Zombieprozess-Scanner "Zombie"

[AHT]

Autor: AHT

Zombieprozess-Scanner "Zombie"


Hupsala - ein Zombie? Was is'n dat?

"Zombies" stellt man sich normalerweise als ziemlich hässliche Untote vor,
die durch die Gegend wanken und nebenbei auch noch sehr gefährlich
sind.
Bei Zombieprozessen unter Windows sieht das etwas anders aus. Zwar
sind auch die in der Regel schon seit einiger Zeit "verstorben", sie sehen
aber nicht hässlich aus, sondern sind komplett unsichtbar und werden
eigentlich nur gefährlich, wenn sie in sehr großer Zahl auftreten - was
leider ab und zu auch mal passiert.
Aber was sind Zombieprozesse überhaupt und wie entstehen sie???
Na ja - ein Prozess ist nichts anderes, als ein gestartetes Programm, das
sich im Augenblick im Speicher befindet. Wird das Programm beendet, wird
es aus der "Registrierung der laufenden Programme" (Prozessliste)
entfernt und seine von Windows gespeicherten
"Systemdaten" (Objektdaten) werden gelöscht. Bei einem Zombieprozess
sieht das etwas anders aus. Ein Zombieprozess ist ein Programm, das zwar
beendet und aus der Liste der laufenden Prozesse gelöscht wurde
(der Taskmanager zeigt einen Zombie nicht an), die Objektdaten wurden
aber nicht gelöscht und belegen weiterhin Speicherplatz, da ein anderes
Programm oder ein Treiber eine "Referenz" (zum Beispiel ein Handle) auf
diese Objektdaten offen hält.
Manchmal ist das "Offenhalten" dieser Referenz gewollt, da diese Daten
noch von einem anderen Programm benötigt werden, oft liegt aber ein
Programmierfehler vor - mit mehr oder weniger fatalen Nebenwirkungen...


Was tut Zombie?

Zombie liest die laufenden Prozesse aus und zeigt diese in der Liste links
mit einem grünen Dreieck versehen an. Danach sucht Zombie nach
Hinweisen auf Zombieprozesse und zeigt diese "Zombies" ebenfalls in der
linken Liste mit blauem Dreieck an.
Um den Verursacher des Zombies dingfest zu machen, kann man den
jeweiligen Zombie in der linken Liste markieren und den Button Nach
Handleeigentümer suchen anklicken. Ist der Zombie durch das Offenhalten
eines Handles erzeugt worden, erscheint dann nach einiger Zeit eine
Messagebox, die die PIDs der Prozesse angibt, die Handles auf den Zombie
offen haben. Wird hier keine PID angezeigt, liegt mit großer Sicherheit die
Ursache für den Zombie in einem Treiber.
In der linken Liste befinden sich nähere Daten zu laufenden Treibern,
Prozessen und den gefundenen Zombies. Durch Rechtsklick in eine der
beiden Listen kann gescrollt, kopiert... werden (einfach mal testen).


Noch ein paar kleine Hinweise...

Zombie funktioniert ab Windows2000 - geht also leider unter 95/98/ME
und NT nicht. Da Zombie mittels Kreuzverhörtechnik arbeitet, darf während
des Scannens kein Prozess gestartet oder beendet werden, es kann sonst zu
Fehlscans kommen.


Bild 1: Die Programmoberfläche von Zombie mit Zombieprozessen, die durch ein
Problem des IE7 mit Java 6 erzeugt wurden (Windows Vista).


Download: Zombie

[Paule]

Dankeschön, habe den Download gerade hinzugefügt!
http://www.paules-pc-forum.de/forum/...tml#post734524