c# - portable - sysinternals

¿Cómo funciona ProcessMonitor de SysInternal?

Question

¿Podría alguien, por favor, darme una explicación de alto nivel sobre cómo pueden monitorear cada acceso del registro?

http://technet.microsoft.com/en-us/sysinternals/bb896645

¿Suficiente detalle para poder buscar en los distintos subtemas e intentar escribir el mío? Sé que han utilizado algún tipo de inyección de API / enlace de API, pero no estoy seguro de cómo llegaron a toda la actividad del modo kernel.

Answer 1

Carga un controlador virtual en el inicio que realiza el monitoreo en un nivel bajo. Por eso no tiene que inyectar nada en otros procesos.

En http://www.decuslib.com/decus/vmslt00a/nt/filemon.htm hay una breve explicación sobre cómo funciona FileMon, uno de los predecesores de ProcMon.

Si le gusta leer el código, aquí está el código fuente de FileMon y RegMon: http://www.wasm.ru/baixado.php?mode=tool&id=283 (de http://forum.sysinternals.com/topic8038_page1.html )