使用Process Monitor查找文件被自动删除的原因

       听说Merlin for Chrome 插件能够免费使用gpt-4(限次数)，想试一下。在网上翻了半天总算找到，需先存入阿里云盘，从云盘上下载。使用Chrome浏览器进入云盘，开始下载，下载过程正常，显示文件6.2.12_0.crx已下载完成，准备打开下载文件夹考出该文件，却显示文件已删除。重新下载了一次依然如此，首先想到的是该文件可能有病毒，被防护软件清除了。打开安全防护软件查看，在防护记录里没有找到有文件被清除，只是在下载记录里看见6.2.12_0.crx下载过两次。不是杀毒软件拦截的，那是什么原因，莫不是机器已感染了病毒，自动删除文件？这可严重了，一定的得找到原因，于是使用Process Monitor开始查找。

       Process Monitor是windows系统下的一款进程监控工具,能够捕获进程对于注册表、文件、线程、网络等资源的各种操作事件,让使用人员能够站在一个更高的视角窥探程序底层对于系统各项资源的使用情况。总体来说，Process Monitor相当于Filemon+Regmon，其中的Filemon专门用来监视系统 中的任何文件操作过程，而Regmon用来监视注册表的读写操作过程。 有了Process Monitor，使用者就可以对系统中的任何文件和 注册表操作同时进行监视和记录，通过注册表和文件读写的变化， 对于帮助诊断系统故障或是发现恶意软件、病毒或木马来说，非常 有用。

     打开Process Monitor，先设置过滤器。

点击“过滤器”按钮，弹出过滤器设置窗口，在第一栏选择“Path”，第二栏选择“contains”，第三栏输入文件的名称“6.2.12_0.crx”，第四栏选择“include”。然后点击“Apply”，OK，过滤器设置好了。

下面开始捕获，点击“捕获按钮”。在捕获的同时，使用chrome浏览器重新下载一次6.2.12_0.crx（下载前要把以前下载的6.2.12_0.crx删除）。同样，下载完成后，文件还是会被自动删除，这些过程操作完成后，再次点击“捕获按钮”，停止捕获。然后对捕获的内容进行分析

      从捕获的结果看，有以下几个进程参与文件下载到删除的全过程：1、chrome.exe(下载使用的浏览器)，2、SearchProtocolHost.exe(系统进程，扫描文件)，3、WDSafeDown.exe(杀毒软件，文件下载时自动防护)，4、Explorer.exe(资源管理器，进行文件管理），5、System（系统进程，进程调度、内存管理），6、SoftupNotify.exe(360软件管家)。

       首先查看了WDSafeDown.exe 和 SoftupNotify.exe进程，没有发现有删除文件的信息，只是在两个进程最后访问该文件时，操作上是以IRP_MJ_CREATE结束，正常情况应该以IRP_MJ_CLOSE结束才对。随后查看了SearchProtocolHost.exe 和 Explorer.exe进程，同样情况，最后访问该文件时，操作上也是以IRP_MJ_CREATE结束，没发现删除文件信息。经过一阵查找，最后在“Result”栏目逐排查看，找到删除文件的“元凶”。

逐排查看“Result”栏目，起初正常，在Explorer.exe进程第二次出现，访问“6.2.12_0.crx”文件时，“Result”栏目显示“NO SUCH FILE”，也就是这时文件已经被删除了。于是向上查找，在上面的chrome.exe进程的一条信息里（Detail栏目）找到了删除信息。

原来是chrome浏览器删除了自己的插件，怎么会这样，是不想让用吗？换个firefox浏览器，下载该文件成功。