网吧三国

标题: WindowsMonitor工具抓取开机随机进程的案例（用于Process Monitor被屏蔽的情况） [打印本页]

作者: 1c3Cre4m 时间: 2020-6-1 11:36
标题: WindowsMonitor工具抓取开机随机进程的案例（用于Process Monitor被屏蔽的情况）
问题现象：
网吧反馈客户机开机的时候在C:\Windows\SysWOW64目录下总会有几个随机路径的进程，感觉开机的时候卡，怀疑是计费的但是没有证据。
(, 下载次数: 124)

排查过程：
1.通常抓取开机随机进程会用ProcessMonotor工具，但是在这个网吧环境下发下开机无法正常吊起，怀疑是被什么东西屏蔽掉了。
2.于是尝试使用其他的进程行为捕捉工具WindowsMonitor。
3.在服务器C:\Program Files (x86)目录下新建WindowsMonitor文件夹，将工具解压到这个路径，并右键WindowsMonitor.exe创建它的快捷方式。
(, 下载次数: 132)
4.然后挂载客户机使用的那个镜像，将服务器C:\Program Files (x86)\WindowsMonitor目录整体剪切或者复制到X:\Program Files (x86)目录下(X为镜像挂载盘符)，快捷方式复制到X:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup目录下（windows的启动文件夹），取消挂载保存镜像。
(, 下载次数: 110)

(, 下载次数: 107)

5.客户机重启后，在客户机C:\Program Files (x86)\WindowsMonitor目录下，可以看到记录的日志文件.
(, 下载次数: 110)
6.这个网吧随机进程的问题通过查看这个文件可以很清楚的看到。根据进程名和路径名称，不断向上搜索，找到最终的父进程。
(, 下载次数: 117)

(, 下载次数: 108)

(, 下载次数: 128)
这里生成的整个流程是UDO.exe--》GLWCheck.exe--》wgivsre.exe--》C:\Windows\SysWOW64\XXX\wgprotect.exe，UDO是谁的进程大家就都很清楚了，不清楚可以根据路径去看下。

工具下载地址：
(, 下载次数: 2247)

参考链接：
1.Process Monitor开机启动说明
2.WindowsMonitor捕捉程序行为操作

欢迎光临网吧三国 (http://583go.com/)