蘇勾伊

Joan接下來要講的是Systinternals出的Process Monitor

Process Monitor是一個可以同時監控Registry(登錄檔)與Process(執行程序)的軟體

Joan最近用它來測試準備發表的一個惡意程式阻斷器(改天有機會再介紹給同胞們認識)

因為要測病毒，花了很多時間查病毒百科

為的就是要查詢在系統程序中有沒有變更Autorun的行為

若是用Regedit觀察根本就是一項超級艱鉅的任務

另一款Systinternals的套裝軟體Autoruns也不夠詳細

所以呢！經過許老師的推薦...我就試了一下Process Monitor

發現它還挺不錯用的雖然不是"視覺派軟體"

但是很管用

Process Monitor可以設定Filter過濾暫不監控的執行程序

或是指定監控登錄檔的異動

下載：http://download.sysinternals.com/Files/ProcessMonitor.zip
官方網站：http://technet.microsoft.com/en-us/sysinternals/bb896645.aspx

工具列上有一個很像漏斗的東西，那個就是filter(過濾器)

點下去設定，一開始我是設定path(路徑)在HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce

它可以設定很多很多的filter，所以同胞們，不要怕，想要什麼，不要什麼跟他說就對了

設定好過濾器之後按Add
我的話~為了測試MB的偵測率
所以必須設定MB的偵測目標
包括HKLM及HKCU兩個機組群碼裡重點的登錄執行鍵值：

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\Run