17、深入了解 Process Monitor：功能、使用与分析

深入了解 Process Monitor：功能、使用与分析

1. Process Monitor 简介

Process Monitor（Procmon）是一款强大的工具，它能与 ProcDump 结合，将系统事件与异常、CPU 波动、异常内存消耗、无响应窗口、调试输出等关联起来。由于短时间内可能发生数百万个操作，Procmon 提供了强大而灵活的过滤、高亮显示和书签功能，方便用户快速找到感兴趣的事件。它可以通过批处理文件使用命令行参数进行脚本编写，数据也能保存到文件中，便于后续在其他系统上查看和分析。

Procmon 于 2006 年首次发布，取代了 Filemon 和 Regmon 这两个原始工具。Filemon 用于捕获文件系统活动信息，Regmon 用于捕获注册表信息，但它们在收集更多数据时性能会下降，过滤功能也有限。而 Procmon 是全新编写的，能提供对所有文件、注册表和进程/线程活动的统一视图，捕获的细节更多，扩展性更好，对性能的影响也更小。此外，Procmon 还提供了启动时日志记录、无损过滤、保留所有捕获数据的日志文件格式以及用于将调试输出注入捕获的 API 等功能。

Procmon 可在 Windows XP 及更高版本的 x86 和 x64 系统，以及 Windows Server 2003 及更高版本上运行。

2. 开始使用 Procmon

2.1 权限要求

由于 Procmon 需要加载内核驱动，因此捕获事件需要管理员权限，包括加载和卸载设备驱动的权限。
- 在 Windows Vista 及更高版本中，如果从非提升权限的进程（如资源管理器）启动 Procmon，Windows