您可能之前看到過我寫的類似文章，為什么還要重復撰寫呢？只是想更好地幫助初學者了解病毒逆向分析和系統安全，更加成體系且不破壞之前的系列，因此，我重新開設了這個專欄，準備系統整理和深入學習系統安全、逆向分析和惡意代碼檢測，“系統安全”系列文章會更加聚焦，更加系統，更加深入，也是作者的慢慢成長史，換專業確實挺難的，逆向分析也是塊硬骨頭，但我也試試，看看自己未來四年究竟能將它學到什么程度，漫漫長征路，偏向虎山行，享受程序，一起加油~

前文嘗試了軟體來源分析，結合APT攻擊中常見的判斷方法，利用Python呼叫擴展包進行溯源，但也存在局限性，本文將分享Procmon軟體基本用法及檔案行程、注冊表查看，這是一款微軟推薦的系統監視工具，功能非常強大可用來檢測惡意軟體，基礎性文章，希望對您有所幫助~

作者作為網路安全的小白，分享一些自學基礎教程給大家，主要是在線筆記，希望您們喜歡，同時，更希望您能與我一起操作和進步，后續將深入學習網路安全和系統安全知識并分享相關實驗，總之，希望該系列文章對博友有所幫助，寫文不易，大神們不喜勿噴，謝謝！如果文章對您有幫助，將是我創作的最大動力，點贊、評論、私聊均可，一起加油喔！

作者的github資源：

• 逆向分析：https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis
• 網路安全：https://github.com/eastmountyxz/NetworkSecuritySelf-study

從2019年7月開始，我來到了一個陌生的專業——網路空間安全，初入安全領域，是非常痛苦和難受的，要學的東西太多、涉及面太廣，但好在自己通過分享100篇“網路安全自學”系列文章，艱難前行著，感恩這一年相識、相知、相趣的安全大佬和朋友們，如果寫得不好或不足之處，還請大家海涵！

接下來我將開啟新的安全系列，叫“系統安全”，也是免費的100篇文章，作者將更加深入的去研究惡意樣本分析、逆向分析、內網滲透、網路攻防實戰等，也將通過在線筆記和實踐操作的形式分享與博友們學習，希望能與您一起進步，加油~

• 推薦前文：網路安全自學篇系列-100篇

前文分析：

• [系統安全] 一.什么是逆向分析、逆向分析基礎及經典掃雷游戲逆向
• [系統安全] 二.如何學好逆向分析及呂布傳游戲逆向案例
• [系統安全] 三.IDA Pro反匯編工具初識及逆向工程解密實戰
• [系統安全] 四.OllyDbg動態分析工具基礎用法及Crakeme逆向
• [系統安全] 五.OllyDbg和Cheat Engine工具逆向分析植物大戰僵尸游戲
• [系統安全] 六.逆向分析之條件陳述句和回圈陳述句原始碼還原及流程控制
• [系統安全] 七.逆向分析之PE病毒原理、C++實作檔案加解密及OllyDbg逆向
• [系統安全] 八.Windows漏洞利用之CVE-2019-0708復現及藍屏攻擊
• [系統安全] 九.Windows漏洞利用之MS08-067遠程代碼執行漏洞復現及深度提權
• [系統安全] 十.Windows漏洞利用之SMBv3服務遠程代碼執行漏洞（CVE-2020-0796）復現
• [系統安全] 十一.那些年的熊貓燒香及PE病毒行為機理分析
• [系統安全] 十二.熊貓燒香病毒IDA和OD逆向分析（上）病毒初始化
• [系統安全] 十三.熊貓燒香病毒IDA和OD逆向分析（中）病毒釋放機理
• [系統安全] 十四.熊貓燒香病毒IDA和OD逆向分析–病毒釋放程序（下）
• [系統安全] 十五.Chrome瀏覽器保留密碼功能滲透決議、藍屏漏洞及某音樂軟體漏洞復現
• [系統安全] 十六.PE檔案逆向基礎知識(PE決議、PE編輯工具和PE修改)
• [系統安全] 十七.Windows PE病毒概念、分類及感染方式詳解
• [系統安全] 十八.病毒攻防機理及WinRAR惡意劫持漏洞(腳本病毒、自啟動、定時關機、藍屏攻擊)
• [系統安全] 十九.宏病毒之入門基礎、防御措施、自發郵件及APT28宏樣本分析
• [系統安全] 二十.PE數字簽名之(上)什么是數字簽名及Signtool簽名工具詳解
• [系統安全] 二十一.PE數字簽名之(中)Signcode、PEView、010Editor、Asn1View工具用法
• [系統安全] 二十二.PE數字簽名之(下)微軟證書漏洞CVE-2020-0601復現及Windows驗證機制分析
• [系統安全] 二十三.逆向分析之OllyDbg動態除錯復習及TraceMe案例分析
• [系統安全] 二十四.逆向分析之OllyDbg除錯INT3斷點、反除錯、硬體斷點與記憶體斷點
• [系統安全] 二十五.WannaCry勒索病毒分析 (1)Python復現永恒之藍漏洞實作勒索加密
• [系統安全] 二十六.WannaCry勒索病毒分析 (2)MS17-010漏洞利用及病毒決議
• [系統安全] 二十七.WannaCry勒索病毒分析 (3)蠕蟲傳播機制決議及IDA和OD逆向
• [系統安全] 二十八.WannaCry勒索病毒分析 (4)全網"最"詳細的蠕蟲傳播機制解讀
• [系統安全] 二十九.深信服分享之外部威脅防護和勒索病毒對抗
• [系統安全] 三十.CS逆向分析 (1)你的游戲子彈用完了嗎？Cheat Engine工具入門普及
• [系統安全] 三十一.惡意代碼檢測(1)惡意代碼攻擊溯源及惡意樣本分析
• [系統安全] 三十二.惡意代碼檢測(2)常用技術詳解及總結
• [系統安全] 三十三.惡意代碼檢測(3)基于機器學習的惡意代碼檢測技術
• [系統安全] 三十四.惡意代碼檢測(4)撰寫代碼自動提取IAT表、字串及時間戳溯源地區
• [系統安全] 三十五.Procmon工具基本用法及檔案行程、注冊表查看

宣告：本人堅決反對利用教學方法進行犯罪的行為，一切犯罪行為必將受到嚴懲，綠色網路需要我們共同維護，更推薦大家了解它們背后的原理，更好地進行防護，

一.Process Monitor

1.基本介紹

Process Monitor是微軟推薦的一款系統監視工具，能夠實時顯示檔案系統、注冊表（讀寫）、網路連接與行程活動的高級工具，它整合了舊的Sysinternals工具、Filemon與Regmon，其中Filemon專門用來監視系統中的任何檔案操作程序，Regmon用來監視注冊表的讀寫操作程序，

• Filemon：檔案監視器
• Regmon：注冊表監視器

同時，Process Monitor增加了行程ID、用戶、行程可靠度等監視項，可以記錄到檔案中，它的強大功能足以使Process Monitor成為您系統中的核心組件以及病毒探測工具，

Process?Monitor可以幫助使用者對系統中的任何檔案、注冊表操作進行監視和記錄，通過注冊表和檔案讀寫的變化，有效幫助診斷系統故障或發現惡意軟體、病毒及木馬，

Github下載地址：https://github.com/eastmountyxz/Security-Software-Based
CSDN下載鏈接：https://download.csdn.net/download/lxiao428/10711509

2.使用場景

運行Process Monitor建議使用管理員模式，當你啟動Process Monitor后，它就開始監聽三類操作，包括：檔案系統、注冊表、行程，

• 檔案系統
  Process Monitor顯示所有的Windows檔案系統活動，包括本地磁盤和遠程檔案系統，它會自動探測到新的檔案系統設備并監聽它們，所有的系統路徑都會被顯示為相對于在用戶會話中的一個檔案系統操作的執行，想在串列中清除檔案系統的操作，在Process Monitor工具列上反選“檔案系統”按鈕，再按下可以增加對檔案系統的監聽，
• 注冊表
  Process Monitor記錄所有的注冊表操作并顯示使用常見的注冊表根鍵縮寫來顯示注冊表路徑（如HEKY_LOCAL_MACHINE 縮寫為HKLM），想在串列中清除注冊表的操作，在Process Monitor工具列上反選“注冊表”按鈕，再次按下可以增加對注冊表的監聽，
• 行程
  在Process Monitor的行程/執行緒監聽子系統中，它將跟蹤所有行程/執行緒的創建和退出操作，包括DLL和設備驅動程式的加載操作，想在串列中清除行程的操作，在Process Monitor工具列上反選“行程”按鈕，再次按下可以增加對行程的監聽，
• 網路
  Process Monitor使用“Windows事件跟蹤(ETW)”來跟蹤并記錄TCP和UDP活動，每個網路操作包括源地址和目標地址，還有發送和接受到的一些數量的資料，但不包括真實的資料，想在串列中清除網路的操作，在Process Monitor工具列上反選“網路”按鈕，再次按下可以增加對網路的監聽，
• 性能分析
  這個事件類可以在“選項”選單中啟用，當處于“啟用”狀態，Process Monitor掃描系統中所有活動的執行緒并為每個執行緒生成一個性能分析事件，記錄了內核模式和用戶模式的CPU時間消耗，還有許多在上個性能分析事件后已被執行緒執行的環境開關，

3.新聞事件

關于Procmon軟體的傳聞：曾經360隱私保護器曝出騰訊“窺私門”事件，當年的QQ聊天工具在暗中密集掃描電腦硬碟、窺視用戶的隱私檔案，另兩款聊天工具MSN和阿里旺旺則沒有類似行為，隨即有網友曝料稱，早有人通過微軟Procmon（行程監視工具）發現QQ窺私的秘密，

據悉，微軟這款Windows系統行程監視工具Procmon，通過對系統中的任何檔案和注冊表操作進行監視和記錄，也能幫助用戶判斷軟體是否存在“越軌”行為，與360隱私保護器相比，Procmon采用了類似的原理，但是監測物件更廣泛，適合具備一定電腦知識的用戶使用，

Procmon監測記錄表明，當時的QQ會自動訪問許多與聊天無關的程式和檔案，例如“我的檔案”等敏感位置，上網記錄等，隨后，QQ還會產生大量網路通訊，很可能是將資料上傳到騰訊服務器，短短10分鐘內，它訪問的無關檔案和網路通訊數量多達近萬項！正常的聊天工具行為是只訪問自身檔案和必要的系統檔案，

二.Procmon分析可執行檔案

1.常見用法

下載Procmon.exe軟體后，直接雙擊啟動，Procmon會自動掃描分析系統當前程式的運行情況，其中，下圖框出來的4個常用按鈕作用分別為：捕獲開關、清屏、設定過濾條件、查找，最后5個并排的按鈕，是用來設定捕獲哪些型別的事件，分別表示注冊表的讀寫、檔案的讀寫、網路的連接、行程和執行緒的呼叫和配置事件，一般選擇前面2個，分別為注冊表和檔案操作，

輸出結果中包括序號、時間點、行程名稱、PID、操作、路徑、結果、描述等，監控項通常包括：

• 檔案系統
• 注冊表
• 行程：跟蹤所有行程和執行緒的創建和退出操作
• 剖析事件：掃描系統中所有活動執行緒，為每個執行緒創建一個剖析事件，記錄它耗費的核心和用戶CPU時間，以及該執行緒自上次剖析事件以來執行了多少次背景關系轉換

為了更好地定制選擇，可以在過濾器中進行設定（見上圖），也可以在Options選單中選擇Select Columns選項，然后通過彈出的列選擇對話框來定制列的顯示，常用列的選擇包括：

• Application Details
  – Process Name：產生事件的那個行程的名字
  – Image Path：行程鏡像的完整路徑
  – Command Line：命令列，用于啟動行程
  – Company Name：行程鏡像檔案中的企業名稱，這個文本是由應用程式的開發者來定義的
  – Description：行程鏡像檔案中的產品描述資訊，這個文本是由應用程式的開發者定義的
  – Version：行程鏡像檔案中的產品版本號，這個文本是由應用程式的開發者定義的

• Event Details
  – Sequence Number：操作在全體事件中的相對位置，也包括當前的過濾
  – Event Class：事件的類別（檔案，注冊表，行程）
  – Operation：特殊事件操作，比如Read、RegQueryValue等
  – Date & Time：操作的日期和時間
  – Time of Day：只是操作的時間
  – Path：一個事件參考資源的路徑
  – Detail：事件的附加資訊
  – Result：一個完成了的操作的狀態碼
  – Relative Time：一個操作相對于Process Monitor的啟動后的時間，或者相對于Process Monitor的資訊清除后的時間
  – Duration：一個已經完成了的操作所持續的時間

• Process Management
  – User Name：正在執行操作的行程的用戶賬戶名
  – Session ID：正在執行操作的行程的Windows會話ID
  – Authentication ID：正在執行操作的行程的登錄會話ID
  – Process ID：執行了操作的行程的行程ID
  – Thread ID：執行了操作的執行緒的執行緒ID
  – Integrity Level：正在運行的行程執行操作時的可信級別（僅支持Vista以上系統）
  – Virtualized：執行了操作的行程的虛擬化狀態

2.實體分析

下面我們采用分析開機自啟動的某個“hi.exe”程式，注意，作者之前第36篇文章CVE漏洞復現文章中，將“hi.exe”惡意加載至自啟動目錄，這里分析它，

C:\Users\xxxx\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

第一步，設定過濾器，
打開軟體Process Moniter，并點擊filter->filter，

在彈出的對話框中Architecture下拉框，選擇Process Name填寫要分析的應用程式名字，點擊Add添加，最后點擊右下角的Apply，

第二步，執行被分析的應用，
雙擊應用程式會彈出“計算器”，

可以看到Process Mointor監控到應用的行為，

第三步，查看可執行檔案的位置，
點擊查找按鈕，然后輸入“CreateFile”，

找到該選項之后，我們右鍵點擊“Jump To”，

我們可以去到該檔案所在的檔案夾下，即：

Win 7/10：C:\Users\xxxx\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

Win XP：C:\Documents and Settings\Administrator\「開始」選單\程式\啟動

第四步，查看注冊表選項，
查尋檔案“RegSetValue”，

右鍵選擇jump to跳轉到注冊表，

可以看到注冊表的內容，如果自啟動還能看到相關鍵對的設定，

Windows自動重啟運行的程式可以注冊在下列任一注冊表的位置，

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

三.Promon分析壓縮包

接著我們分析該壓縮包，

第一步，過濾器設定，
打開軟體Process Moniter，并點擊filter->filter，在彈出的對話框中Architecture下拉框，選擇Process Name填寫要分析的應用程式名字，點擊Add添加、Apply應用，注意，也可以增加其他過濾規則，

第二步，打開壓縮包及某個檔案，
未打開壓縮包前運行結果如下圖所示：

打開該壓縮包中的“2020-02-22-china.csv”檔案，這是作者Python大資料分析武漢疫情的開源代碼，也推薦感興趣的讀者閱讀，

Procmon顯示了與WinRAR相關的操作，如下圖所示，我們可以查看運行的行程、注冊表等資訊，

第三步，查詢“china.csv”相關的檔案，

可以看到臨時檔案，其路徑為：

C:\Users\xxxx\AppData\Local\Temp\Rar$DIa14092.24700

第四步，右鍵點擊“Jump To”跳轉查看檔案，

跟蹤這個目錄，在C盤對應目錄下找到了這個檔案，打開之后和本來打開的檔案內容相同，

AppData\Local\Temp
它是電腦Windows系統臨時存盤的檔案夾，會把瀏覽者瀏覽過的網站或者其它記錄保存在這里，如果下次打開相應的地址，電腦會更快提取檔案，甚至在沒有網路時也能查看到，這是不安全的，你保密的檔案檔案也可能存在該位置，建議及時洗掉，

第五步，WinRAR壓縮包內檔案直接打開后，有兩種關閉方式：先關閉打開的檔案，再關閉打開的壓縮包，另外一種方式是先關閉打開的壓縮包，再關閉打開的檔案，建議大家利用Process Moniter分析上述兩種方式的不同點，

打開壓縮包時加載的檔案個數如下圖所示，

先關閉word檔案，再關閉winrar，注意，關閉word檔案后，Process Monitor監測到了事件；再關閉winrar，Process Monitor也監測到了事件，

這僅是一篇基礎性用法文章，更多實體作者希望深入學習后分享出來，比如監控某個目錄下檔案的創建、修改、洗掉、訪問操作，從而保存日志為檔案，以便日后分析，

• WriteFile：寫操作，依照檔案大小可能產生多條
• ReadFile：讀操作，一次讀會產生很多條
• SetAllocationInformationFile：改寫檔案時觸發
• SetEndOfFileInformationFile：改寫檔案時觸發
• SetRenameInformationFile：重命名時觸發
• SetDispositionInformationFile：洗掉檔案時觸發

四.總結

寫到這里，這篇文章就介紹完畢，主要包括三部分內容：

• Procmon軟體介紹
• Procmon分析可執行檔案
• Procmon分析壓縮包檔案加載項，包括行程和注冊表

接下來，作者將采用該工具在虛擬機中分析惡意樣本，涉及知識點包括：

• 檔案活動行為分析：Procmon監控木馬客戶端的檔案行為
• 注冊表活動行為分析：Procmon監控木馬客戶端的注冊表設定值行為
• 網路活動行為分析：Wireshark監控網路行為、TCP三次握手連接、被控端與控制端之間的通信程序

希望這系列文章對您有所幫助，真的感覺自己技術好菜，要學的知識好多，這是第49篇原創的安全系列文章，從網路安全到系統安全，從木馬病毒到后門劫持，從惡意代碼到溯源分析，從滲透工具到二進制工具，還有Python安全、頂會論文、黑客比賽和漏洞分享，未知攻焉知防，人生漫漫其路遠兮，作為初學者，自己真是爬著前行，感謝很多人的幫助，繼續爬著，繼續加油！

歡迎大家討論，是否覺得這系列文章幫助到您！如果存在不足之處，還請海涵，任何建議都可以評論告知讀者，共勉~

武漢加油！湖北加油！中國加油！！！

(By:Eastmount 2021-02-26 晚上12點寫于貴陽 http://blog.csdn.net/eastmount )

參考文獻：
[1] 《軟體安全》實驗之惡意樣本行為分析
[2] https://github.com/eastmountyxz/Security-Software-Based
[3] Process Monitor分析某個應用行為 - cui0x01
[4] https://docs.microsoft.com/en-us/sysinternals/downloads/procmon
[5] https://wenku.baidu.com/view/aaf324150b4e767f5acfcec4.html
[6] Process Monitor中文手冊 - D_R_L_T
[7] ProcessMonitor檔案以及注冊表監視器的使用 - Amrecs
[8] Process Monitor監控目錄 - 監控檔案被哪個行程操作了 - kendyhj9999