[知识小节]Process Monitor介绍

1、工具基本介绍

Process Monitor是微软推荐的一款系统监视攻击，能供实时显示文件系统、注册表、网络连接于进程活动的攻击工具。它整合了一些工具，其中Folemon专门用来监视系统中的任何文件操作过程，Regmon用来监视注册表的读写操作过程。

• Filemon：文件监视器
• Regmon：注册表监视器

同时。Process Monitor增加了进程ID、用户、进程可靠度等监视项。它的强大功能足以使Process Monitor成为您系统中的核心组件以及病毒探测工具。

Process Monitor可以帮助使用者对系统中的任何文件、注册表操作进行监视和记录，通过注册表和文件读写的变化。有效帮助诊断系统故障或者发现恶意软件、病毒及木马。

2、使用场景

运行Process Monitor建议使用管理员模式，当你启动Process Monitor后，它就开始监听三类操作，包括：文件系统、注册表、进程。

文件系统
Process Monitor显示所有的Windows文件系统活动，包括本地磁盘和远程文件系统。它会自动探测到新的文件系统设备并监听它们。所有的系统路径都会被显示为相对于在用户会话中的一个文件系统操作的执行。想在列表中清除文件系统的操作，在Process Monitor工具栏上反选“文件系统”按钮，再按下可以增加对文件系统的监听。

注册表
Process Monitor记录所有的注册表操作并显示使用常见的注册表根键缩写来显示注册表路径（如HEKY_LOCAL_MACHINE 缩写为HKLM）。想在列表中清除注册表的操作，在Process Monitor工具栏上反选“注册表”按钮，再次按下可以增加对注册表的监听。

进程
在Process Monitor的进程/线程监听子系统中，它将跟踪所有进程/线程的创建和退出操作，包括DLL和设备驱动程序的加载操作。想在列表中清除进程的操作，在Process Monitor工具栏上反选“进程”按钮，再次按下可以增加对进程的监听。

网络
Process Monitor使用“Windows事件跟踪(ETW)”来跟踪并记录TCP和UDP活动。每个网络操作包括源地址和目标地址，还有发送和接受到的一些数量的数据，但不包括真实的数据。想在列表中清除网络的操作，在Process Monitor工具栏上反选“网络”按钮，再次按下可以增加对网络的监听。

性能分析
这个事件类可以在“选项”菜单中启用。当处于“启用”状态，Process Monitor扫描系统中所有活动的线程并为每个线程生成一个性能分析事件，记录了内核模式和用户模式的CPU时间消耗，还有许多在上个性能分析事件后已被线程执行的环境开关。

3、常见用法

下载Procmon.exe软件后，双击直接启动，Procmon会自动扫描分析系统当前程序的运行情况。其中，下图中四个常用按钮作用分别为：捕获开关、清屏、设置过滤条件、查找。最后5个并排的按钮，使用来设置捕获那些类型的时间，分别表示注册表的读写、文件的读写、网络的连接、进程和线程的调用和配置事件。一般使用前面两个。分别是注册表和文件操作。