使用ProcessMonitor监控进程活动
Process Monitor 能够对系统事件进行详细的监控,包括:
进程,注册表,文件操作,网络活动。
系统事件非常多,总结恶意软件的特点,针对其特点进行针对
性的监控:
生成一些程序文件,并激活成为进程,想每次开机都能自动运
行,需要修改注册表。
使用ProcessMonitor监控进程活动
因此,重点关注以下事件:
壹 进程创建
贰 文件创建 (修改)
叁 注册表修改 (设置)
肆 网络活动 (向互联网发数据)
使用ProcessMonitor监控进程活动
实验环境:windows 2003,Process-Monitor
版本说明:Process-Monitor
历史悠久,有众多的版本。但有一段时期promon 没有提供32位版本。实
验中测试,以下版本在Windows 2003 平台可用有:
Process Monitor3.20 或更低版本使用,
版本V3.50,V3.53 ,V3.61 (2021 年1月11发行)仍然支持windows 2003 。
但新版本V3.84 (2021 年8 月18发行)的32位程序在window