Process Monitor下载安装使用教程（图文教程）超详细

最新推荐文章于 2024-05-23 09:53:08 发布
最新推荐文章于 2024-05-23 09:53:08 发布
阅读量3.8k 收藏 74
点赞数 89
分类专栏： 《网络安全快速入门》 文章标签： 安全 网络安全 web安全 人工智能 ai
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wangyuxiang946/article/details/136193961
版权

「作者简介」：2022年北京冬奥会网络安全中国代表队，CSDN Top100，就职奇安信多年，以实战工作为基础对安全知识体系进行总结与归纳，著作适用于快速入门的 《网络安全自学教程》，内容涵盖系统安全、信息收集等12个知识域的一百多个知识点，持续更新。

在这里插入图片描述

Process Monitor 是微软提供的一款系统进程监视软件。常用来检测恶意软件和处理系统故障。

Process Monitor 使用教程

1、下载安装

官网下载：
https://learn.microsoft.com/zh-cn/sysinternals/downloads/procmon

在这里插入图片描述

绿色版免安装，解压后双击运行Procmon64.exe

在这里插入图片描述
在这里插入图片描述

2、功能使用

2.1、界面字段解释

打开软件后，主界面默认展示字段分别是：

  • Time of Day：事件发生的事件。
  • Process Name：触发该事件的进程名。鼠标悬停在进程名上可以显示进程路径。
  • PID：进程ID。
  • Operation：事件的操作类型。
  • Path：事件操作的文件的路径，非进程路径。
  • Result：事件操作结果。
  • Detail：事件操作的额外信息（没啥用）。

在这里插入图片描述

2.2、筛选事件类型

工具栏右侧的5个图标，分别是注册表读写事件、文件读写事件、网络连接事件、进程和线程的调用事件、配置事件。点击点亮图标后显示对应类型的事件，不亮不显示。

在这里插入图片描述

事件对应的操作解释见文末。

2.3、自动滚动

点工具栏左侧的蓝色图标 或 快捷键 Ctrl + X 或 Edit - Auto Scroll，可以让事件自动往下滚动，方便我们观察最新的事件。

在这里插入图片描述

2.4、清空列表

点工具栏左侧的垃圾桶图标 或 Ctrl + X 或 Edit - Clear Display，可以清空列表中的事件。当捕获的事件太多时，可以清空列表，只看新增的事件。

在这里插入图片描述

2.5、停止监听

点工具栏左侧的定位框图标 或 Ctrl + E 或 File - Capture Events，可以停止监听事件。当我们找到目标事件后，就可以停止监听，列表就不会动了。

在这里插入图片描述

2.6、调整显示列

鼠标拖动列名，可以调整列的位置。

Options - Select Columns 可以自定义显示列。想看那个字段，就勾选上。

在这里插入图片描述

Application Details 应用程序数据

  • Process Name：生成事件的进程名
  • Image Path：进程的位置（镜像路径）
  • Command Line：启动进程的命令参数
  • Company Name：进程程序文件的注册公司名称
  • Description：进程程序文件的描述
  • Version：进程程序文件的产品版本号
  • Architecture：进程程序文件的架构（32位或64位）

Event Details 事件数据

  • Sequence Number：序号，标明该事件在所有事件中的相对位置（0,1，2,3，...）
  • Event Class：事件类别（Network、Process 等）
  • Operation：事件的操作类型（CloseFile、CreateFile等）
  • Date & Time：事件的操作日期
  • Time of Day：事件的操作事件
  • Category：事件的操作种类（Write、Read Metadata等）
  • Path：事件操作的资源的路径（非进程路径）
  • Detail：事件操作的附加信息
  • Result：事件操作的结果
  • Relative Time：事件操作的发生时间，Process Monitor启动后开始计算。
  • Duration：事件操作的执行时间。
  • Completion Time：事件操作的结束时间。

Process Management 进程管理

  • User Name：执行进程的用户名
  • Session ID：进程的Windows会话ID
  • Authentication ID：进程的登录会话ID
  • Integrity：进程操作的可信级别
  • Process ID：进程ID
  • Thread ID：线程ID
  • Parent PID：父进程ID
  • Virtualized：进程的虚拟化状态

2.7、查看事件属性

双击事件任意位置 或 右键 - Properties 可以查看事件属性。

属性有 Event（事件）、Process（进程）、Stack（堆栈）三个标签。

Event标签记录：开始时间、线程、事件类型、操作类型、操作结果、操作的文件路径、耗时。

在这里插入图片描述

Process标签记录：

  • 进程基础信息：公司名、进程名、版本号、进程路径、进程启动参数。
  • 进程运行信息：进程ID、架构、父进程ID、进程的虚拟化状态、Windows会话ID、可信度、用户、运行的开始结束时间。
  • 进程加载的模块

在这里插入图片描述
Stack标签记录调用的模块名和地址，方便溯源进程链，双击可以查看详细信息。

K开头是内核模式，U开头是用户模式。

在这里插入图片描述

2.8、过滤器

如果已经知道了恶意软件的程序名、进程等信息，可以使用过滤器来筛选。

在这里插入图片描述

点工具栏的漏斗图标 或 快捷键 Ctrl + L 或 Filter - Filter，打开过滤器。

在这里插入图片描述

文章后面的案例会详细介绍使用步骤。

2.9、导出PML文件

有时候遇到问题无法解决，需要抓进程日志，导出PML文件给别人分析。
复现问题后，点 File - Save，弹出的保存界面勾选 ALL events保存所有事件。Path后边是PML文件保存的路径，可按需修改。

在这里插入图片描述

3、实战案例

3.1、分析浏览器启动过程

打开并关闭浏览器，分析浏览器进程的行为。

工具栏开启监听、开启自动滚动、打开所有的事件类型筛选。

在这里插入图片描述

1）清空过滤器

点工具栏的过滤图标，打开过滤器。Reset 清空历史过滤，Apply 应用，OK 关闭窗口。

注意：每次使用前都看一眼这里的过滤规则，是否需要清空或调整。

在这里插入图片描述

2）寻找浏览器的进程。

打开浏览器（这里用Edge）后，点定位框图标停止监听，最后面的部分可以看到浏览器的进程是 msedge.exe 。

在这里插入图片描述

3）过滤浏览器进程

过滤字段选 Process Name根据进程名过滤，过滤规则选 is，过滤内容填 msedge.exe 只看Medg浏览器的进程，点Add添加到下面的列表中，Apply应用，OK关闭窗口。

在这里插入图片描述

4）捕获浏览器的启动过程。

关掉浏览器后，点定位框图标开启监听，点垃圾桶图标清空列表。

打开浏览器再关闭，就能看到浏览器从启动、运行到关闭都做了什么。

我们可以看到，刚打开时，浏览器的线程开始 Start 启动、Create 创建，开始读注册表、读写文件等。

在这里插入图片描述

关闭浏览器时，线程开始Exit结束，之前打开的文件也都被Close关闭。

在这里插入图片描述

3.2、分析压缩包解压过程

解压压缩包，寻找每个解压后的文件对应的操作。

工具栏开启监听、开启自动滚动、打开所有的事件类型筛选。

在这里插入图片描述

1）清空过滤器（同3.1）

2）解压压缩包

用文章开头下载的安装包，右键解压，点定位框图标停止监听。

事件很多，我们往上滑一些，这里我用的7z解压，所以能看到大量7zG.exe的进程。

在这里插入图片描述

3）过滤解压工具进程

第一个过滤器：过滤字段选 Process Name ，过滤规则选 is，过滤内容填 7zG.exe只看解压工具的进程，点Add添加到下面的列表中，Apply应用，OK关闭窗口

在这里插入图片描述

跟上一个案例一样，也是先 Start 创建进程，中间很多读写注册表、文件的操作，最后Exit退出线程。

在这里插入图片描述

4）过滤文件创建操作

第二个过滤器：过滤字段选 Operation 操作，过滤规则选 is，过滤内容选 CreateFile只看创建文件的操作（点右侧的下拉图标能选），点Add添加到下面的列表中，Apply应用，OK关闭窗口

在这里插入图片描述

可以看到解压后的目录里，每个文件都能找到对应的操作。

在这里插入图片描述

5）排除路径

Create 创建的文件有很多C盘的，这些是压缩工具自带的文件或系统文件，我们不关心，所以把C盘的路径都排除掉。

第三个过滤器：过滤字段选 Path 路径，过滤规则选 Contains包含，过滤内容填 C:\，包含关系选Exclude排除，点Add添加到下面的列表中，Apply应用，OK关闭窗口

在这里插入图片描述

这样再看就清晰多了。能看到它先创建了ProcessMonitor目录，又创建了里面的每个文件。

在这里插入图片描述

6）分析操作详情

从事件属性里看 test 目录 和 ProcessMonitor 目录的操作区别。

test目录是解压前我创建的，所里它们的操作都是 Open 打开资源，而非真正的创建。

在这里插入图片描述

ProcessMonitor目录是工具创建的，所以第一个操作是 Create 创建，后面的操作才是 Open。

在这里插入图片描述

后面每个exe文件都有两个操作，也是类似的逻辑，第一个操作创建文件，第二个操作打开文件写内容。

3.3、抓取开机启动日志

顽固病毒在启动项留存等场景，需要在开机过程中就抓取日志，可以使用 Boot Logging 开机记录功能。

  1. 勾选 Options - Ebable Boot Logging，记录下一次启动过程。
  2. 重启电脑后，日志保存到 %Windir% 目录下（记录持续到Process Monitor被打开 或 关机）
  3. 再次运行 Process Monitor，会询问你启动记录保存到哪里（保存后 %Windir% 的日志会删掉 并且取消勾选 Ebable Boot Logging）。
  4. 保存后会自动打开开机记录日志，再次打开可以点 File - Open 打开刚才保存的文件。

1）开启开机记录功能

在这里插入图片描述

2）重启后日志（临时）保存在 %Windir% 目录，很大，1个多G。

在这里插入图片描述

3）再次打开 Process Monitor，询问是否保存开机记录？

在这里插入图片描述

4）保存开机记录到指定位置。

在这里插入图片描述

5）保存后自动打开开机记录文件，分析是否有异常事件。

在这里插入图片描述

4、事件操作类型翻译

最后附上事件操作类型的翻译，不需要单独记忆，用的时候搜即可。

CloseFile 文件-关闭
CreateFile 文件-创建
CreateMailSlot 创建邮件位
CreatePipe 创建管道
DeviceChange 设备改变
DeviceloControl设备输入/输出控制
FileStreamInformation 文件流信息
FileSystemControl文件系统控制
FlushBuffersFile 清空缓冲文件
InternalDeviceloControl 内部设备IO控制
LoadImage 装载映像
LockFile 文件-锁定
NotifyChangeDirectory 提示改变目录
PlugAndPlay 即插即用
Power 电源
Process Create 进程-创建Process Defined 进程-定义
Process Exit 进程-关闭
Profiling interrupt 配置中断?
QueryAllInformationFile 查询所有信息文件
QueryAttribbuteTagFile 查询属性标签文件
QueryAttributelnformationVolume 查询属性信息卷 (容量?)
QueryBasicInformationFile 查询基本信息文件
QueryCompressionInformationFile 查询压缩信息文件
QueryControllnformationVolume 查询控制信息卷
QueryDevicelnformationVolume 查询设备信息卷
QueryDirectory 查询-目录
QueryEAFile ?
QueryEalnformationFile ?
QueryFilelnternallnformationFile 查询文件内部信息文件
QueryFileQuota 查询文件配额
QueryFullSizelnformationVolume 查询全尺寸信息卷
QuerylnformationVolume 查询信息卷
QueryLabellnformationVolume 查询标签信息卷
QueryMinorCode49>查询副编码
QueryMoveClusterlnformationFile 查询移动族信息文件
QueryNamelnformationFile 查询名字信息文件
QueryNetworkOpenlnformationFile 查询网络开启信息文件
QueryObjectldInformationVolume 查询对象ld信息卷
QueryOpen查询-打开
QueryPositionInformationFile 查询位置信息文件
QuerySecurityFile 查询安全文件
QuerySizelnformationVolume 查询尺寸信息卷
QueryStandardInformationFile 查询标准信息文件
QueryStreamInformationFile 查询流信息文件.
ReadFile 文件-读取
RegCloseKey注册表-关闭键
RegCreateKey注册表-创建键
RegDeleteKey 注册表-删除键
RegDeleteValue注册表-删除值
RegEnumKey注册表-枚举键
RegEnumValue注册表-枚举值
RegFlushKey注册表-清空键
RegLoadKey注册表-读取键
RegOpenKey注册表-打开键
RegQueryKey注册表-查询键
RegQueryKeySecurity 注册表-查询键安全性
RegQueryMultipleValueKey 查询多值键
RegQueryValue注册表-查询值
RegRenameKey注册表-重命名键
RegSetInfoKey 设置信息键
RegSetKeySecurity注册表-设置键安全性
RegSetValue注册表-设置值
RegUnloadKey 卸载键://blog
SetAllInformationFile 设置全信息文件
SetBasicInformationFile 设置基本信息文件
SetDispositionlnformationFile 设置部署信息文件
SetEAFile ?
SetEndOfFilelnformationFile 设置文件结尾信息文件
SetFileQuota 设置文件配额
SetLinkInformationFile 设置连接信息文件
SetPipelnformation 设置管道信息
SetPositionInformationFile 设置位置信息文件
SetRenamelnformationFile 设置重命名信息文件
SetSecurityFile 设置安全文件
SetShortNamelnformation 设置短名称信息
SetValidDataLengthInformationFile 设置合法数据长度信息文
SetVolumelnformation 设置卷信息
shutdown 关闭
SystemControl系统控制
Thread Create 线程-创建
Thread Exit 线程-关闭
Thread Profile 线程-Profile
UnlockFileAll 文件解锁全部
WriteFile 文件-写入

士别三日wyx
关注
  • 89
    点赞
  • 踩
  • 74
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 6
    评论
专栏目录
【C++软件调试技术】什么是pdb文件？如何使用pdb文件？哪些工具需要使用pdb文件？
dvlinker的技术专栏
06-04 1万+
本文结合多年来排查C++软件异常的实践，详细介绍什么是pdb文件，哪些工具需要使用到pdb文件，以及如何去使用pdb文件，以供大家借鉴或参考。
进程监视器(Process Monitor)3.5完整汉化版 (修复版)
08-23
监视系统进程信息使用者就可以对系统中的任何文件和 注册表操作同时进行监视和记录，通过注册表和文件读写的变化， 对于帮助诊断系统故障或是发现恶意软件、病毒或木马来说，非常 有用。 这是一个高级的 Windows 系统和应用程序监视工具，
process monitor使用说明.docx
04-10
process monitor使用说明
ProcessMonitor(1)
04-15
rocess Monitor是Windows的高级监视工具，可显示实时文件系统，注册表和进程/线程活动。它结合了两个传统Sysinternals实用程序Filemon和 Regmon的功能，并添加了大量增强功能，包括丰富和非破坏性过滤，全面的事件属性，如会话ID和用户名，可靠的流程信息，带有集成符号支持的完整线程堆栈对于每个操作，同时记录到文件等等。其独特的强大功能将使Process Monitor成为系统故障排除和恶意软件搜索工具包的核心实用程序。 总体来说，Process Monitor相当于Filemon+Regmon，其中的Filemon专门用来监视系统 中的任何文件操作过程，而Regmon用来监视注册表的读写操作过程。 有了Process Monitor，使用者就可以对系统中的任何文件和 注册表操作同时进行监视和记录，通过注册表和文件读写的变化， 对于帮助诊断系统故障或是发现恶意软件、病毒或木马来说，非常 有用。 这是一个高级的 Windows 系统和应用程序监视工具，由优秀的 Sysinternals 开发，并且目前已并入微软旗下，可靠性自不用说。
恶意软件样本行为分析——Process Monitor和Wireshark
weixin_49816179的博客
12-21 1545
介绍了Process Monitor和Wireshark的基本使用。
ProcessMonitor实现进程文件和注册表监控
weixin_38526093的博客
05-14 6798
对于文件、网络等监控亦是如此,进程的启动和执行离不开对于文件的读写,,相信很多人都碰到DLL文件找不到但是却又不知道DLL放在哪个路径的问题,而这个工具能捕获进程的所有文件读写信息,正好解决了这种问题。一般我们监控指定进程可以使用processName和PID,以谷歌浏览器为例,它的进程名是chrome.exe,那么就可以根据 "processName is chrome.exe"来监控所有的chrome.exe进程了,因为chrome.exe一般是多进程模式,如果定位单个进程，那么就需要指定PID了。
进程监视器Process Monitor V3.20中文汉化版.zip
09-05
软件介绍: 最新完整汉化版的Process Monitor是一款强大的系统进程监视器，它能够显示进程线程的详细活动信息，如表值、创建线程、打开/关闭注册表键值、打开创建关闭文件，可查询进程的详细属性。能在手工排除系统故障或恶意程序检测时发挥重要的作用。命令行参数:/OpenLog   打开以前保存的事件文件/BackingFile        将事件保存在指定的备份文件/PagingFile    将事件保存在虚拟内存/NoConnect     启动时不自动收集事件/NoFilter      启动时清除过滤器/AcceptEula 自动接受最终用户许可协议 (不显示对话框)/LoadConfig   加载以前保存的配置文件/Profiling      启用线程分析功能/Minimized       启动应用程序最小化/WaitForIdle     等待一个 Process Monitor 就绪实例/Terminate       终止所有 Process Monitor 实例并退出/Quiet           启动时不确认过滤器设置/Run32           运行 32 位版本加载 32 位日志文件 (仅适用于 x64 )/HookRegistry    为 SoftGrid 故障排除挂钩注册表 (仅适用于 x86 Vista)/SaveAs    导出到 XML, CSV 或 PML 文件/SaveAs1   导出包括堆栈跟踪 (仅 XML)/SaveAs2   导出包括堆栈跟踪与符号 (仅 XML)/SaveApplyFilter 导出前应用当前过滤器
Process Monitor 进程监控器 exe监控 windows程序监控
绀目澄清
11-08 3228
以查看 百度网盘 为例。
[知识小节]Process Monitor介绍
热门推荐
网络安全知识分享
03-05 1万+
Process Monitor1、工具基本介绍2、使用场景3、常见用法4、实例分析 1、工具基本介绍 Process Monitor是微软推荐的一款系统监视攻击，能供实时显示文件系统、注册表、网络连接于进程活动的攻击工具。它整合了一些工具，其中Folemon专门用来监视系统中的任何文件操作过程，Regmon用来监视注册表的读写操作过程。 Filemon：文件监视器 Regmon：注册表监视器 同时。Process Monitor增加了进程ID、用户、进程可靠度等监视项。它的强大功能足以使Process
Process Monitor工具使用实验（23）
yyj1781572的博客
03-07 2692
本实验主要介绍了ProcessMonitor工具的使用，通过本实验的学习，你能够学会Process Monitor实用小工具的使用，学会如何利用Process Monitor工具观察程序进程/线程、文件系统、注册表、网络连接等。
轻松看懂的加解密系列(1)番外篇I：用Procmon监视一次AES加解密全过程
weixin_41077112的博客
09-10 1587
用Procmon监视一次 wincrypt API AES加解密全过程
ProcessMonitor3.03
05-12
ProcessMonitor MS工具，可能不是最新。 转存
2022 最新processMonitor 官方软件
03-09
2. **详细信息**：ProcessMonitor 提供的事件信息非常详尽，包括事件时间、进程、线程、源、目标、结果、错误代码等，这有助于开发者深入理解系统运行过程中的每一个步骤。 3. **过滤和筛选**：由于ProcessMonitor...
Process Monitor v3.53.zip
12-30
Process Monitor是Windows的高级监视工具，可显示实时文件系统，注册表和进程/线程活动。它结合了两个旧的Sysinternals实用程序Filemon和 Regmon的功能，并添加了广泛的增强功能列表，包括丰富的和非破坏性的过滤，...
MySql安装步骤图文教程及中文乱码的解决方案
12-15
在本文中，我们将详细探讨MySQL服务器的安装过程，并提供解决中文乱码问题的方法。MySQL是一种广泛使用的开源关系型数据库管理系统，它在各种应用程序和项目中发挥着核心作用。 首先，让我们按照步骤来安装MySQL ...
ProcessMonitor
07-22
7. **使用注意事项**：由于ProcessMonitor记录的信息非常详细，大量事件可能会导致日志文件迅速增大，因此在使用时应尽可能精确地设置过滤条件，避免收集过多无关数据。 8. **许可协议**：Eula.txt文件通常包含了...
Pycharm小白级简单使用教程
09-18
以下是一份针对初学者的PyCharm使用教程，将详细介绍如何从下载、安装到设置和运行Python项目。 1. **下载PyCharm** PyCharm分为专业版和社区版。专业版包含更多高级功能，适合专业开发者，而社区版是免费的，尽管...
推荐：ProcessMonitor - 应用监控利器（基于Apple的Endpoint Security框架）
最新发布
gitblog_00021的博客
05-23 352
推荐：ProcessMonitor - 应用监控利器（基于Apple的Endpoint Security框架） 项目地址:https://gitcode.com/objective-see/ProcessMonitor 1、项目介绍 在安全监控和系统调试领域，ProcessMonitor库是一个不可或缺的工具。这个开源项目基于Apple的新一代Endpoint Security框架，提供了一种高效...
【Procmon教程1】Procmon介绍
sunriver2000的专栏
02-18 5940
1、基本介绍 Process Monitor是微软推荐的一款系统监视工具，可以实时显示文件系统、注册表（读写）、网络链接与进程活动的高级工具。它整合了旧的Sysinternals工具、Filemon与Regmon，其中Filemon专门用来监视系统中的任何文件操做过程，Regmon用来监视注册表的读写操做过程。 Filemon：文件监视器 Regmon：注册表监视器 同时，Process Monitor增长了进程ID、用户、进程可靠度等监视项，能够记录到文件中。它的强大功能足以使Process Mo
processon下载安装教程
08-10
很抱歉，由于ProcessOn是基于HTML5和JavaScript技术开发的在线作图工具，因此不需要下载和安装。你只需要打开浏览器，访问ProcessOn的官方网站，就可以直接在网页上使用ProcessOn进行作图。它支持实时云端存储和多人在线实时协作，无需传送文件，直接邀请他人一起协作。ProcessOn也是一款免费的在线作图工具，适合新手和工作需要画图的人使用。所以，你无需进行下载和安装，只需打开ProcessOn的官方网站就可以开始使用了。123 #### 引用[.reference_title] - *1* [推荐一款免费在线高效作图工具](https://blog.csdn.net/weixin_43025823/article/details/82558559)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}} ] [.reference_item] - *2* *3* [Java常见工具安装及环境配置](https://blog.csdn.net/weixin_48554146/article/details/127065148)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}} ] [.reference_item] [ .reference_list ]
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

士别三日wyx

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值