O Process Monitor falha ao iniciar em um computador de 64 bits

Quando tento iniciar o Process Monitor a partir do SysInternals em algumas máquinas com Windows 7 de 64 bits, o processo falha ao iniciar. Não há nenhuma mensagem de erro. Clico duas vezes e nada acontece. Outros computadores com Windows 7 de 64 bits funcionam bem. Alguma ideia?

Aqui está o que eu encontrei. O Procmon.exe de 32 bits contém o exe de 64 bits dentro dele como um recurso binário. Quando o exe de 32 bits é iniciado, ele extrai a versão de 64 bits para um arquivo oculto chamado Procmon64.exe e o executa. Por alguma razão, esse processo falha em algumas instalações do Windows 7.

Consegui extrair o exe de 64 bits usando o Visual Studio 2010.

1. Abra o Visual Studio e abra o arquivo Procmon.exe usando o menu Arquivo-> Abrir-> Arquivo ...
2. Na árvore de recursos, expanda o nó "BINRES"
3. Clique com o botão direito do mouse no nó 1308 e selecione Exportar ...
4. Nomeie o recurso exportado Procmon-64.exe e salve
5. Execute o exe extraído

Não nomeie o exe extraído Procmon64.exe (sem hífen) porque o Procmon de 32 bits tentará excluí-lo se houver chance.

Se você não possui o Visual Studio, use um extrator de recursos executáveis ​​do Windows, como ResourcesExtract - http://www.nirsoft.net/utils/resources_extract.html

Deixe-me explodir sua mente. procmon.exe SOLICITA serviço da estação de trabalho em execução para iniciar. Ele o usa para enumerar algo e morrerá silenciosamente sem ele.

Isso não está documentado em nenhum lugar e é muito falso.

Eu sei que esse segmento já faz um tempo, mas acabei de ver esse problema recentemente e notei outro fator que pode ser útil. Administrador certo. Se eu entrar como administrador e executá-lo, ele funcionará bem. Se efetuar login como não administrador e executá-lo, o problema ocorre e o procmon-64 extraído mostra o mesmo problema.

Consigo extrair o ProcMon64.exe com o próximo script Perl colocado e executado na pasta temp.

use File::Copy;

if(fork()==0)
{ system "C:\\SysInternals\\ProcMon.exe"}
else
{  for($i=1;$i<1000;$i++)
    {if(-e 'ProcMon64.exe')
      { copy('ProcMon64.exe',$i.'.exe')}
    }
}

Após múltiplas execuções, ele cria dezenas de cópias, todas iguais (o mesmo CRC32)

ospy é uma alternativa do ProcMon. Você pode tentar solucionar problemas de inicialização procmon com isso.

Corrigi esse problema, verificando novamente minhas variáveis ​​de ambiente. Você pode verificar %TEMP%se já adicionou algo dentro antes. Remova qualquer outra pasta, exceto o windows temp e, em seguida, reinicie.

Eu usei o Resource Hacker. Extraia 1038 como compartimento. adicione .exe e parece começar.