Process Monitor下载安装使用教程（图文教程）超详细

news2025/1/19 20:34:41

「作者简介」：2022年北京冬奥会网络安全中国代表队，CSDN Top100，就职奇安信多年，以实战工作为基础对安全知识体系进行总结与归纳，著作适用于快速入门的 《网络安全自学教程》，内容涵盖系统安全、信息收集等12个知识域的一百多个知识点，持续更新。

在这里插入图片描述

Process Monitor 是微软提供的一款系统进程监视软件。常用来检测恶意软件和处理系统故障。

Process Monitor 使用教程

  • 1、下载安装
  • 2、功能使用
    • 2.1、界面字段解释
    • 2.2、筛选事件类型
    • 2.3、自动滚动
    • 2.4、清空列表
    • 2.5、停止监听
    • 2.6、调整显示列
    • 2.7、查看事件属性
    • 2.8、过滤器
    • 2.9、导出PML文件
  • 3、实战案例
    • 3.1、分析浏览器启动过程
    • 3.2、分析压缩包解压过程
    • 3.3、抓取开机启动日志
  • 4、事件操作类型翻译

1、下载安装

官网下载：
https://learn.microsoft.com/zh-cn/sysinternals/downloads/procmon

在这里插入图片描述

绿色版免安装，解压后双击运行Procmon64.exe

在这里插入图片描述
在这里插入图片描述

2、功能使用

2.1、界面字段解释

打开软件后，主界面默认展示字段分别是：

  • Time of Day：事件发生的事件。
  • Process Name：触发该事件的进程名。鼠标悬停在进程名上可以显示进程路径。
  • PID：进程ID。
  • Operation：事件的操作类型。
  • Path：事件操作的文件的路径，非进程路径。
  • Result：事件操作结果。
  • Detail：事件操作的额外信息（没啥用）。

在这里插入图片描述

2.2、筛选事件类型

工具栏右侧的5个图标，分别是注册表读写事件、文件读写事件、网络连接事件、进程和线程的调用事件、配置事件。点击点亮图标后显示对应类型的事件，不亮不显示。

在这里插入图片描述

事件对应的操作解释见文末。

2.3、自动滚动

点工具栏左侧的蓝色图标 或 快捷键 Ctrl + X 或 Edit - Auto Scroll，可以让事件自动往下滚动，方便我们观察最新的事件。

在这里插入图片描述

2.4、清空列表

点工具栏左侧的垃圾桶图标 或 Ctrl + X 或 Edit - Clear Display，可以清空列表中的事件。当捕获的事件太多时，可以清空列表，只看新增的事件。

在这里插入图片描述

2.5、停止监听

点工具栏左侧的定位框图标 或 Ctrl + E 或 File - Capture Events，可以停止监听事件。当我们找到目标事件后，就可以停止监听，列表就不会动了。

在这里插入图片描述

2.6、调整显示列

鼠标拖动列名，可以调整列的位置。

Options - Select Columns 可以自定义显示列。想看那个字段，就勾选上。

在这里插入图片描述

Application Details 应用程序数据

  • Process Name：生成事件的进程名
  • Image Path：进程的位置（镜像路径）
  • Command Line：启动进程的命令参数
  • Company Name：进程程序文件的注册公司名称
  • Description：进程程序文件的描述
  • Version：进程程序文件的产品版本号
  • Architecture：进程程序文件的架构（32位或64位）

Event Details 事件数据

  • Sequence Number：序号，标明该事件在所有事件中的相对位置（0,1，2,3，...）
  • Event Class：事件类别（Network、Process 等）
  • Operation：事件的操作类型（CloseFile、CreateFile等）
  • Date & Time：事件的操作日期
  • Time of Day：事件的操作事件
  • Category：事件的操作种类（Write、Read Metadata等）
  • Path：事件操作的资源的路径（非进程路径）
  • Detail：事件操作的附加信息
  • Result：事件操作的结果
  • Relative Time：事件操作的发生时间，Process Monitor启动后开始计算。
  • Duration：事件操作的执行时间。
  • Completion Time：事件操作的结束时间。

Process Management 进程管理

  • User Name：执行进程的用户名
  • Session ID：进程的Windows会话ID
  • Authentication ID：进程的登录会话ID
  • Integrity：进程操作的可信级别
  • Process ID：进程ID
  • Thread ID：线程ID
  • Parent PID：父进程ID
  • Virtualized：进程的虚拟化状态

2.7、查看事件属性

双击事件任意位置 或 右键 - Properties 可以查看事件属性。

属性有 Event（事件）、Process（进程）、Stack（堆栈）三个标签。

Event标签记录：开始时间、线程、事件类型、操作类型、操作结果、操作的文件路径、耗时。

在这里插入图片描述

Process标签记录：

  • 进程基础信息：公司名、进程名、版本号、进程路径、进程启动参数。
  • 进程运行信息：进程ID、架构、父进程ID、进程的虚拟化状态、Windows会话ID、可信度、用户、运行的开始结束时间。
  • 进程加载的模块

在这里插入图片描述
Stack标签记录调用的模块名和地址，方便溯源进程链，双击可以查看详细信息。

K开头是内核模式，U开头是用户模式。

在这里插入图片描述

2.8、过滤器

如果已经知道了恶意软件的程序名、进程等信息，可以使用过滤器来筛选。

在这里插入图片描述

点工具栏的漏斗图标 或 快捷键 Ctrl + L 或 Filter - Filter，打开过滤器。

在这里插入图片描述

文章后面的案例会详细介绍使用步骤。

2.9、导出PML文件

有时候遇到问题无法解决，需要抓进程日志，导出PML文件给别人分析。
复现问题后，点 File - Save，弹出的保存界面勾选 ALL events保存所有事件。Path后边是PML文件保存的路径，可按需修改。

在这里插入图片描述

3、实战案例

3.1、分析浏览器启动过程

打开并关闭浏览器，分析浏览器进程的行为。

工具栏开启监听、开启自动滚动、打开所有的事件类型筛选。

在这里插入图片描述

1）清空过滤器

点工具栏的过滤图标，打开过滤器。Reset 清空历史过滤，Apply 应用，OK 关闭窗口。

注意：每次使用前都看一眼这里的过滤规则，是否需要清空或调整。

在这里插入图片描述

2）寻找浏览器的进程。

打开浏览器（这里用Edge）后，点定位框图标停止监听，最后面的部分可以看到浏览器的进程是 msedge.exe 。

在这里插入图片描述

3）过滤浏览器进程

过滤字段选 Process Name根据进程名过滤，过滤规则选 is，过滤内容填 msedge.exe 只看Medg浏览器的进程，点Add添加到下面的列表中，Apply应用，OK关闭窗口。

在这里插入图片描述

4）捕获浏览器的启动过程。

关掉浏览器后，点定位框图标开启监听，点垃圾桶图标清空列表。

打开浏览器再关闭，就能看到浏览器从启动、运行到关闭都做了什么。

我们可以看到，刚打开时，浏览器的线程开始 Start 启动、Create 创建，开始读注册表、读写文件等。

在这里插入图片描述

关闭浏览器时，线程开始Exit结束，之前打开的文件也都被Close关闭。

在这里插入图片描述

3.2、分析压缩包解压过程

解压压缩包，寻找每个解压后的文件对应的操作。

工具栏开启监听、开启自动滚动、打开所有的事件类型筛选。

在这里插入图片描述

1）清空过滤器（同3.1）

2）解压压缩包

用文章开头下载的安装包，右键解压，点定位框图标停止监听。

事件很多，我们往上滑一些，这里我用的7z解压，所以能看到大量7zG.exe的进程。

在这里插入图片描述

3）过滤解压工具进程

第一个过滤器：过滤字段选 Process Name ，过滤规则选 is，过滤内容填 7zG.exe只看解压工具的进程，点Add添加到下面的列表中，Apply应用，OK关闭窗口

在这里插入图片描述

跟上一个案例一样，也是先 Start 创建进程，中间很多读写注册表、文件的操作，最后Exit退出线程。

在这里插入图片描述

4）过滤文件创建操作

第二个过滤器：过滤字段选 Operation 操作，过滤规则选 is，过滤内容选 CreateFile只看创建文件的操作（点右侧的下拉图标能选），点Add添加到下面的列表中，Apply应用，OK关闭窗口

在这里插入图片描述

可以看到解压后的目录里，每个文件都能找到对应的操作。

在这里插入图片描述

5）排除路径

Create 创建的文件有很多C盘的，这些是压缩工具自带的文件或系统文件，我们不关心，所以把C盘的路径都排除掉。

第三个过滤器：过滤字段选 Path 路径，过滤规则选 Contains包含，过滤内容填 C:\，包含关系选Exclude排除，点Add添加到下面的列表中，Apply应用，OK关闭窗口

在这里插入图片描述

这样再看就清晰多了。能看到它先创建了ProcessMonitor目录，又创建了里面的每个文件。

在这里插入图片描述

6）分析操作详情

从事件属性里看 test 目录 和 ProcessMonitor 目录的操作区别。

test目录是解压前我创建的，所里它们的操作都是 Open 打开资源，而非真正的创建。

在这里插入图片描述

ProcessMonitor目录是工具创建的，所以第一个操作是 Create 创建，后面的操作才是 Open。

在这里插入图片描述

后面每个exe文件都有两个操作，也是类似的逻辑，第一个操作创建文件，第二个操作打开文件写内容。

3.3、抓取开机启动日志

顽固病毒在启动项留存等场景，需要在开机过程中就抓取日志，可以使用 Boot Logging 开机记录功能。

  1. 勾选 Options - Ebable Boot Logging，记录下一次启动过程。
  2. 重启电脑后，日志保存到 %Windir% 目录下（记录持续到Process Monitor被打开 或 关机）
  3. 再次运行 Process Monitor，会询问你启动记录保存到哪里（保存后 %Windir% 的日志会删掉 并且取消勾选 Ebable Boot Logging）。
  4. 保存后会自动打开开机记录日志，再次打开可以点 File - Open 打开刚才保存的文件。

1）开启开机记录功能

在这里插入图片描述

2）重启后日志（临时）保存在 %Windir% 目录，很大，1个多G。

在这里插入图片描述

3）再次打开 Process Monitor，询问是否保存开机记录？

在这里插入图片描述

4）保存开机记录到指定位置。

在这里插入图片描述

5）保存后自动打开开机记录文件，分析是否有异常事件。

在这里插入图片描述

4、事件操作类型翻译

最后附上事件操作类型的翻译，不需要单独记忆，用的时候搜即可。

CloseFile 文件-关闭
CreateFile 文件-创建
CreateMailSlot 创建邮件位
CreatePipe 创建管道
DeviceChange 设备改变
DeviceloControl设备输入/输出控制
FileStreamInformation 文件流信息
FileSystemControl文件系统控制
FlushBuffersFile 清空缓冲文件
InternalDeviceloControl 内部设备IO控制
LoadImage 装载映像
LockFile 文件-锁定
NotifyChangeDirectory 提示改变目录
PlugAndPlay 即插即用
Power 电源
Process Create 进程-创建Process Defined 进程-定义
Process Exit 进程-关闭
Profiling interrupt 配置中断?
QueryAllInformationFile 查询所有信息文件
QueryAttribbuteTagFile 查询属性标签文件
QueryAttributelnformationVolume 查询属性信息卷 (容量?)
QueryBasicInformationFile 查询基本信息文件
QueryCompressionInformationFile 查询压缩信息文件
QueryControllnformationVolume 查询控制信息卷
QueryDevicelnformationVolume 查询设备信息卷
QueryDirectory 查询-目录
QueryEAFile ?
QueryEalnformationFile ?
QueryFilelnternallnformationFile 查询文件内部信息文件
QueryFileQuota 查询文件配额
QueryFullSizelnformationVolume 查询全尺寸信息卷
QuerylnformationVolume 查询信息卷
QueryLabellnformationVolume 查询标签信息卷
QueryMinorCode49>查询副编码
QueryMoveClusterlnformationFile 查询移动族信息文件
QueryNamelnformationFile 查询名字信息文件
QueryNetworkOpenlnformationFile 查询网络开启信息文件
QueryObjectldInformationVolume 查询对象ld信息卷
QueryOpen查询-打开
QueryPositionInformationFile 查询位置信息文件
QuerySecurityFile 查询安全文件
QuerySizelnformationVolume 查询尺寸信息卷
QueryStandardInformationFile 查询标准信息文件
QueryStreamInformationFile 查询流信息文件.
ReadFile 文件-读取
RegCloseKey注册表-关闭键
RegCreateKey注册表-创建键
RegDeleteKey 注册表-删除键
RegDeleteValue注册表-删除值
RegEnumKey注册表-枚举键
RegEnumValue注册表-枚举值
RegFlushKey注册表-清空键
RegLoadKey注册表-读取键
RegOpenKey注册表-打开键
RegQueryKey注册表-查询键
RegQueryKeySecurity 注册表-查询键安全性
RegQueryMultipleValueKey 查询多值键
RegQueryValue注册表-查询值
RegRenameKey注册表-重命名键
RegSetInfoKey 设置信息键
RegSetKeySecurity注册表-设置键安全性
RegSetValue注册表-设置值
RegUnloadKey 卸载键://blog
SetAllInformationFile 设置全信息文件
SetBasicInformationFile 设置基本信息文件
SetDispositionlnformationFile 设置部署信息文件
SetEAFile ?
SetEndOfFilelnformationFile 设置文件结尾信息文件
SetFileQuota 设置文件配额
SetLinkInformationFile 设置连接信息文件
SetPipelnformation 设置管道信息
SetPositionInformationFile 设置位置信息文件
SetRenamelnformationFile 设置重命名信息文件
SetSecurityFile 设置安全文件
SetShortNamelnformation 设置短名称信息
SetValidDataLengthInformationFile 设置合法数据长度信息文
SetVolumelnformation 设置卷信息
shutdown 关闭
SystemControl系统控制
Thread Create 线程-创建
Thread Exit 线程-关闭
Thread Profile 线程-Profile
UnlockFileAll 文件解锁全部
WriteFile 文件-写入

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1682225.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Ansys Mechanical｜中远程点的Behavior该如何设置？

Ansys Mechanical｜中远程点的Behavior该如何设置？

Remote point是ANSYS mechanical中的一种常见节点自由度耦合建模形式，在转动装配体中的连接转动副、或者在施加远端约束及远端载荷的时候，我们经常用到远端单元来耦合一个面或者一条线。例如销轴似的滚动摩擦连接，如果我们希望将两个物体通过…
阅读更多...
每日学习 - APK解包

每日学习 - APK解包

文章目录 APK的定义解析APKAPK 是什么每个文件的意义classes.dexAndroidManifest.xmlassetslibres & resources.arsc 反编译工具apktool apk解包 秒了~ APK的定义 APK（Android Package Kit）是用于部署和分发Android操作系统上应用程序的软件包格式。…
阅读更多...
ASTM通信协议校验和计算方法

ASTM通信协议校验和计算方法

Lis通信接口开发 <STX> FN <Frame> <ETB>or<ETX> <CS><CR> <LF> 其中&#xff1a; <STX>&#xff1a;起始帧头&#xff08;0x02&#xff09; FN&#xff1a;帧号&#xff08;范围0&#xff5e;7&#xff0c;1&#xff5e;7完…
阅读更多...
Winform自定义控件 —— 开关

Winform自定义控件 —— 开关

在开始阅读本文之前&#xff0c;如果您有学习创建自定义控件库并在其他项目中引用的需求&#xff0c;请参考&#xff1a;在Visual Studio中创建自定义Winform控件库并在其他解决方案中引用https://blog.csdn.net/YMGogre/article/details/126508042 0、引言 由于 Winform 框架并…
阅读更多...
Python代码：九、十六进制数字的大小

Python代码：九、十六进制数字的大小

1、题目 计算的世界&#xff0c;除了二进制与十进制&#xff0c;使用最多的就是十六进制了&#xff0c;现在使用input读入一个十六进制的数字&#xff0c;输出它的十进制数字是多少&#xff1f; 2、代码 import sysnum16 input() num10 int(num16,16) print(num10) 3、结…
阅读更多...
GAN实例基于神经网络

GAN实例基于神经网络

目录 1.前言 2.实验 1.前言 需要了解GAN的原理查看对抗生成网络&#xff08;GAN&#xff09;&#xff0c;DCGAN原理。 采用手写数字识别数据集 2.实验 import argparse import os import numpy as np import mathimport torchvision.transforms as transforms from torchvi…
阅读更多...
创维汽车总经理培训正式开展，打造新能源汽车销售的精英战队

创维汽车总经理培训正式开展，打造新能源汽车销售的精英战队

在新能源汽车市场竞争日益激烈的背景下&#xff0c;创维汽车为加强核心竞争力&#xff0c;于2024年5月15日至17日在河南省安阳市举办了为期三天的总经理岗位认证培训。此次培训旨在强化经销商店端负责人们在新能源汽车销售与运营方面的能力&#xff0c;指明未来发展思路&#x…
阅读更多...
（5.4–5.10）投融资周报｜共38笔公开投融资事件，基础设施领跑，游戏融资活跃

（5.4–5.10）投融资周报｜共38笔公开投融资事件，基础设施领跑，游戏融资活跃

5月4日至5月10日期间&#xff0c;加密市场共发生38笔投融资事件&#xff0c;其中基础设施18笔、游戏5 笔、其他4 笔、DeFi 3笔、Depin 3 笔、CeFi 2笔、NFT2笔、 RWA1笔。 本周千万美金以上融资有5笔&#xff1a; 加密货币交易公司Arbelos完成了一轮2800 万美元的种子轮融资&…
阅读更多...
【极简】docker常用操作

【极简】docker常用操作

镜像images是静态的 容器container是动态的&#xff0c;是基于镜像的&#xff0c;类似于一个进程。 查看docker images&#xff1a; docker images 或者docker image ls 查看docker container情况&#xff1a;docker ps -a&#xff0c;-a意思是--all 运行一个container: doc…
阅读更多...
Python程序设计 文件处理(二)

Python程序设计 文件处理(二)

实验十二 文件处理 第1关&#xff1a;读取宋词文件&#xff0c;根据词人建立多个文件 读取wjcl/src/step1/宋词.txt文件&#xff0c; 注意&#xff1a;宋词文件的标题行的词牌和作者之间是全角空格&#xff08;"　")可复制该空格 在wjcl/src/step3/cr文件夹下根据每…
阅读更多...
【WEEK12】 【DAY3】整合MyBatis框架【中文版】

【WEEK12】 【DAY3】整合MyBatis框架【中文版】

2024.5.15 Wednesday 目录 13.整合MyBatis框架13.1.整合测试13.1.1.新建springboot-05-mybatis项目13.1.2.导入MyBatis需要的依赖13.1.3.配置数据库连接信息13.1.3.1.修改application.properties13.1.3.2.修改Springboot05MybatisApplicationTests.java并测试 13.1.4.新建pojo文…
阅读更多...
Spring使用小技巧--排除bean无法被调用问题

Spring使用小技巧--排除bean无法被调用问题

我们在项目中可能由于项目的复杂性&#xff0c;创建了个spring的bean&#xff0c;但是调用却出现报错&#xff0c;显示无法找到该bean的异常。 这个时候我们就需要找到出错的原因&#xff0c;很多人往往会忽略的一点就是&#xff0c;你所创建的bean有可能并没有被加载到ioc容器…
阅读更多...
【Linux系统编程】第十九弹---进程状态(下)

【Linux系统编程】第十九弹---进程状态(下)

​​​​​​​ ✨个人主页&#xff1a; 熬夜学编程的小林 &#x1f497;系列专栏&#xff1a; 【C语言详解】 【数据结构详解】【C详解】【Linux系统编程】 目录 1、僵尸进程 2、孤儿进程 3、运行状态 4、阻塞状态 5、挂起状态 6、进程切换 总结 1、僵尸进程 上一弹…
阅读更多...
算法练习第22天|39. 组合总和、40.组合总和II

算法练习第22天|39. 组合总和、40.组合总和II

39. 组合总和 39. 组合总和 - 力扣&#xff08;LeetCode&#xff09;https://leetcode.cn/problems/combination-sum/description/ 题目描述&#xff1a; 给你一个 无重复元素 的整数数组 candidates 和一个目标整数 target &#xff0c;找出 candidates 中可以使数字和为目标数…
阅读更多...
Unity Mirror 从入门到入神（一）

Unity Mirror 从入门到入神（一）

Mirror从入门到成神 文章目录 Mirror从入门到成神简介NetworkClientRegisterPrefabConnect (string address)Disconnect ()activeactiveHost NetworkServerSpawn 简介 Mirror是一个unity网络同步框架&#xff0c;基于MonoBehaviour生命周期的回调的基础上进行数值的同步&#…
阅读更多...
一个强大的在线解析网站，无需登录，只用把视频链接粘贴进去就能免费解析下载视频。

一个强大的在线解析网站，无需登录，只用把视频链接粘贴进去就能免费解析下载视频。

TiQu.cc是什么&#xff1f; TiQu.cc是一个强大的在线工具&#xff0c;让用户可以从包括Facebook、VK、Twitter、Tiktok、Instagram等在内的100多个平台下载他们喜爱的视频。不论是音乐、电视节目、电影、短片还是个人上传的内容&#xff0c;TiQu.cc都可以帮助您随时随地以离线…
阅读更多...
什么是检索增强生成（Retrieval Augmented Generation）？RAG 架构如何实现？

什么是检索增强生成（Retrieval Augmented Generation）？RAG 架构如何实现？

检索增强生成&#xff08;Retrieval Augmented Generation&#xff09;时代 在不断发展的生成人工智能世界中&#xff0c;检索增强生成 (RAG) 标志着一项重大进步&#xff0c;它将检索模型的准确性与生成模型的创造性相结合&#xff0c;达到了准确&创新的更高层级。 这种…
阅读更多...
摸鱼大数据——Linux搭建大数据环境(Hadoop高可用环境搭建)六

摸鱼大数据——Linux搭建大数据环境(Hadoop高可用环境搭建)六

Hadoop高可用环境搭建 确定提前安装好了hadoop和zookeeper 1.删除原有数据文件 三台机器都要进行删除 可以使用CRT发送交互到所有会话 rm -rf /export/data/hadoop-3.3.0 2.安装软件 三台机器都要进行安装 注意: 如果网络较慢安装失败,那就重复安装即可 # 实现多个服务的通讯 …
阅读更多...
数字水印 | 奇异值分解 SVD 的 Python 代码实现

数字水印 | 奇异值分解 SVD 的 Python 代码实现

&#x1f951;原理&#xff1a;数字水印 | 奇异值分解 SVD 的定义、原理及性质 &#x1f951;参考&#xff1a;Python 机器学习笔记&#xff1a;奇异值分解&#xff08;SVD&#xff09;算法 正文 对于一个图像矩阵&#xff0c;我们总可以将其分解为以下形式&#xff1a; 通过…
阅读更多...
Halcon 根据XYZ生成3D模型

Halcon 根据XYZ生成3D模型

Halcon 根据XYZ生成3D模型 x_points := [a_x_points, b_x_points, c_x_points]y_points := [a_y_points, b_y_points, c_y_points]z_points := [a_z_points, b_z_points, c_z_points]stop()gen_object_model_3d_from_points
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023