病毒安全知识,电脑网络技术,手工杀毒方法,答疑解决笔记

导航

« 无法设置固定IP加密勒索软件的防范——2015回顾补充 »

Process Monitor设置Enable Boot Logging

  要让Process Monitor随开机启动记录,可以在Options中选择Enable Boot Logging,但是在WIN10下可能会遇到下面的错误提示:“Unable to weite PROCMON23.SYS.Make sure that you have permission to write to the %%SystemRoot%%\System32\Drivers directory.”中文的意思就是说不能把PROCMON23.SYS写到c:\windows]system32\drivers目录里,要求我们确认是否有写入该文件的权限。

  权限肯定是有的,只是因为PROCMON23.SYS这个文件已经在dirvers文件夹里了,它是Procmon(即Process Monitor)的驱动程序,因为它已经存在,所以无法再次释放文件进入驱动目录,就出现了那个“Unable to weite PROCMON23.SYS”的错误提示。所以有两种方法:1、强制删除。要简单地在windows里直接删除是不可能的,要么用PE启动后删除,要么试试一些强制删除工具。

Unable to weite PROCMON23.SYS

 2、另一方法是改名,在windows下直接重命名倒是可以的,我就把它改成procmon23.bak,然后再点Enable Boot Logging就可以了,等重启后,那个改名的驱动也可以在直接删除掉。

  如果Enable Boot Logging启用,那么Procmon就将在系统刚启动时就开启记录,直到关机或你手动启动procmon,默认启动记录的内容保存在windows下,文件名是Procmon.pmb,如果你手动再启动procmon,会提示你保存之前启动记录的日志。平常默认procmon是用虚拟内存来保存监控日志的,如果系统盘可用空间不大,且虚拟内存设在系统盘就可能出现一些问题,建议虚拟内存设到比较空的分区,或者直接指定一个文件名放在可用空间大的分区来保存日志。

  如果嫌日志文件越来越大,包括那个procmon.pmb,后者只能通过先关闭Enable Boot Logging再删除,而日常记录的日志文件,如果不是要求监控抓取所有的事件,比如我只要监控注册表中某个项的变动,可以添加设置过滤器,但这样是不够的,过滤器默认只是让不满足条件的不日志不显示,其它内容还是照样保存不误,所以在设置过滤后,还要在Filter菜单下选中Drop Filtered Events,这样procmon才只保存符合过滤器条件的事件,日志文件的大小就可以接受了。


>> 除非说明均为原创,如转载请注明来源于http://www.stormcn.cn/post/1740.html

  • 1楼.阿弥陀佛
  • 你每天还挤时间看记录么....
    流风33 于 2016-1-26 20:14:32 回复
    我只是想抓一些特殊的动作,结果没等我抓到它,没两天,这个启动记录就把我的C盘挤暴了,日志文件procmon.pmb高达60G!一点空间都没剩下,赶紧关了,都不让人设置个可选位置。


  • 2016-1-26 8:52:10  
  • 收藏文章:
  • 新浪微博:
  • 微信订阅号
    微信订阅

最新发表

本站出现的所有广告均不代表本人及本站观点立场 | 关于我 | 网站地图 | 联系邮箱 | 返回顶部
Copyright 2008-2016 www.stormcn.cn. All Rights Reserved. Powered By Z-Blog. 闽ICP备09000343号

闽公网安备 35010202000133号