⚙️ProcessMonitor⚙️

Process Monitor（ProcMon）工具介绍

Process Monitor（简称 ProcMon） 是微软 Sysinternals 套件中的 实时系统监控工具，用于 捕获和分析 Windows 系统的进程、注册表、文件系统和网络活动。它是 调试、恶意软件分析、应急响应、权限排查 等场景中的核心工具之一。

Process Monitor 主要功能

🔹 进程 & 线程监控：查看进程的创建、退出、执行路径、父子进程关系等信息。
🔹 文件系统活动监控：监视文件的读取、写入、删除、创建、访问权限等操作。
🔹 注册表操作分析：追踪进程对注册表的修改、查询、删除等行为，检测异常活动。
🔹 网络活动监控：分析进程的网络连接行为（需配合 Wireshark 进行深入分析）。
🔹 进程权限 & 访问控制：分析进程是否因为权限不足导致错误（如 ACCESS DENIED）。
🔹 操作详细日志：每个操作都带有时间戳、调用结果、进程 ID、线程 ID 等详细信息。
🔹 过滤 & 高级查询：支持基于 进程、路径、操作类型、结果 等多种条件进行筛选，提高分析效率。

Process Monitor 使用方法

（1）运行 Process Monitor

下载：从微软官网（Sysinternals）下载 Procmon.exe
运行：双击 Procmon.exe 运行（推荐管理员权限运行）
开始捕获：默认开启实时监控，显示进程、文件、注册表等操作

（2）设置筛选规则

由于 ProcMon 记录的事件数量庞大，建议 使用筛选器（Filter）减少无关信息：

过滤进程：Process Name → is → 目标进程名
过滤文件操作：Path → contains → 目标路径
过滤注册表操作：Operation → is → RegSetValue
排除无关信息：Result → is not → SUCCESS（排除成功的操作，仅查看失败的）

（3）日志分析

事件列表：查看进程的 文件/注册表/网络 活动
详细信息：点击某条日志，查看 进程调用堆栈、详细参数
保存日志：可以 导出 .PML 文件，供后续分析
结合分析工具：ProcMon 日志可以结合 Wireshark、Volatility、Autoruns 进行深度分析

Process Monitor 适用场景

✅ 恶意软件分析：监测 病毒、木马、RAT（远控）、后门 的行为，分析恶意代码活动。
✅ 应急响应：发现入侵迹象，如 异常进程创建、注册表持久化、可疑文件读写。
✅ 权限问题排查：分析程序因权限不足导致的 ACCESS DENIED 错误，帮助修复权限问题。
✅ Windows 兼容性 & 程序调试：排查 软件运行错误、注册表缺失、DLL 依赖问题。
✅ 高级持久化机制检测：发现 隐藏启动项、计划任务、DLL 劫持、注册表后门。

Process Monitor 与其他工具对比

工具名称	功能特点	监控类型	日志导出	可视化界面
Process Monitor	✅ 详细的进程、注册表、文件、网络监控	🔹 进程 & 文件 & 注册表	✅ `.PML`（二进制）/ `.CSV`	✅ GUI
Process Explorer	✅ 进程管理、DLL 依赖、句柄查看	🔹 进程 & 线程 & 内存	❌ 不支持	✅ GUI
Autoruns	✅ 开机启动项分析 & 持久化检测	🔹 启动项 & 注册表	✅ `.ARN`/ `.CSV`	✅ GUI
Wireshark	✅ 网络流量抓包 & 协议分析	🔹 网络通信	✅ `.PCAP`	✅ GUI
Sysmon	✅ 高级 Windows 事件日志监控	🔹 进程 & 线程 & 网络 & 注册表	✅ `.EVTX`	❌ CLI