【Etw系列】使用NT Kernel Logger监听系统进程创建结束详细信息

ANormalUser

Etw系列：

• 【易首发】使用Etw监视全系统IMAGE加载卸载情况
• 【Etw系列】使用Etw监视系统进程创建的详细信息

更多：

• Etw监视进程创建是一种底层的监视方法，其实现过程在系统内核，其真实性、稳定性和可靠性远大于使用WMI或不断枚举进程的方法，同时利用Etw监视可以获得更多的信息，例如获得发起创建进程的进程ID，线程ID，创建的进程真实路径，创建进程的内核Key地址，进程命令行，结束进程等信息：

与之前帖子的区别:

• 之前的程序使用基于清单“Microsoft-Windows-Kernel-Process”进行Process创建监听，这是Etw的一个manifest事件。
• 而本程序则是使用基于MOF（Management Object Format）的“NT Kernel Logger”（经典事件）进行的进程监听，具有更加底层的优点，同时可以实现监听程序命令行、监听程序对于NtTerminateProcess的调用，这是manifest事件做不到的。

PS：

• 程序启用NT Kernel Logger事件监视必须拥有管理员权限！
• 程序启用NT Kernel Logger事件监视必须拥有管理员权限！
• 若监视程序异常退出，请务必手动停止NT Kernel Logger事件
• 若监视程序异常退出，请务必手动停止NT Kernel Logger事件

程序下载：

Etw - NT Kernel Logger - Process.e (31.07 KB, 下载次数: 263)

2022-6-15 11:17 上传

点击文件名下载附件

なす随风ぬね

感谢大佬，很给力！

sunnnyzlc

感谢大佬，很给力！

xxz123xxz

支持支持支持

bige530

程序启用NT Kernel Logger事件

小迷人啦啦啦

能不能搞个修改进程名字的

wscpf1919

监视速度太慢了，无法第一时间拦截

呼呼哈哈嘿嘿

白白嫩嫩你慢慢慢慢慢慢

jable

进来看看。。。。。

可罗米娜酱

没法用啊,提示地址无法传送

君杰

感谢大佬，很给力！