Procmon如何在64位Vista +上运行？

Question

我了解旧版Procmon及其前辈（filemon，regmon等）使用虚拟驱动来挂钩内核。但是，Patchguard可防止64位Vista +上的SSDT挂钩等。

据我了解，Procmon现在使用一个微型过滤器驱动程序进行文件IO监控和ETW进行联网监控。但是，我不清楚它如何监视注册表访问和进程/映像/线程事件？它也使用ETW吗？

Answer 1

存在用于在内核监测支持（因为XP）一堆回调：

• 注册表 - >http://msdn.microsoft.com/en-us/library/windows/hardware/ff545879(v=vs.85).aspx

• 过程/图像/线程通知 - PsSetCreateProcessNotifyRoutineEx/PsSetLoadImageNotifyRoutine/PsSetCreateThreadNotifyRoutine - >http://msdn.microsoft.com/en-us/library/windows/hardware/ff559917(v=vs.85).aspx

• 手柄监控的对象管理器回调 - >http://msdn.microsoft.com/en-us/library/windows/hardware/ff558692(v=vs.85).aspx

对xp有一些限制，但自从vista以来，它们功能完整。无需为任何监控活动修补任何内部表格。