开启辅助访问 切换到宽版

精易论坛

 找回密码
 注册

QQ登录

只需一步,快速开始

用微信号发送消息登录论坛

新人指南 邀请好友注册 - 我关注人的新帖 教你赚取精币 - 每日签到


求职/招聘- 论坛接单- 开发者大厅

论坛版规 总版规 - 建议/投诉 - 应聘版主 - 精华帖总集 积分说明 - 禁言标准 - 有奖举报

查看: 6538|回复: 98
收起左侧

[易源码分享] 【Etw系列】使用NT Kernel Logger监听系统进程创建结束详细信息

[复制链接]
发表于 2022-6-15 11:17:38 | 显示全部楼层 |阅读模式   北京市北京市
分享源码
界面截图:
是否带模块: 纯源码
备注说明: -

Etw系列:

更多:

  • Etw监视进程创建是一种底层的监视方法,其实现过程在系统内核,其真实性、稳定性和可靠性远大于使用WMI或不断枚举进程的方法,同时利用Etw监视可以获得更多的信息,例如获得发起创建进程的进程ID,线程ID,创建的进程真实路径,创建进程的内核Key地址,进程命令行,结束进程等信息:

与之前帖子的区别:

  • 之前的程序使用基于清单“Microsoft-Windows-Kernel-Process”进行Process创建监听,这是Etw的一个manifest事件。
  • 而本程序则是使用基于MOF(Management Object Format)的“NT Kernel Logger”(经典事件)进行的进程监听,具有更加底层的优点,同时可以实现监听程序命令行、监听程序对于NtTerminateProcess的调用,这是manifest事件做不到的。

PS:

  • 程序启用NT Kernel Logger事件监视必须拥有管理员权限!
  • 程序启用NT Kernel Logger事件监视必须拥有管理员权限!
  • 若监视程序异常退出,请务必手动停止NT Kernel Logger事件
  • 若监视程序异常退出,请务必手动停止NT Kernel Logger事件

程序下载:


Etw - NT Kernel Logger - Process.e (31.07 KB, 下载次数: 222)

评分

参与人数 7好评 +7 精币 +15 收起 理由
易语言资源网 + 1 + 3 开源精神必须支持~
fjgh + 1 + 2 支持开源~!感谢分享
飞宇 + 1 + 1 我也想知道如何拦截并修改程序的启动命令行
勾栏听曲 + 1 + 2 感谢发布原创作品,精易因你更精彩!
Kyu + 1 + 1 我也想知道如何拦截并修改程序的启动命令行
外星人群控 + 1 + 3 大佬666,有办法修改被监视的程序启动命令行参数吗?
Bszk + 1 + 3 新技能已get√

查看全部评分


结帖率:50% (2/4)
发表于 2023-6-27 11:47:39 高大上手机用户 | 显示全部楼层   广东省河源市
支持支持支持
回复 支持 反对

使用道具 举报

签到天数: 24 天

发表于 2023-2-13 19:52:09 | 显示全部楼层   山东省枣庄市
程序启用NT Kernel Logger事件
回复 支持 反对

使用道具 举报

签到天数: 4 天

发表于 2023-2-11 18:33:18 | 显示全部楼层   江西省宜春市
能不能搞个修改进程名字的
回复 支持 反对

使用道具 举报

结帖率:38% (3/8)

签到天数: 25 天

发表于 2023-2-9 11:02:25 | 显示全部楼层   广东省揭阳市
监视速度太慢了,无法第一时间拦截
回复 支持 反对

使用道具 举报

发表于 2022-12-4 18:58:42 高大上手机用户 | 显示全部楼层   吉林省长春市
白白嫩嫩你慢慢慢慢慢慢
回复 支持 反对

使用道具 举报

发表于 2022-10-22 21:30:21 | 显示全部楼层   江苏省苏州市
进来看看。。。。。
回复 支持 反对

使用道具 举报

结帖率:100% (2/2)

签到天数: 10 天

发表于 2022-9-12 10:20:46 | 显示全部楼层   广东省佛山市
没法用啊,提示地址无法传送
回复 支持 反对

使用道具 举报

结帖率:100% (1/1)

签到天数: 25 天

发表于 2022-9-1 07:30:32 | 显示全部楼层   广东省揭阳市
感谢大佬,很给力!
回复 支持 反对

使用道具 举报

结帖率:0% (0/1)

签到天数: 3 天

发表于 2022-7-10 01:53:00 | 显示全部楼层   湖北省荆州市
感谢大佬,很给力!
回复 支持 反对

使用道具 举报

结帖率:65% (28/43)

签到天数: 5 天

发表于 2022-6-22 00:34:46 | 显示全部楼层   广西壮族自治区南宁市
11111111111111
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册

本版积分规则 致发广告者

发布主题 收藏帖子 返回列表

sitemap| 易语言源码| 易语言教程| 易语言论坛| 诚聘英才| 易语言模块| 手机版| 广告投放| 精易论坛
拒绝任何人以任何形式在本论坛发表与中华人民共和国法律相抵触的言论,本站内容均为会员发表,并不代表精易立场!
论坛帖子内容仅用于技术交流学习和研究的目的,严禁用于非法目的,否则造成一切后果自负!如帖子内容侵害到你的权益,请联系我们!
防范网络诈骗,远离网络犯罪 违法和不良信息举报电话0663-3422125,QQ: 800073686,邮箱:800073686@b.qq.com
Powered by Discuz! X3.4 揭阳市揭东区精易科技有限公司 ( 粤ICP备12094385号-1) 粤公网安备 44522102000125 增值电信业务经营许可证 粤B2-20192173

快速回复 返回顶部 返回列表