ID d'événement Windows 25 – Fenêtre contextuelle de l'application : Processus système terminé de manière inattendue

Commencez par examiner les détails de l'ID d'événement 25 pour identifier le processus défaillant et recueillir des informations de diagnostic initiales.

Étape 1 : Ouvrez l'Observateur d'événements et accédez à Journaux Windows → Application. Filtrez pour l'ID d'événement 25 en utilisant la commande PowerShell suivante :

Get-WinEvent -FilterHashtable @{LogName='Application'; Id=25} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Étape 2 : Examinez les détails de l'événement pour obtenir des informations clés, y compris le nom de l'application, le nom du module et le code d'exception. Recherchez des motifs dans le timing et les processus affectés.

Étape 3 : Recoupez avec les événements du journal Système autour de la même période :

$startTime = (Get-Date).AddHours(-24)
Get-WinEvent -FilterHashtable @{LogName='System'; StartTime=$startTime} | Where-Object {$_.Id -in @(1001, 1000, 6008, 41)} | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Étape 4 : Vérifiez les journaux de rapport d'erreurs Windows pour obtenir des informations supplémentaires sur les vidages sur incident :

Get-ChildItem "C:\ProgramData\Microsoft\Windows\WER\ReportQueue" -Recurse | Sort-Object LastWriteTime -Descending | Select-Object -First 10

Effectuez des vérifications complètes de l'intégrité du système pour identifier et réparer les fichiers système corrompus ou les problèmes de mémoire.

Étape 1 : Exécutez le Vérificateur de fichiers système pour détecter et réparer les fichiers système corrompus :

sfc /scannow

Étape 2 : Si SFC trouve des problèmes, exécutez DISM pour réparer l'image Windows :

DISM /Online /Cleanup-Image /RestoreHealth

Étape 3 : Planifiez un test de diagnostic de la mémoire pour vérifier les problèmes de RAM :

mdsched.exe

Étape 4 : Après la fin du test de mémoire, vérifiez les résultats dans le Visualiseur d'événements :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1201} -MaxEvents 5 | Format-List

Étape 5 : Exécutez un contrôle complet de l'état du système :

Get-ComputerInfo | Select-Object WindowsProductName, WindowsVersion, TotalPhysicalMemory, CsProcessors

Concentrez-vous sur l'identification des pilotes ou des composants matériels problématiques qui peuvent causer des échecs de processus système.

Étape 1 : Générez un rapport complet des pilotes :

Get-WmiObject Win32_PnPSignedDriver | Select-Object DeviceName, DriverVersion, DriverDate, IsSigned | Sort-Object DriverDate -Descending | Export-Csv "C:\temp\drivers.csv"

Étape 2 : Vérifiez les installations ou mises à jour récentes de pilotes :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=7045} -MaxEvents 20 | Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-7)}

Étape 3 : Examinez le Gestionnaire de périphériques pour les appareils problématiques :

Get-WmiObject Win32_PnPEntity | Where-Object {$_.Status -ne "OK"} | Select-Object Name, Status, PNPDeviceID

Étape 4 : Vérifiez la température du système et la santé du matériel à l'aide de PowerShell :

Get-WmiObject -Namespace "root/wmi" -Class MSAcpi_ThermalZoneTemperature | Select-Object InstanceName, @{Name="Temperature";Expression={($_.CurrentTemperature/10)-273.15}}

Étape 5 : Passez en revue les mises à jour récentes de Windows qui pourraient avoir introduit des problèmes de pilotes :

Get-HotFix | Where-Object {$_.InstalledOn -gt (Get-Date).AddDays(-30)} | Sort-Object InstalledOn -Descending

Effectuer une analyse avancée en utilisant les vidages sur incident et les données de performance du système pour identifier les causes profondes.

Étape 1 : Configurer le système pour générer des vidages sur incident pour l'analyse :

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl" -Name "CrashDumpEnabled" -Value 1
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl" -Name "DumpFile" -Value "C:\Windows\MEMORY.DMP"

Étape 2 : Activer la collecte des vidages sur incident de processus :

New-Item -Path "HKLM:\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps" -Name "DumpType" -Value 2

Étape 3 : Surveiller les compteurs de performance du système pour l'épuisement des ressources :

Get-Counter "\Memory\Available MBytes", "\Processor(_Total)\% Processor Time", "\System\Processor Queue Length" -SampleInterval 5 -MaxSamples 12

Étape 4 : Vérifier les fuites de poignées et de mémoire dans les processus système :

Get-Process | Sort-Object Handles -Descending | Select-Object -First 10 Name, Handles, WorkingSet, VirtualMemorySize

Étape 5 : Analyser les vidages sur incident de Windows Error Reporting :

Get-ChildItem "C:\ProgramData\Microsoft\Windows\WER\ReportArchive" -Recurse -Filter "*.wer" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

Utilisez des outils de diagnostic avancés pour tracer le comportement des processus et identifier les problèmes au niveau du système causant l'ID d'événement 25.

Étape 1 : Téléchargez et configurez Process Monitor pour capturer l'activité du système lors des plantages. Définissez des filtres pour le processus défaillant identifié dans l'ID d'événement 25.

Étape 2 : Vérifiez les clés de registre critiques pour la corruption ou les modifications non autorisées :

Test-Path "HKLM:\SYSTEM\CurrentControlSet\Services"
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager" -Name "PendingFileRenameOperations" -ErrorAction SilentlyContinue

Étape 3 : Examinez les programmes de démarrage et les services système qui pourraient être en conflit :

Get-CimInstance Win32_StartupCommand | Select-Object Name, Command, Location, User
Get-Service | Where-Object {$_.Status -eq "Running" -and $_.StartType -eq "Automatic"} | Sort-Object Name

Étape 4 : Vérifiez l'activité des malwares ou des rootkits à l'aide de PowerShell :

Get-Process | Where-Object {$_.ProcessName -notmatch "^(System|Idle|csrss|winlogon|services|lsass|svchost)$"} | Select-Object Name, Id, Path, Company

Étape 5 : Créez un rapport système complet pour une analyse plus approfondie :

msinfo32 /report "C:\temp\systeminfo.txt"
Get-ComputerInfo | Out-File "C:\temp\computerinfo.txt"
Get-EventLog -LogName System -Newest 100 | Export-Csv "C:\temp\systemevents.csv"