Procmon：用法介绍

一、介绍

Procmon是一款Windows系统下的实用工具，用于监视系统上正在运行的进程以及文件和注册表的访问情况。它可以为开发人员和系统管理员提供一个强大的调试工具。Procmon支持高度过滤以帮助捕获有趣的事件，支持自动保存未来分析，并可以从保存的结果文件中进行筛选或导出。

二、下载及使用

Procmon可以从microsoft官方网站下载获得。下载后，可以直接解压缩并使用。


/* 代码示例 */
#include 
#include 

int main()
{
    printf("Hello, Procmon!");
    return 0;
}

启动Procmon之后，我们可以看到一个简单直观的界面。主菜单栏包含三大类操作：文件、编辑和查看。底部的状态栏显示当前筛选条件和统计信息。

三、监视进程行为

Procmon可以监视系统上所有正在运行的进程，可以获取进程的相关信息，如进程创建时间、执行命令及其参数、进程退出等。同时，可以显示进程对文件、注册表的访问情况。


/* 代码示例 */
#include 
#include 

int main()
{
    HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, GetCurrentProcessId());
    if (hProcess == NULL)
    {
        printf("OpenProcess failed.\n");
        return -1;
    }

    printf("Process handle is %p\n", hProcess);
    CloseHandle(hProcess);

    return 0;
}

通过监视进程行为，开发人员和系统管理员可以找到与进程相关的问题，诊断和解决潜在的问题。

四、监视文件访问

Procmon可以捕获并显示文件和目录的访问，例如读取文件、写入文件、删除文件等。可以通过过滤器选择特定的文件访问操作以及文件扩展名、文件路径或文件名。


/* 代码示例 */
#include 

int main()
{
    FILE* fp = fopen("test.txt", "r");
    if (fp == NULL)
    {
        printf("Failed to open file.\n");
        return -1;
    }

    char buffer[1024];
    while (fgets(buffer, 1024, fp))
    {
        printf("%s", buffer);
    }

    fclose(fp);

    return 0;
}

通过监视文件访问情况，可以快速诊断程序访问文件的问题，并且可以避免文件访问冲突问题。

五、监视注册表访问

Procmon可以监视注册表的读取、写入、创建和删除操作，也可以监视注册表中某个键值的更改。可以通过名字、值的数据类型、路径和内容查找特定的注册表项。


/* 代码示例 */
#include 
#include 

int main()
{
    HKEY hKey;
    DWORD dwDisposition;

    LONG lResult = RegCreateKeyEx(HKEY_CURRENT_USER, "Software\\test", 0, NULL, REG_OPTION_NON_VOLATILE, KEY_ALL_ACCESS, NULL, &hKey, &dwDisposition);
    if (lResult != ERROR_SUCCESS)
    {
        printf("Failed to create registry key.\n");
        return -1;
    }

    RegCloseKey(hKey);

    return 0;
}

通过监视注册表访问情况，可以找到程序对注册表的读取和写入问题，并且避免注册表的冲突问题。