运维指南之windows系统诊断

第一 windows启动问题排 windows启动失败常用排查方 重启卡在“正在应用计算机设置”？6步排查搞 Windows控制台登录不能切换用 启动报错“Anoperatingsystemwasn’t windows重置不生 启动报错“Nobootable 第二 windows激活问题排 window机器不通KMS服务 windows激活报错 windows激活报错0x80070020或 第三 /网络相关问题排查 windows问题的3个排查方 windows网络状态显示X，看不到网卡信 Windows网卡驱动丢失，手动安装驱 第四 windows更新问题排 windows更新常用的5个排查方 查找更新错？2个方案解 更新安装报错的3个实战分 第五 windows服务问题排 服务启动失败？2步轻松搞 第六 windows性能问题排 占用内存高-分页数/未分 内存占用高- explorer.exe占用cpu或者内存 C盘空间占满？主要是这2个原 第七 windows系统相关问题排 如何追踪Windows进程自动异常退 进程crash报错 windows桌面显示黑屏或者蓝 windows异常问题-怀疑 96Windows数据恢复-动态盘显示无 WMI异常问题要如何重置 提示权限有问题？3步修改表搞 第一章windows启动问题windows启动失败常用排简介：本文几个windows启动失败常用排查方案把系统盘挂载到其他实例进行排查，挂载步骤请参考 _detail/146752.html。系统盘空间不足的话，先清理出空间盘比如盘替换系统表（建议替换system和software），替换后重复1,2步把系统盘挂载到其他实例，挂载步骤请参考https 2008之后服务器备份表路径为：Windows\System32\config\RegBack把系D盘ndos-system32configsystem重命名为system.old(万一重启仍然有问题，我们可以将该文件重命名成system进行恢复）D:\WindowsSystem32configRegBacksystem拷贝至D:\windows\sys-tem32\config2003系统把系统盘挂载到其他实例，找到源实例的系统盘，假设为D盘，将D:\win-dowssystem32configsystem重命名为system.old(万一重启仍然有问题，我们可以将该文件重命名成system进行恢复。DWINDOWSrepair\system拷贝至D:\windowssystem32config。 症状安装补丁后服务器卡在“请等候windowsmodulesinstaller排目前ecs已支持系统盘卸载功能，可以把系统盘挂载到其他实例进行排查，挂载 挂载后，发现原来实例系统盘剩余空间只有6MB,理磁盘空间后成功启动（一定要找到正确的系统盘！！！需要改到源实例的系统盘比如D盘。至少保留5G以上剩余空间。症状服务器卡在“配置windowsupdate失败还原更改关闭计算机”界面排进入windowsupdate和WindowsModulesInstaller如果安全模式进不去，可以把系统盘挂载到其他实例进行排查，挂载步骤请 cmdregedit找到HKEY_LOCAL_MACHINE然后点击file，选择LoadHive改到源实例的系统盘比如Dwindows\system32\config\sys-tem,任意命名（例如test）。展开test，查看selectcurrent值为1，则我们应该去找ControlSet001展开ControlSet001，展开services,找到TrustedInstaller和wuauserv,将start改为4回到test项，先选中test，再选择file，点击UnloadHive 重启卡在“正在应用计算机设置”？6步排查搞问题现排把系统盘挂载到其他实例，挂载步骤请参考https cmd命令行输入regedit，找到HKEY_LOCAL_MACHINE,然后点击文件，选找到系统盘，并加载windows\system32configsoftware（注：一定要找到正确的系统盘！！！默认加载的是当前实例的C盘，需要改到源实例的系统盘比如D盘））,任意命名（例如test）。HKEY_LOCAL_MACHINEHKEY_LOCAL_MACHINE\SOFTWARE\Windows\CurrentVersion\GroupPolicy\Scripts\startHKEY_LOCAL_MACHINEHKEY_LOCAL_MACHINE\SOFTWARE \Windows\CurrentVer-sion\GroupPolicy\State\Machine\Scripts\StartHKEY_LOCAL_MACHINEHKEY_LOCAL_MACHINE\SOFTWARE\Windows\CurrentVersion\GroupPolicy\State\{GUID}\Scripts\ 控制台登录不能切换背解决方把系统盘挂载到其他实例，挂载步骤请参考https 组策略：计算机配置Windows地策式登录:不显示最后的用户名。 sion\policies\system\dontdisplaylastuser具体步骤如cmdregedit，找到HKEY_LOCAL_MACHINEfile，选择LoadHive。找到系统盘，并加

windowssystem32configsoftware（注到正确的系统盘！！！默认加载的是当前实例的C盘，需要改到源实例的系统盘比如D））（例如test）。找到HKEY_LOCAL_MACHINE\test icies\system\dontdisplaylastusername，改为1。卸载系统盘，挂回源实例（https 启器，看到登录界面用户名是空的，这样就可以手动输入用户名和进行简介：一个启动报错“Anoperatingsystemwasn'tfound”的案例问题现启动报错“Anoperatingsystemwasn'tfound排把系统盘挂载到其他实例进行排查，挂载步骤请参考 发现源实例缺失bootmgr文件（注：一定要找到正确的系统盘！！！需要改到源实例的系统盘比如D盘。启动报错“Anoperatingsystemwasn'tfound” 21 从相同版本正常机器拷贝bootmgr windows重置不生简介：针对windows重置不生效问题的详细排查问排把系统盘挂载到其他实例进行排查，挂载步骤请参考 控制台更改的日志在ProgramData\aliyun\vminit\log，查看日志没有看的是源实例的系统盘比如D））2志没有记录的原因。再次更改，重启后接进入安模式，现更改是生效了的说明windows重置不生效 23 我们碰到过很多sconfig务动禁仍行题个因为一般应用除了服务外还会有驱动，这些驱动在系统启动过程中就会被加载，这时候就需要我们去查看对应表信息驱动和服务的表都是_LHIE\TM\CurrentControlSet\Services查看表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services，有一个可疑表项，从命名来看就是重置相关的，将start类型改成4（4后启动报错“Nobootabledevice” 25 启动报错“Nobootable简介：三个步骤排查启动报错“Nobootabledevice问排把系统盘挂载到其他实例进行排查，挂载步骤请参考 挂载后，发现原来实例系统盘的活动分区标志没有了（一定要找到正确的系统D 第二章windows激活问题确认softwareprotection中状态，重启服务确保能够正常kms服务器和netkms1688端口（确保DNS配置的是内网DNS）经典网络下是内网10网段地址，对应，经典网络内网DNS：16和18。VPC环境下是100网段服务地址，对应kms.cloud.aliyuncs.内网DNS：36和38运行slmg /upk卸载激活码运行slmg /ipk<激活码>安装激活码重命名tokens.dat对于WindowsVista或WindowsServer2008。以管理员运行下面CMD命令nnetstopsppsvcd%windir%\serviceprofiles\networkservice\appdata\roaming\softwarelicensingrentokens.dattokens.barnetstartslsvccd%windir%\Systslmgr.vbs-ril\对于Windows7WindowsServer2008R2。以管理员运行下面CMD命令：nnetstopsppsvcdC:\Windows\ServiceProfiles\NetworkService\AppData\Roaming\SoftwareProtectionPlatformrentokens.dattokens.barnetstartsppsvccd%windir%\Systslmgr.vbs-ril\对于Windows8WindowsServer2012Windows8.1orWindowsServer2012R2。以管理员运行下面CMD命令nnetstopsppsvcd%windir%\ServiceProfiles\LocalService\AppData\Local\rentokens.dattokens.barnetstartsppsvcd%windir%\System32slmgr.vbs-rilc\WSLicenswindow机器不通KMS服务简介：window机器不通KMS服务器的案例 在网卡属性里将DNS服务器设置成内网地址（VPC36和38，经典网络是16和18）windows激活报 运行slmg /ato后无任何输出查看应用程序日志，发现报错0xC004F074信息提示已经向KMS服务器发送了请求，所以问题就是KMS服务器没有响进一步核实发现指向了错误的KMS服务器，客户是VPC网络，截图中显示客户使用的是经典网络KMS服务器（ 运行命令行更改服务器，之后重启softwareprotection服务后通过表更改KMS服务器（kms. ，protection服务后激活成功。HKEY_LOCAL_MACHINEHKEY_LOCAL_MACHINE\SOFTWARE\WindowsNT\CurrentVersionSoftwareProtectionPlatform\KeyManagementServi简介：windows激活报错0x80070020或0x80041010问题现激活报错slmgr/ato后报错代码类似排查步运行命令行slmgr/dlv同样报错，说明是slmgr本身命令有问题，不像是网查看msinfo32，发现报错，提示winmgmt服务有问题重启winmgmt务，可以正常重启winmgmt身正rebuildwmi数据库。按照rebuildwmi库（注：此操作可能会对环境产生影响，建议先进windowsServer右击cmd，选择以管理员运行，运行以下命令行sscconfigwinmgmtstart=disablennetstopwinmgmt/cd%windir%\system32\wbrenamerepositoryrepository.olfor/f%sin('dir/b*.dll')doregsvr32/s%swmiprvse/regserverscconfigwinmgmtstart=autonetstartwinmgmtfor/f%sin('dir/b*.mof*.mfl')domofcompWindowsServer2012及以后版本右击cmd，选择以管理员运行，运行以下命令行sscconfigwinmgmtstart=disablednetstopwinmgmt/y%systemdrivcd%windir%\system32\wbrenrepositoryrepository-bacfor/f%sin('dir/b*.dll')doregsvr32/s%sscconfigwinmgmtstart=Autonetstartwidir/b*.mof*.mfl|findstr/v/iuninstall>moflist.txt&for/F%sin(moflist.txt)domofcomp%s第三章/网络相关问题排windows问题的3个排查方简介：三个windows问题排查方案问题客户反馈已经安装了并且配置了，但是仍然无法超过2个用户登录安装“桌面会话主机”角色，windows2019是"RemoteDesktopSessionHost装后需要重启服务器生效。问题配置后，错'你的桌面证出现问题，你的会话将在60分钟后workgroup机器只能用每设备组策略里模式改成“每设备”，RD管理器里要存在每设备证，修改后问题同版本的Windows服务器进行配置。Windows2012通过Windows选择开始，单击运行，在打开框中输入servermanager.msc，单击确定。进入服务器管理器页面，选择理在角色框中，取消勾选桌面服务，其它配置默认，单击下一步在WindowsWindows2008通过Windows选择开始，单击运行，在打开框中输入servermanager.msc，单击确定在WindowsWindows2003通过Windows选择始选择添加Windows件在Windowswindows网络状态显示X，看不到网卡简介：一个windows网络状态显示X，看不到网卡信息的案例问windows网络状态显示X，看不到网卡信息。实际网络正常，可以解网卡等信息的显示和NetworkListService该服务没有启动，手动启动本案NetworkLocationAwareness被禁用。将NetworkLocationAwareness服务启动类型改成手动，并依次启动NetworkLocationAwareness，NetworkListService服务。 简介：Windows网卡驱动丢失？教你如何手动windows各系统版本网卡驱 （C:\ProgramData\aliyun\vminit\kvm）如下WindowsServer2003使用wnet。WindowsServer2008使用wlh。WindowsServer2008R2win7。WindowsServer2012R2win8。WindowsServer2016使用win8。具体案客户自定义镜像，2012服务器创建后网络不通，查看适配器发现选择“浏览计算机以查找驱动程序"选到这个路径：CProgramDataaliyunvminit\kvm\Win8amd64，选择下第四章windows更新问题windows更新常用的5个排查简介：windows更新常用排查方案 /help/4027322/windows-up-运行如下命令行，手动重置windowsnnetstopcryptsvcnetstopBITSnetstopRen%systemroot%\SoftwareDistributionSoftwareDistribution.bakRen%systemroot%\system32\catroot2catroot2.baknetstartcryptsvcnetstartBITSnetstart20082008R2运行SystemFileCheckerutilitySFC.exe)右击cmd，选择以管理员运行，运行以下命令行sfc/s运行checksur。1） /kb/9478212）根据系统版本（是X86还是X64）选择对应的程序包 20122016机器，参考如下步骤运行SystemFileCheckerutilitySFC.exe)右击cmd，选择以管理员运行，运行以下命令行sfc/sDIDISM.exe/Online/Cleanup-image/ScanhealtDISM.exe/Online/Cleanup-image/Restorehealt““C:\Windows\Logs\CBS\CBS.log”“C:\Windows\WindowsUpdate.lWER:Generatingfailurereportforpackage:Package_for_KB查看靠近这行之前的报错这些报错才是补丁失败的真正原因尤其是第一个报aildcalloCrpCTdnddCa-alg.[RSLT=0x8000fff-nknonrror]。这个报错是跟CryptographicServices和catroot2有关，查看CWindows\System32catroot2F750E6C338EE11D185E500C04FC295EE}缺失catdb件，可以从相同版本正常机器尝试拷贝文件测试对于在重启过程发生补丁回滚的，分析日志rollback关键字（如下示例，这行表示补丁配置失败了，开始rollback即回滚。之后查看最靠近这行的报错，是在执行C:\Windows\ .NET\Frame-work64\v4.0.30319\ngen.exe的时候报错了。这个案例中，查看C:\Windows\ .NET\Framework64\v4.0.30319缺失了ngen.exe，同时该下还缺失了很多其他文件，建议相同版本正常机器尝查找更新错？2个方案解简介：Windowsupdate查看具体报错，代码为8007000ehhttps:///en-us/openspecs/windows_protocols/mserref/1bc92ddf-b79e-413cbbaa-99a5281a6c查看内存占用量，确实不是很多（2G），而且系统日志一直设置虚拟内存来增加内存使用量（但是ecs使用须知不建议使用虚拟内存，因此最直接的方案还是方案1增加物理内存。系统版本不一致，比如补丁是适用于windows2012的，但是客户系统版本是系统架构不一致，比如补丁是适用于X86系统的，但是客户系统是X64的以下以KB3042553示例。打开 可以看到这个补丁是用来更新http.sys的，对于windowsserver2012R2装完这个补丁后http.sys将被更新到6.3.9600.17712。对比系统当前http.sys版本信息为6.3.9600.18730，高于KB3042553的版本，这种情况下KB3042553补丁安装就会提示“此更新不适用于你的计更新安装报错的3简介：针对windows更新安装报错的实案例补丁安装失败，重启后补丁回滚并且服务器启动报错bootmgrismissing查看cbslog，回滚之前的报错是copybootmgr错了，这个就解释了为什么报错bootmgrismissing。错误代码是0x5,这个一般表示是acessdenied，没限单独一个补丁，手动安装时发现直接报错80070005accessdeniedus/sysinternals/bb896645.aspx在出问题的机器上，双击Procmon.exe文件(管理员打开)来抓取进程当ProcessMonitor工具运行的时候,请重现当问题完全重现,在该的窗口中点击File->CaptureEvents来停止工具的运行.然后点击File->Save来保存日志文件。收集procmon日志，发现在向C盘 查看C盘 案例补丁安装报错80070005查看cwindows\logscbscbslog，解压补丁的时候就报错了，这种收集procmon日志，看到安全狗一直对文件在进行读写请求案例安装补丁报错80070005需要查看c:\windows\windowsupdate.log（主要是过程）和c:\windows\logscbs（主要是安装过程）FailedtoqueryinterfacepassedinhandlerforIID_ICbsUIHandler.[HRESULT=0x80070005-ACCESSDENIED报错表示，一般怀疑是组件的影响，禁用服 fg打开组件服务，在组件服务——计算机——电脑上点击右键——第五章windows服务问题服务启动失败？2 服务名称比如RemoteDesktopServices服务名称是TermService，对问题现NetworkLocationAwareness排少了tcpip协议驱动程序。此类问题的话，需要找到一台相同系统版本的正常机器，手动替换该服务的替换系统当前的system表（此操作可能会引起某些配置和应用的丢失，把系统盘挂载到其他实例，挂载步骤请参考https 2008之后服务器备份表路径为：Windows\System32\config\Re替换步把系统盘挂载到其他实例，找到源实例的系统盘，假设为D盘，将D:\win-dowssystem32configsystem重命名为system.old(万一重启仍然有问题，我们可以将该文件重命名成system进行恢复。D:\Windows\System32\config\RegBack\system拷贝至D:\windows\system32\config。2003系统替换步把系统盘挂载到其他实例，找到源实例的系统盘，假设为D盘，将D:\win-dowssystem32configsystem重命名为system.old(万一重启仍然有问题，我们可以将该文件重命名成system进行恢复）DWINDOWSrepair\system拷贝至D:\windowssystem32config。 问题现Windowsinstaller排首先从报错来看，提示就是找不到对应文件，查看服务属性，可执行文件的路径被篡改成C:\UsersAdministratorAppata\cal\ep\2\X00.MPMsixec.exe。找到对应表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ser-vices\msiserverImagePath为默认%systemrootsystem32\msiexecexeV即可问题背如果替换过system表或者意外删除了服务，可尝试通过表恢复服务具体步骤服务对应的表路径是HKEY_LOCAL_MACHINE\SYSTEM\CurrentControl-Set\services<服务名称>，可尝试以下步骤恢复服务：将替换的原始表load起来，查看服务的配置信息cmdregedit找到HKEY_LOCAL_MACHINE,然后点击文件，选择加载配置单元展开test，查看selectcurrent值为1，则我们应该去找ControlSet001展开ControlSet001，展开services,找到对应服务，以更新服(gupdatem确认注意：binpath对应ImagePath。type对应类型和表键值：表键值服务类start对应类型和表键值表键值启动类error对应ErrorControl，表键值对应如下表键值error类型dependDependOnService，多个服务的话以sccreate的各项参数可以在命令行直接查询：第六章windows能问题占用内存高-分页数/未分简介：任务管理器看到内存占用高，内存占用主要是分页或未分页（windows问题现任务管理器看到内存占用高，内存占用主要是分页或未分页（windows2012之后显示是页面/非页面缓冲池。排查步windowsdriverkit poolmonCProgramFilesx86WindowsKits10Toolsx64或CProgramFiles(x86WindowsKits10Toolsx86ccd<poolmonexe的路径>poolmon-u-nc1tx1.txt,在Bytes这列找到占用pool最高tag之后查找tag对应的组件右击cmd，选择以管理员运行以下命令行cccdfindstr/m/l/sLeak*sys（标黄部分换成具体ta内存占用高-简介：一个AWE占用内存高的案例问题现内存占用高，任务管理器看不到问题RAMMAP，看到AWE用了大部分内 AWE占用内存高的问题一般发生在SQL服务器上，一般建议客户调整“umservermemory”。 explorer.exe占用cpu存简介：本文一个explorer.exe占用cpu或者内存高的案例问题现explorer.exe占用cpu处理方 运行autoruns工具（右击选择以管理员运行，64位系统选择Autoruns64），找到explorer，把所有非的勾都去掉（注：这个步骤不会影响已安装应用，只是把explorer下的hook取消掉。重启explorer.exe观察。 C盘空间占满？主要是这2C盘空间占满？主要是这2个原因C盘空间占满的问题，首先要明确一下，空间被占满就是说明有文件把空间给占用隐藏文件（包括pagefile.sys系统管理员没限的文件比如Systemvolumeinformation这个文件夹。CompuComputer>Loca Disk(C)>View>Options>Chang folde asearchoptions,显示隐藏文件默认情况下，Systemvolumeinformation这个文件夹系统管理员没限，所以大小为0。ttakeown/f"C:\systemvolumeinformation"/r/icacls"c:\systemvolumeinformation"/grantbuiltin\administrators:使用windirstattreesize都可以非常直观的显示每个IIS服务器：主要是log件，默认是如下路径：CinetpublogsLogFilesC:\ProgrC:\ProgramFiles .PS：第三步中使用工具如果看到占用最多的是winsxs或者任何系统 Winsxs当于系统的备份数据库，不可以完全删除或者移除，一般来讲清理的空 如何追踪Windows进程自动异常简介：教你如何追踪Windows进程自动异常退出对于进程突然退出的问题，我们可以使用gflags进行 archive安装的时候只选择debuggingtools安装完成后，找到CProgramFilesx86WindowsKits80Debuggers\x64，右击gflags.exe选择“以管理员运行”，选择“SilentProcess在image填写想要的进程，之后勾选如下。dumpfolderlocationdump刚才设置的dump路径也会生成以进程命名的dumpcrash问题现进程crash10002008R2之后的系统可以配置WER，收集进程dump进一步分运行regedit.exe去创建LocalDumpsHKEY_LOCAL_MACHINEHKEY_LOCAL_MACHINE\Software \Windows\WindowsErrorReporti在新建的LocalDumpskey,创建一下键值VaValuename:DumpFolderType:REG_EXPAND_SZValue:希望创建Dump的路径.默认%LOCALAPPDATA%\%LOCALAPPDATA%\CrashDumpValuename:DumpCountType:REG_DWORDValue:Note设置最大DumpValuename:DumpTypeType:REG_DWORDValue:Note:0=custom,1=minidump(default),2=full排查阶段我们需要设置fulldump以获取足够信windows桌面显示黑屏或简介：windows机器登录后桌面显示蓝屏问题现windows处理方ctrl+aelete调出任务管理器，之后查看是否存在explorer.exeexploer.exe不存在的情况下，文件》新建任务，输入explorer.exe后可以正常explorer.exe存在的情况下，先将explorer.exe全都结束，再新建explorer.以上操作无效的cmd行以下命令行（这个命令行的作用是检查系统是sfcwindows运行msconfig，查看启动项以下是具体案例分重启后卡在“正在应用scripts开机按F8进入安全模式，可以正常启动，查看是否配置了开机或者登陆，本（gpedit.msc>计算机配置windows设置>和用户配置>windows设置） 安全模式没问题说明肯定是问题，把服务和启动项禁用没有用，就说明大概率不是正常应用的问题。查看服务，发现有很多命名异常的服务，查看服务属性>可执行文件的路径，可以看到是创建了计划任务。windows查看softwareprotection是运行中状态（其实这个报错并不是指softwareprotection服务没启动，如果是softwareprotection未启动，报错码应该是查看80070426多是跟补丁安装有关，查看windowsupdate服务未启windowsupdatesystems异常Windows数据恢复盘显背问题原动态盘通过LDM进行管理，对于mbr分区，LDM保存在磁盘的最后1MB(如下图所示），这1M