【网络安全】小白每天学一点之“监控应用程序行为” [process monitor]

Process Monitor

功能：监控应用程序的文件操作、系统操作、注册表操作、网络行为等。

 

1.定位程序

首先是配置监控的应用程序，可以从过滤器设置，点击工具栏的过滤器按钮设置 Process Name is  “应用名称”即可。

如果不知道应用名称的应用怎么办，比如突然弹出的广告窗口，看到那个雷达小图标没，拖到当前活动窗口上就能定位到是哪个进程打开的窗口，对付恶意广告流氓软件啥的很好用。

2.过滤行为

当你试图去分析一个应用程序的行为可能会被铺天盖地的程序行为感到困惑，一般情况下需要过滤掉不关注的行为，以方便分析。

• 可以通过直接点击监控功能按钮关闭或开启：注册表、系统目录、网络等操作
• 可以通过编辑过滤条件把应用本身一些重复的行为Exclude掉，这样可以更方便的观察应用行为。

     编辑过滤条件（先exclude一些条件）->add过滤->应用过滤

     可以添加关注API， 比如：WriteFile操作等。

3、动手测试

写了个简单的小程序，点击按钮在D盘创建一个文件，然后写入一些字符后关闭文件

监控到的应用行为如下

下面一大堆注册表的查询和设置貌似和字体设置sogou有关，暂时不关注了。

为了屏蔽windows程序自动夹杂的各种行为方便观察测试，用控制台写了文件操作程序

逐个输入数字序号执行捕获到行为如下：

有点让我费解的是，程序还没输入数字序号执行前捕获的一大堆行为是什么鬼？有知道的同学麻烦告诉我下，谢谢！

测试程序下载地址：https://download.csdn.net/download/roshy/14355179