataMicrosoftWindowsStart MenuProgramsStartup
C:UsersAdministratorAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup
C:WindowsSysWOW64configsystemprofileAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup
C:WindowsSystem32GroupPolicyMachineScriptsStartup
C:Documents and SettingsAll UsersStart MenuProgramsStartup
C:ProgramDataStart MenuProgramsStartup
⑤%xxx%目录
%APPDATA%
%CommonProgramFiles%
%TEMP% 和 %TMP%
%ProgramW6432%
%programfiles(X86)%
%programfiles%
%SYSTEMROOT%
%WINDIR%
%HOMEDRIVE%
%SYSTEMDRIVE%
%ALLUSERSPROFILE%
%USERPROFILE%
%public%
[c:progra~1]=[C:Program Files]
[c:progra~2]=[C:Program Files (x86)]
[c:progra~3]=[C:ProgramData]
[c:progra~1Intern~1]=[C:Program FilesInternet Explorer]
[C:UsersADMINI~1]=[C:UsersAdministrator]
5、系统关键目录
C:WindowsFonts
C:UsersAdministratorDesktop
C:WindowsWeb
C:WindowsTemp
C:WindowsSystem
C:WindowsSystem32
C:Windows
C:WindowsSystem32Logs
C:Windowssecurity
C:WindowsINF
C:Windowsdebug
C:ProgramDataMicrosoftWindowsCaches
C:Windowsapppatch
C:UsersAdministratorAppDataLocalMicrosoftWindowsTemporary Internet Files
C:UsersAdministratorAppDataLocalMicrosoftWindowsTemporary Internet FilesContent.IE5
……
运行框输入以上文件夹名称即可打开
例如
⑥系统环境变量
echo %path% （跟Linux不一样，Linux是echo $PATH）
6、服务列表
services.msc
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservices
好多木马病毒存在于硬盘并且在注册表里注册了“服务”，但是这个服务是隐藏的，并不能在services.msc列表里看到
psservice (sysinternals.com pstools工具集 https://cloud.tencent.com/developer/article/1617430）
7、病毒木马
360、电脑管家 https://cloud.tencent.com/developer/article/1612225
https://www.virustotal.com/gui/home/upload
http://lockhunter.com/download.htm
Windows木马病毒经常藏匿于以下位置
C:UsersAdministratorAppDataLocalMicrosoftWindowsTemporary Internet Files
（还有其他用户的temp目录，替换用户名即可）
（还有其他用户的temp目录，替换用户名即可）
（还有其他用户的temp目录，替换用户名即可）
C:UsersAdministratorAppDataLocalMicrosoftWindowsTemporary Internet FilesContent.IE5
（还有其他用户的temp目录，替换用户名即可）
（还有其他用户的temp目录，替换用户名即可）
（还有其他用户的temp目录，替换用户名即可）
还有其他Content.IE5，用Everything搜一下
C:WindowsTemp
C:UsersADMINI~1AppDataLocalTemp
C:UsersAdministratorAppDataLocalTemp同上
（还有其他用户的temp目录，替换用户名即可）
（还有其他用户的temp目录，替换用户名即可）
（还有其他用户的temp目录，替换用户名即可）
XP、2003的temp路径如下
C:DocumentsandSettings用户名LocalSettingsTemp
C:DocumentsandSettings用户名LocalSettingsTemporary Internet Files
C:WindowsSystem32wbem
C:WindowsSystem32drivers
C:WindowsSystem32……
C:Windowsinf
C:WindowsWeb
C:Windowsdebug
C:WindowsFonts
C:Windows……
各个分区的System Volume Information
杀毒命令（正常系统文件都有固定位置，不在原有位置的同名文件一般都是病毒木马）
wmic process where "name='svchost.exe' and ExecutablePath<>'C:\WINDOWS\system32\svchost.exe'" call Terminate
wmic process where "name='wininit.exe' and ExecutablePath<>'C:\WINDOWS\system32\wininit.exe'" call Terminate
wmic process where "name='csrss.exe' and ExecutablePath<>'C:\WINDOWS\system32\csrss.exe'" call Terminate
wmic process where "name='csrs.exe' and ExecutablePath<>'C:\WINDOWS\system32\csrs.exe'" call Terminate
wmic process where "name='WUDFHost.exe' and ExecutablePath<>'C:\WINDOWS\system32\WUDFHost.exe'" call Terminate
wmic process where "name='services.exe' and ExecutablePath<>'C:\WINDOWS\system32\services.exe'" call Terminate
wmic process where "name='taskhost.exe' and ExecutablePath<>'C:\WINDOWS\system32\taskhost.exe'" call Terminate
wmic process where "name='conhost.exe' and ExecutablePath<>'C:\WINDOWS\system32\conhost.exe'" call Terminate
wmic process where "name='winlogon.exe' and ExecutablePath<>'C:\WINDOWS\system32\winlogon.exe'" call Terminate
wmic process where "name='msinfo.exe' and ExecutablePath<>'C:\WINDOWS\system32\msinfo.exe'" call Terminate
wmic process where "name='explorer.exe' and executablepath<>'%SystemDrive%\windows\explorer.exe'" call Terminate
wmic process where "name='msinfo.exe' and ExecutablePath<>'C:\WINDOWS\system32\msinfo.exe'" delete
wmic process where "name='explorer.exe' and executablepath<>'%SystemDrive%\windows\explorer.exe'" delete
获取字体目录里异常进程的命令，结果集里并不都是病毒，命令的作用是排除掉字体文件把剩下的文件列出来
wmic datafile where "drive='c:' and path='\windows\fonts\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name
wmic datafile where "drive='c:' and path='\windows\fonts\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name,Path,CreationDate,LastAccessed,LastModified
wmic datafile where "drive='c:' and path='\windows\fonts\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name,Path,CreationDate,LastAccessed,LastModified /value
wmic datafile where "drive='c:' and path='\windows\fonts\' and extension<>'ttf' and extension<>'fon' and extension<>'ttc' " get Name,Path,CreationDate,LastAccessed,LastModified /format:list
https://cloud.tencent.com/developer/article/1613296
8、dmp文件分析
①bluescreen view
http://www.nirsoft.net/utils/blue_screen_view.html
蓝屏示例
②windbg
9、其他可能会用到的软件
①Sysinternals.com工具集
Sysinternals里有pstools等一大堆实用小工具，这里要重点强调下，newsid.exe已经被淘汰了，不要在云服务器上乱用newsid，这可能会导致服务器黑屏或陷入recovery模式而无法恢复，如果是修改sid，建议使用sysprep命令或使用sidchg这个第三方软件。值得一提的是，sysprep有2个缺点：特别耗费时间、会清理“家目录”里的数据。
②nirsoft.net里面有很多好软件，比如UninstallView、LastActivityView、TurnedOnTimesView、WinLogOnView、BlueScreenView、BrowsingHistoryView、CurrPorts、DevManView、DriverView 、EventLogSourcesView、HashMyFiles、InstalledCodec、InstalledDriversList、ProcessActivityView、ProduKey、RegScanner 、ShellMenuView、SmartSniff、SoundVolumeView、SpecialFoldersView、USBDeview、WebSiteSniffer、WhatInStartup、ServiWin
SpecialFolderView
AppReadWriteCounte
NTFSLinksView
HtmlDocEdit
SimpleWMIView
LoadedDllsView
UninstallView
FullEventLogView
RegScanne
RegistryChangesView
TaskSchedulerView
LastActivityView
ProcessThreadsView
ServiWin
SecuritySoftView
InstalledDrivesList
WhatInStartup
10、通用软件或能力
云平台安全组、系统防火墙、everything、notepad 、powershell、wireshark等
11、关于Windows方面的积累我还有很多，列举如下
https://cloud.tencent.com/developer/column/83952
Windows系统小工具之pstools：psservice、psinfo……
Exception Processing Message 0xc000007b Parameters
Windows网络小工具之pstools：psping、pslist……
Win10这样卸载Edge浏览器不会导致注销和重启变慢
基于tcp协议的windows trace工具：tracetcp
利用 WimBuilder2 最新稳定版 DIY Win10PE
制作种子文件分享自己制作的基于最新版Win10的WinPE
是否可以删除 WinSxS 文件夹
花15分钟时间掌握必知必会的20个PowerShell命令
fonts文件夹挖矿病毒识别办法
最全Windows代系介绍，迎接Windows 2020，回顾Windows XP经典
curl --tlsv1.x和--tls-max 1.x 参数详解
Windows奇技淫巧：如何添加TrustedInstaller权限
win10 、server 2019、office 2019激活
WinPE制作介绍
XP Win7 双系统 多用户远程连接配置
Visual Studio 2019 惨痛 踩坑 经历 0x80070490 0x80040154
Windows挂CFS（NFS）中文乱码如何解决
好用的Windows跨平台远程工具分享
Linux和Windows下硬盘/分区对拷和硬盘/分区写0是怎么回事
WinNTSetup极大简化Windows系统安装
推荐一款非常实用的Windows驱动备份、恢复、删除的专用工具
DiskGenius 5.1版本bug很多，不建议使用
Windows命令新解
Windows SmartScreen阻止文件执行如何关闭？
sql server 2000、2005/2008/2008R2/2012/2014/2016/2017/2019 express全版本下载地址
sqlserver2008/2008R2/2012/2014/2016/2017/2019通用安装脚本
win10/server2016/server2019关闭系统自带安全保护
Windows安装dig命令
phpstudy8在windows2016上安装后在服务列表找不到服务
windows校验文件时计算md5、sha1、sha256值的若干种办法
误删除 文件 磁盘 格式化 勒索 加密 数据 恢复 指南
实用powershell命令
低配机器安装个WPS经常内存爆满卡死如何解决?
Windows 邮箱服务器 WinWebMail Server 配置过程
Windows安全狗导致的若干问题
解决explorer.exe被篡改加载NewOverlayIcon32（64）.dll报错
IIS启动不了，80端口被占用，如何快速定位被谁占用
Windows查看网卡驱动版本
FileZilla 错误：Server unexpectedly closed network connection 无法连接到服务器
Windows服务器在Mac上远程后看起来字体和图标都特别小，如何解决？
安装Windows Performance Toolkit进行0.1微秒级CPU监控
到底哪个才是Windows服务器真正的用户名？
Windows服务器如何支持https多站点
分享个Windows远程会话管理工具，非常赞，谁用谁知道
3389 Windows 远程端口修改工具
任务管理器里所有进程的内存占用加起来怎么远小于总的内存×内存占用率？
关于Windows服务器默认远程会话数的说明
针对国内机房访问国外网站如亚马逊等网站效果较差时的解决办法
利用process explorer和autoruns找蓝屏、死机的异常点
Windows上利用powershell安装dotnet和iis
我常用的Windows命令
Windows远程复制粘贴大文件不稳定如何解决
Windows EIP直通手动配置步骤
Windows缓存目录200多万个缓存文件导致业务不可用
……
