ProcessMonitor của SysInternal hoạt động như thế nào?

Question

Có thể ai đó vui lòng cho tôi giải thích mức độ cao về cách họ có thể giám sát mọi quyền truy cập đăng ký duy nhất không?

http://technet.microsoft.com/en-us/sysinternals/bb896645

chi tiết Đủ để tôi có thể google xung quanh các tiểu chủ đề khác nhau và cố gắng viết một của riêng tôi? Tôi biết họ đã sử dụng một số loại dll tiêm/API hooking, nhưng tôi không chắc chắn làm thế nào họ đạt đến tất cả các hoạt động chế độ hạt nhân.

Answer 1

Nó tải trình điều khiển ảo khi khởi động, tính năng giám sát ở mức thấp. Vì vậy, nó không phải tiêm bất cứ thứ gì trong các quy trình khác.

Trên http://www.decuslib.com/decus/vmslt00a/nt/filemon.htm có giải thích ngắn gọn về cách FileMon, một trong những người tiền nhiệm của ProcMon, hoạt động.

Nếu bạn thích đọc mã, đây là mã nguồn của Filemon và RegMon: http://www.wasm.ru/baixado.php?mode=tool&id=283 (từ http://forum.sysinternals.com/topic8038_page1.html)