分享 - Process Monitor v1.25

[yoyo007]

■ 軟體說明：

∥軟體名稱：Process Monitor
∥版本資訊：1.25
∥檔案大小：1.14 MB (1,198,964 位元組)
∥軟體分類：軟體本地化
∥系統環境：Windows 2000/XP/2003/2000/Vista
∥存放空間：HTTP
∥官方站台：http://www.microsoft.com/technet/sys...ssMonitor.mspx
∥中 文 化：YoYo



■ 軟體簡介：

Process Monitor 屬於 Windows 進階監控工具，並顯示即時檔案系統、登錄和處理序 / 執行緒活動。它結合了兩個舊版 Sysinternals 公用程式 (即 Filemon 和 Regmon) 的功能，還新增了更廣泛的增強功能清單，包括豐富和非破壞性的篩選功能、詳細的事件內容 (像是工作階段 ID 和使用者名稱)、可靠的處理序資訊、完整的執行緒堆疊搭配每個作業的整合性符號支援、同時登入檔案 ...等等。它獨特的強大功能，針對系統疑難排解和獵取惡意程式碼工具組兩方面，將 Process Monitor 打造成為其核心公用程式。

超過 Filemon 和 Regmon 的 Process Monitor 增強功能

Process Monitor 的使用者介面選項與 Filemon 和 Regmon 的使用者介面選項相似，但是前者是從無到有所撰寫，而且還包含了以下許多重要的增強功能：

‧處理序的監控、執行緒啟動與結束，包括結束狀態碼。
‧映像的監控 (DLL 和核心模式裝置驅動程式) 載入。
‧針對作業輸入和輸出參數的更多資料擷取。
‧非破壞性篩選可以不會失去資料的情況下，設定篩選器。
‧針對每項作業進行執行緒堆疊擷取，並在許多情況下辨識作業的根本原因。
‧可靠的處理序詳細資料擷取，包括映像路徑、命令列，與使用者和工作階段 ID。
‧任何事件屬性的可設定與可移動式欄位。
‧篩選器可以對任一資料欄位進行設定，其中包括並非設定成資料行的欄位。
‧針對數百萬擷取的事件和 GB 的記錄資料，擁有進階的記錄結構規模。
‧處理序樹狀工具顯示所有追蹤中的參考處理序之間的關係。
‧原生記錄格式保留了在不同的 Process Monitor 執行個體中載入的所有資料。
‧Process 工具提示提供簡易檢視處理序映像資訊的功能。
‧詳細的工具提示在存取不符合欄位中的格式化資料時，變得更為方便。
‧可取消搜尋。
‧開機時記錄所有系統動作。

■ 中文化筆記：

折騰了幾日，終於把 Process Monitor 的中文化給完成了，欣慰。

時間主要是花在非標準資源字串的翻譯，以及因為過度翻譯導致重開機後 Process Monitor 無法載入驅動程式的除錯上；由於 Process Monitor 的非標準資源字串位於 Unicode，當然這在翻譯上給了我們極大的便利，就是不必太去考慮字串空間是否足夠的問題，但凡事有得有失，Process Monitor 的 Unicode 字串實在把我搞的 [少] 眼昏花 (我還年輕，不需要用到 [老] 這個字)，例如像在翻譯 010 Editor 2.1.3 時所遇到的字串截斷方式：

An error occured attempting to memory map '
'
The file '
' is not a valid backing file (truncated)
Unable to open '

好哩佳在，此類字串只是部分而已，也因為這種字串形式，我沒太去修整 [ ' ] 或翻譯之類的；最鬱卒是安能辨我是雌雄 (可譯與不可譯) 的那些：

RegUnloadKey
RegDeleteKey
DeviceIoControl
SetEAFile
VolumeMount
UnlockFileSingle
more than
is
FILE CORRUPT
THREAD NOT IN PROCESS

害我連篩選檔都不敢用，深怕一篩下去，回頭補遺又要一段時間了，只好就 VA 字串抓一抓，也沒那個心情去篩選，一行行邊看邊翻，反正做好一次，以後更新就輕鬆多了。第一次，難免陣痛啊 !!

然後就是部分字串不允許填補 00，會造成程式出錯；另外有些翻譯我是連矇帶猜的，這部分希望專業的網友能不吝給予指正，先謝謝了。

壓縮檔附帶 [卸載.reg]，因為登錄檔我有動到一個字串，如果您執行過舊版的 Process Monitor，建議您在執行此中文版時，先雙按 [卸載.reg] 去掉登錄檔中原有的資料；移除軟體也是雙按 [卸載.reg]，再將程式目錄刪除就好了。

#1 我有整理了一些相關的使用說明。

■ 檔案下載：

載點：http://0rz.tw/ae3ah

MD5：

059C37FDAF6FC8815DFF3925C1B0E85A

解壓碼：

CENTURYS 網際論壇 中文化開發團隊

[yoyo007]

Process Monitor 相關使用說明

一、用 Process Monitor 找出程式釋放的語言檔

二、Process Monitor 基本操作教學

轉載自：http://blog.darkthread.net...08/18/977.aspx

【茶包射手專欄】Process Monitor 基本操作教學

有網友在問 Process Monitor 如何使用，我想了想，這位茶包一哥在本 Blog 出生入死破案無數，卻還真的沒正式介紹過它的操作使用方式。所以，Process Monitor 的初級使用教學來了!

SysInternals 的兩位天才被挖去微軟後的第一個代表作，就是將原本的 File Monitor (FileMon) 與 Registry Monitor (RegMon) 兩套工具，金剛合體成 Process Monitor，這真是個叫人感動落淚的舉動呀~~~

以往在排除問題時，常常要同時留意 File 及 Registry 存取狀況，所以就要同時開 FileMon跟 RegMon，故意讓問題再發生，然後同時關閉 FileMon 及 RegMon，開始比對二者的記錄: 找出 FileMon 讀取 A 檔的時點，對照到 RegMon 看當時讀了哪個 Registry，在還沒有搞出雙螢幕之前，我還常得把 RegMon 的記錄檔 Copy 到 Notebook 上，一眼看 PC，一眼看 Notebook 方便比對。對不起，我又開始碎碎唸了，這些吃蕃薯籤的回憶，還是留給中年人獨自品嚐好了。XD

總之，ProcMon 把 RegMon 與 FileMon 的監控放在一起，實在是佛心來著!

要用 ProcMon 的第一步當然要先去下載，網址在 這裡，免安裝，我都只解 EXE 檔出來放在桌面就開始幹活。




開啟後，你會看到如上圖的畫面，通常我都只用到 Toolbar 的那一排按鈕就玩得不亦樂乎。我用顏色標出來幾個重要功能，說明如下:

1 開啟/停止記錄事件: 打 X 時表示現在停止捕捉事件

2.自動下捲: 由於監聽過程中，清單會不斷增長，你可以選擇 ProcMon 永遠顯示清單最下方的最新記錄。不過清單通常長得很快，會捲到你眼花。

3.清除目前清單中的記錄

4.設定Filter: 超重要! ProcMon是廢鐵或是寶劍全看你會不會設 Filter，後面再做詳細介紹

5.指定桌面程式: 這個小瞄準器在 SPY++ 裡很有名。如果你今天想要觀察某個桌面程式讀了哪些 Registry、寫了哪幾個 File，將小瞄準器拖拉到那個程式的 UI 上，ProcMon 就會在 Filter 中加入限定該程式的條件 (指定 Process ID)

6.搜尋: 在現有的記錄中找尋特定文字

7.跳至Registry/File: 粉方便的功能! 在記錄中會看到某些 Registry 或 File 的名稱，點選那一列記錄後按下去，若是 Registry 記錄就會開 Registry Editor 停在該 Registry Key 上，若是 File 就會開啟 FileMonitor 停在該檔案的所在目錄上。在記錄上按右鍵也有個 Jump To，效果相同。

8, 9, 10: 用來指定你要監聽的範圍，分別是 Registry、File 及 Process 活動，如果你只關心 File 存取，就只開啟 File，真正的線索才不會被埋藏在一大堆沒用的 Registry 記錄中。

好了，接著來看 ProcMon 操作的精華所在，設定 Filter!!




每一則 Filter 條件分為三個部分，第一部分是欄位，每一筆記錄有很多欄位，你可以限定某個欄位必須符合某個條件的事件才要"顯示"，第二部分可指定要等於、包含等運算子，第三部分則是特定的字串值，最後要指定這個條件要包含進來還是排除掉。

注意到沒有，我剛才說 Filter 指的是"顯示"條件，而不是"捕捉"條件哦! 第一張圖的 Status Bar 中有個 Showing 11,894 of 39,380，意思是 ProcMon 保留了四萬筆記錄，依現在的 Filter 條件只 Show 其中的 30%，可以事後再修改條件，篩選不同的記錄來看。這又是一個本著佛心的新設計，過去使用 FileMon/RegMon 時常發生因條件太嚴沒抓到關鍵事件，只好改條件再來一次的狀況，現在 Filter 可以事後再 Tune，節省了很多重頭來過的時間。

不過修改 Filter 的操作有點奇特，在下方清單點兩下，該條件會從清單中移除，移到上方，修改後要按 Add 把它加回清單，如果你改完直接按 OK，條件就消失了，剛開始用要花點時間習慣。

用個實例來說，如果我想在 XP/2003/Vista 下觀察 IIS 的活動，可以設定以下的 Filter:



Process Name is 'w3wp.exe' 這樣子 ProcMon 會抓到所有 w3wp.exe 對 File 及 Registry 的存取，若你的 IIS 有多個 Application Pool，則會有多個 PID 不同的 w3wp.exe，你可以試著再找到關注對象的 Process ID，進一步縮小範圍。



按下閞始捕捉後，會得到如上圖的一大串記錄，清單中 Operation 是 RegOpenKey、RegCloseKey、RegQueryValue 的是 Registry 記錄，CreateFile、CloseFile、ReadFile 等則是 File 存取記錄。在每則記錄上按右鍵還有好幾個貼心的功能，你可以用 Exclude/Include 加入與這筆記錄相關的 Filter 條件後立即生效。這樣我們可以先設較寬的 Filter 組合，在檢視結果的同時再一一排除無關者，迅速縮小範圍。Property 則可看到該筆記錄的全部細節，例如: 發生 Access Denied 時，甚至還可以看到 Impersonate 的情形。

上圖中沒顯示出來，但 Path 後方還有個重要欄位叫 Result，就是這個動作的執行結果，NOT FOUND/ACCESS DENIED 之類的，通常是值得我們關注的焦點。

今天的 Process Monitor 基本使用課程就講到這裡，下課!!

三、使用 ProcMon 五分鐘內破案的經典案例

轉載自：http://blog.darkthread.net/blogs/......10/959.aspx

【茶包射手專欄】使用 ProcMon 五分鐘內破案的經典案例

Could not load file or assembly 'System.EnterpriseServices, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' or one of its dependencies. Access is denied.

小組裡有台"鬧鬼"(註)的測試機器，老愛出些稀奇古怪的錯誤。今天執行某支 ASPX 時，發生以上錯誤...

一般人遇到這種狀況，除了重灌 .NET Framework、重灌 IIS、重灌 Windows、去行天宮拜拜跟改行不寫程式之外，多半就只能束手無策。不過如果有 Process Monitor 在手，情況就不一樣了。

遇到 Access Denied 型的 Error 的，我的反射動作就是開啟 Process Monitor；由於這個錯誤訊息很精確地指出無法存取的檔案是 System.EnterpriseServices.dll，因此加個 Path Contains "System.EnterpriseServices" 的 Filter，再瀏覽一次有問題的 URL，立即就找到 Access Denied 的證據。



利用 Jump To 直接跳至 GAC 下的問題 Folder，檢查一下權限，果然! 不知怎麼地，該目錄只剩下 SYSTEM 跟 Administrators 有權讀取，難怪用 NETWORK SERVICE 執行的 w3wp.exe 會吃閉門羹。參考其他類似目錄，補上權限，問題就消失了! 前後只花了不到五分鐘。



講到SystemInternals的這些好工具，306期 iTHome 的封面故事剛好就以它為主題，而兩位 MVP (賴榮樞、鄭子璉) 與我也分享了自己的使用心得 (咳... 還有照片哦，要簽名的人請帶週刊私下找我，目前沒有辦簽書會的計劃)，有興趣的人可以去找來翻翻。

====== 我是分隔線 ======

註: 所謂"鬧鬼"有兩種解釋: 一是指機器上常出現無法理解的怪現象，讓人直呼見"鬼"了；第二種是有程式麻瓜、電腦白目在搞"鬼"，進行各種不可思議的系統修改與設定，任誰都猜不出問題會出在這種地方。

四、使用 Process Monitor + Syscheck 移除木馬

轉載自：http://hi.baidu.com/drzebra......7ddfbb3fb9569.html


「IEHelper_*.dll」木馬組件的刪除，syscheck 反黑工具 ＋ Process Monitor 組合拳出擊！

一、IEHelper_*.dll 木馬的種類，存在位置和危害

我搜索了一下IEHelper_*.dll至少有以下幾個版本：

IEHelper.dll
IEHelper_5001.dll Iehelper_5012.dll Iehelper_5013.dll
Iehelper_5016.dl Iehelper_5025.dll Iehelper_5026.dll
Iehelper 5048.dll IEHelper_5058.dll IEHelper_5066.dll
Iehelper_5068.dll Iehelper_5078.dll IEHelper_5201.dll
IEHelper2006829_4702.dll

該木馬存在的常見位置為：

%System%\IEHelper.dll
X:\Program Files\BB\IEHelper
X:\Documents and Settings\All Users\Application Data\Microsoft\UserData\IEHelper_*.dll
X:\Documents and Settings\All Users\Application Data\Microsoft\IEHelper_*.dll

危害/危險程度：

1.這木馬組件用來攔截按鍵，攔截鍵盤信息。IEHelper.dll 處理在瀏覽器中輸入數據所引發的 IE 事件。並將攔截的數據及URL存放在 %system%Passlogx.log 中[1]。
2.IEHelper 如不及時清除，會引進數十種木馬，嚴重的導致計算機系統崩潰、藍屏，較輕的導致運行速度極慢。
3.影響系統穩定性，IE 無法打開，不定期跳出不明網頁IE彈出廣告。

二、網絡上的解決辦法 (沒有驗證，不一定有效！)

方法1：[2]

A.先關閉 IE 瀏覽器;
B.再[開始]->[運行]-> regsvr32 /u x:\xx\iehelper_×.dll;
C.到 IEhelper.dll 的安裝目錄下，直接刪除它;
D.清理一下註冊表，對「IEHelper_×.dll」做徹底清除。

方法2：[3]

A.金山毒霸中帶有文件粉碎機這個程序，我就用這程序把「IEHelper_5066.dll」直接粉碎
B.粉碎後有會出現個「KKKKKKKKK」的文件，然後在把這文件剪貼到另外一個文件夾下，之後 DEL 直接刪除。
C.清理一下註冊表，對「IEHelper_×.dll」做徹底清除。

方法3： 該方法有點搞笑？

A.先找到 DLL 文件的目錄
B.然後把 IEHelper_×.dll 剪切移動到桌面上
C.刪除這個 DLL 文件的上一級目錄,好像是 userdata,
D.然後回到桌面,把那個DLL文件直接拖到回收站裡,最後清空回收站應該就搞定了.

三、本站提供的較為專業的手動清除辦法

首先,下載兩個工具：

1。syscheck 反黑工具：http://free5.ys168.com/?wangsea
2。Process Monitor 進程監視軟件：本帖下載。

(一) 簡易方法： 針對 IEHelper_X.dll 的注入 iexplore.exe 進程的情況

A. 打開一個IE瀏覽器窗口
B.【運行 syscheck1.0061】->【進程管理】->
C. 按下底下【防止驅動阻止修復】，同時選取【禁止外部線程創建】->
D. 選定【iexplore.exe】->查看界面下半部分【模塊信息】

註：【模塊信息】中包含了 IE 瀏覽器加載的所有 DLL,OCX 文件信息

E. 選定【模塊信息】中的 IEHelper_×dll 項-> 點擊鼠標右鍵->【卸載模塊並刪除文件】
F. 等上幾秒鐘，IEHelper_×.dll 就被完全刪除了。
G. 最後清理一下註冊表，搜索「IEHelper_×.dll」內容，徹底清除。

用以上的方法可以刪除最厲害的病毒/木馬，沒有不成功的！
IceSworld刪除不了的，syscheck也可以呵！
再次謝謝紅葉大蝦，開發出如此優秀的反黑軟件！

(二)高級方法： 針對 rookit 技術的病毒主程序釋放出/修復 IEHelper_×.dll 的情況

A. Process Monitor 監視文件 IEHelper_X.dll 的活動，檢查其注入到哪個進程，或由哪個病毒主程序釋放。
【運行Process Monitor 1.0】-> 跳出【Process Monitor Filter】選項：

【Auhentication ID】下拉選中 path (路徑)->
【is】下拉選中 contains (包含)->
【】空白處輸入 IEHelper->
【Include】不要更改->
點擊【Add】按鈕->
點擊【ok】按鈕->

設置好了，接下來，你要耐心等待3－5分鐘....，因為 Process Monitor 將對所有的系統消息 (至少40萬條) 進行篩選。包含【IEHelper】內容的文件讀寫,註冊表操作,線程進程活動都會被捕獲，你可以一覽無餘了。

B. 直接去 IEhelper_*.dll 的安裝目錄下,做一下刪除操作

註：當然刪不掉的啦，只不過是激活一下木馬，看看到底是哪個隱藏的進程在保護它。
只要木馬病毒有活動，Process Monitor 就會將這些活動記錄在案，哈哈！

C. 回到 Process Monitor 界面，查看新增加的包含 IEhelper 的消息。
你只要查找 path 欄中含有你的 IEhelper_*.dll 的信息，看看 Process Name 是誰？

D. 如果發現是 explorer.exe, svhost.exe,lsass.exe,rundll32 之類的系統進程，那說明 IEhelper_*.dll 是注入到系統進程中來發揮作用。

解決方法見 (一) 簡易方法.....--->【卸載模塊並刪除文件】即可

E. 如果發現 Process Name 是非系統進程的陌生 exe，那就是病毒主程序啦。
記下位置，以及 exe 文件名。

【運行 syscheck1.0061】->到【進程管理】看看->病毒主程序是否在進程裡->
在的話點擊鼠標右鍵->【刪除進程到回收站】

或

【僅結束指定進程】->然後點擊 syscheck【文件瀏覽】

->類似windows資源管理器操作，到病毒主程序所在位置
(下部有一個【僅顯示有隱藏屬性的文件】，有時看非隱藏屬性文件要去掉前面的鉤)
->選定病毒主程序->點擊鼠標右鍵->【刪除文件】
(或【傳送到其它文件夾】，作為病毒樣本保存)

F. 通過步驟【E】，病毒主程序也被我們幹掉了。有時病毒的保護程序不止一個，此時參照【U 盤病毒MVS.exe，MVH.exe，ALMV.exe，RCS.exe 的清除】操作。

G. 此時的 IEhelper_*.dll 已經成為孤家寡人，直接刪掉就是。
H. 最後清理一下註冊表，搜索「IEHelper_*.dll」內容，徹底清除。

如果以上操作無誤，並解決了問題，而且幹得很利索...
恭喜！你已經步入刪毒高手之列。
以後什麼木馬病毒，依葫蘆畫樣統統都搞定!

[aceryang]

感謝分享並嚴重感謝熱心製作教學！
收下好文章慢慢學習！

[k2hungss]

附有詳細使用說明
下載瞭解
感謝提供分享