最近，微软在 5 月 7 日发布了一次重要的 Sysinternals 套件更新，为旗下多款最常用的 Windows 诊断与排障工具带来了新功能，同时扩展了对 Linux 发行版的支持。

本次更新覆盖 Autoruns、ProcDump、ZoomIt、DebugView、NotMyFault、Process Explorer、Process Monitor 以及多款 Linux 工具。下面是具体变化。

Autoruns 14.2：支持 Windows 打包应用

Autoruns 是监控启动项的首选工具，现在它支持 Windows 打包应用（MSIX/AppX 应用）。此前，这款工具对现代 Windows 应用的可见性有限——这次更新把这个缺口补上了，管理员可以清楚地看到有哪些打包应用被配置为开机启动。

ProcDump 12.0：支持进程树

ProcDump 是用来给运行中的进程生成内存转储的命令行工具，这次新增了进程树支持，对应新参数 -pt。

之前 ProcDump 只能针对单个进程抓转储。有了 -pt，你现在可以一次性转储整条进程层级——父进程和它的所有子进程。对于那些会派生多个进程的复杂应用，这大大简化了调试工作。

ZoomIt 12.0：摄像头叠加和片段追加

ZoomIt 是屏幕放大与批注工具（PowerToys 里也有一份），这次有两个重要新增：

  • 视频录制时的摄像头叠加： 录制屏幕演示时，可以叠加一个画中画的摄像头画面（圆形或矩形）
  • 视频剪辑器支持追加片段： 不用离开 ZoomIt 就能把多段录制合并起来

这些功能让 ZoomIt 在制作技术教程、演示和演讲材料时更实用，不用再额外准备视频剪辑软件。

DebugView 5.01：恢复 Windows 10 支持

DebugView 是用来显示内核模式和 Win32 调试输出的工具，这次恢复了此前版本中被破坏的 Windows 10 支持。该更新还支持按 PID 高亮显示，并修复了若干 bug。

NotMyFault 4.5：Hyper-V 与 SecureKernel 崩溃

NotMyFault 是一款能故意让 Windows 崩溃的工具（用于测试崩溃转储分析），这次新增了针对 Level-0 Hyper-V 虚拟机和 SecureKernel 崩溃的新崩溃类型。

Process Explorer 17.2：父进程 PID 列

高级进程查看器 Process Explorer 在主视图中新增了"父进程 PID"列，并修复了一个退出时崩溃的 bug。

Process Monitor：导航改进

实时监控文件系统、注册表和进程活动的 Process Monitor，新增了 Ctrl+PgUp/PgDn 键盘快捷键，翻日志更快了。

Linux 工具：支持 RHEL 10、Debian 13、Fedora 43

多款 Sysinternals Linux 工具现在正式支持最新的发行版：

  • Sysinternals EBPF
  • Sysinternals Sysmon for Linux
  • Procmon for Linux
  • ProcDump for Linux
  • jcd（jump change directory）

这五款工具都新增了对 RHEL 10、Debian 13 和 Fedora 43 的支持。

下载

所有更新过的工具都可以从 Sysinternals 下载页面获取，或者通过 Sysinternals Live 访问 live.sysinternals.com。