manuel-r
Goto Top

Windows-Installer (msiexec.exe) - Herausfinden, was installiert wird

Guten Morgen alle zusammen
Ich habe aktuell das Problem, dass an einem meiner Terminalserver scheinbar irgendeine Installation im Hintergrund läuft und ziemlich viel Leistung /Speicher abzieht. Dummerweise sehe ich keine Möglichkeit herauszufinden, was da gerade installiert wird. Softwareverteilung ist keine aktiv, die User haben keine Rechte irgendwas eigenständig zu installieren und Updates installieren wir manuell auf den Servern. Daher tippe ich auf einen Drucker, der bei irgendeinem User installiert werden soll und dabei verrücktspielt. Besitzer des Prozesses MISEXEC.EXE ist SYSTEM - also wenig aussagekräftig.
Hat jemand eine Idee, wie ich meine Vermutung verifizieren und sehen kann, was da genau installiert wird?

Manuel

Content-Key: 140678

Url: https://administrator.de/contentid/140678

Printed on: January 31, 2023 at 21:01 o'clock

Member: Mad-Eye
Mad-Eye Apr 15, 2010 at 06:02:20 (UTC)
Goto Top
Hi,

kannst ja mal Versuchen ob du die Setup-Datei über Sysinternals Process Monitor finden kannst, die in dem msiexec Prozess benutzt wird.

Gruß
Mad-Eye
Member: Unitet20
Unitet20 Apr 15, 2010 at 07:13:33 (UTC)
Goto Top
Moin!

Soweit ich weiß gibt es gibt diverse Tools die alle Änderungen an einem BS mitschneiden können.
Zum Beispiel "InstallRite 2.5" schneidet alle Änderungen an Filesystem und Registry mit.
Dient eigentlich dazu 1 Klick Installationspakete anhand einer vorangegangen Installation zu erstellen.

Aber vielleicht kannste das auch einfachmal mit laufen lassen....
Und dir dann das erstelle Archiv extrahieren...
Rein Theoretisch solltest du dann sehen welche Dateien und Registrie Werte sich in der Zeit geändert haben,
als das Programm lief...

Das wäre zumindest mein Ansatz... Gibt sicherlich noch mehr und bessere Tools die das können.
Nur als Idee..

Gruß
Uni
Member: manuel-r
manuel-r Apr 15, 2010 at 07:45:26 (UTC)
Goto Top
Manchmal sieht man den Wald vor lauter Bäumen nicht. Der ProcMon hat mir dann doch tatsächlich verraten, dass es eine wildgewordenen Druckertreiber-Installation ist. Da werden unaufhörlich RegKey gelesen und geschrieben. Jetzt muss ich nur herausfinden, welcher Drucker genau. Immerhin weiß ich aus den Keys schon, dass es ein HP ist...
Danke schon mal für den Tipp.