在Windows中,如何在C中跟踪子进程读取和写入哪些文件？

原文

我的目标是确定何时执行命令，准确地读取和写入哪些文件。在linux中，我可以使用ptrace(工作，类似于strace)以及freebsd和macos这样做，我可以使用ktrace系统命令来执行此操作。在Windows中获取此信息将会用什么？

我的研究到目前为止表明我使用调试器界面(类似于ptrace在许多方面)或ETW。第三种方法是插入一个DLL来截取系统调用。不幸的是，我没有经验来猜测这些方法将会如何挑战。

有什么建议么？

正如你所建议的，这是一个非常简单的任务，可以使用DLL注入API Hooking来解决。

这是一篇关于应用程序的相当不错的文章：http://www.codeproject.com/Articles/2082/API-hooking-revealed

我相信你可以找到更多有关这个问题的文章。

但是，您可能需要使用C来实现这样一个实用程序。顺便说一句，程序可以禁用dll注入，例如我不能在Photoshop的试用版上使用这种方法。

所以，在开始编写自己的文件之前，您可能需要检查是否可以在现有解决方案中注入dll。

祝你好运。

在Windows中,如何在C中跟踪子进程读取和写入哪些文件？的更多相关文章

  1. ios8 – iOS 8上的ptrace

    我试图在ptrace上调用一个像thisptrace一样的函数;但是当我尝试使用#include导入它时,Xcode会给我一个错误’sys/ptrace.h’文件找不到.我错过了什么,我是否需要导入一个库,或者这在iOS上根本不可用？

  2. iOS安全防护系列之ptrace反调试与汇编调用系统方法详解

    这篇文章主要给大家介绍了关于iOS安全防护系列之ptrace反调试与汇编调用系统方法的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧

  3. 如何针对DLL劫持来检测我的.NET应用程序？

    我们有一个带注册扩展的.NET3.5应用程序.我们如何保护它免受DLL劫持攻击？

  4. .net – 在发布时突然没有复制引用的程序集(DLL)

    在Web项目发布期间,我遇到了一个引用库(ServiceStack.Ormlite)部署的奇怪问题.它工作正常,直到上周左右,现在突然一些ServiceStackDLL在项目从VisualStudio或msbuild发布到本地文件系统,FTP或WebDeploy时没有被复制.Ormlite引用通过nuget添加到类lib项目中.类lib项目引用被添加到主WebApp项目中.当我发布WebApp项目

  5. 强制Windows在某些位置加载DLL,以便内存碎片最小化

    >或者有没有办法告诉Windows(通过清单文件？)不散布DLL.当然,最好的解决方案是我可以在应用程序的清单文件中影响的解决方案,因为我依赖于Windows自动/动态加载DLL.我的应用程序是混合模式应用程序,尽管应用程序的主要部分是不受管理的.有人建议吗？

  6. 为Windows开发人员构建开源库DLL的最佳方法是什么？

    在Linux上进行交叉编译？我更喜欢从SVN存储库中完全自动化的东西.我不认为cygwin是一个解决方案,因为这似乎没有提供Windows开发人员需要的东西,据我所知,问题–链接和DLL.您可以尝试使用MSYS的Mingw,使用SUA的VisualStudio或Cygwin来编译基于automake/autoconf的程序.不幸的是,他们创建的lib文件通常与其他编译器不兼容,因此如果您希望您的库使用使用VisualStudio开发的应用程序,那么您应该使用VSC方法.通常很多GNU项目实际上也有VC兼容

  7. 我应该签署我的DLL吗？

    我有一个CWindows应用程序.我签署了我们的安装程序和我的可执行文件,但我目前没有签署我的DLL.签署这些也不是什么大不了的事,但有人可以解释一下这样做的好处吗？例如,如果所有依赖项都已签名,我的程序是否会与AV或防火墙软件有任何不同？

  8. .net – 在64位Win上缺少dll

    我有一个.net应用程序,它使用一些vc编译的Win32dll.它在32位Win上工作得很好,但在64位上存在一个问题：“无法加载DLL’xyz’：找不到指定的模块.”使用依赖walker我发现它错过了以下dll：MSVCP100.DLL,MSVCR100.DLL,GDIPLUS.DLL,GPSVC.DLL,IESHims.DLL如何将它们安装到我的64位Win？注意,我的项目是为x86平台编译的,它是从ProgramFiles文件夹作为32位应用程序运行的.我的dll在VisualStudio2010中

  9. .net – DLL被标记为DELETEPENDING

    我在我的一个Windows机器上运行应用程序时遇到问题.我无法在其他类似的Windows机器上复制它,它刚刚开始发生.这是情况：>使用VisualStudio,我可以构建我编写的应用程序.它构建了一个可执行文件：Application.exe,我可以在其bin/Debug目录中看到这个可执行文件以及我知道该应用程序所依赖的所有DLL,包括Microsoft.Windows.Azure.Config

  10. 如何安装COM DLL的32位和64位版本并“自动选择”？

    我们有一个DLL,可以在32位和64位编译,但DLL使用相同的CLSID和AppID32位版本和64位版本.这可以,还是必须改变？它是一个C#应用程序,它包含对我们的COM服务器DLL的引用,如下所示：{C1FADEA6-68FD-4F43-9FC2-0BC451FA5D53}83000tlbimpFalse如果事实证明我们需要一个单独的64位CLSID,我们如何在VisualStudio中“仅针对32位配置”进行此引用？

随机推荐

  1. static – 在页面之间共享数据的最佳实践

    我想知道在UWP的页面之间发送像’selectedItem’等变量的最佳做法是什么？创建一个每个页面都知道的静态全局变量类是一个好主意吗？

  2. .net – 为Windows窗体控件提供百分比宽度/高度

    WindowsForm开发的新手,但在Web开发方面经验丰富.有没有办法为Windows窗体控件指定百分比宽度/高度,以便在用户调整窗口大小时扩展/缩小？当窗口调整大小时,可以编写代码来改变控件的宽度/高度,但我希望有更好的方法,比如在HTML/CSS中.在那儿？

  3. 使用Windows Azure查询表存储数据

    我需要使用特定帐户吗？>将应用程序部署到Azure服务后,如何查询数据？GoogleAppEngine有一个数据查看器/查询工具,Azure有类似的东西吗？>您可以看到的sqlExpressintance仅在开发结构中,并且一旦您表示没有等效,所以请小心使用它.>您可以尝试使用Linqpad查询表格.看看JamieThomson的thispost.

  4. windows – SetupDiGetClassDevs是否与文档中的设备实例ID一起使用？

    有没有更好的方法可以使用DBT_DEVICEARRIVAL事件中的数据获取设备的更多信息？您似乎必须指定DIGCF_ALLCLASSES标志以查找与给定设备实例ID匹配的所有类,或者指定ClassGuid并使用DIGCF_DEFAULT标志.这对我有用：带输出：

  5. Windows Live ID是OpenID提供商吗？

    不,WindowsLiveID不是OpenID提供商.他们使用专有协议.自从他们的“测试版”期结束以来,他们从未宣布计划继续它.

  6. 如果我在代码中进行了更改,是否需要重新安装Windows服务？

    我写了一个Windows服务并安装它.现在我对代码进行了一些更改并重新构建了解决方案.我还应该重新安装服务吗？不,只需停止它,替换文件,然后重新启动它.

  7. 带有双引号的字符串回显使用Windows批处理输出文件

    我正在尝试使用Windows批处理文件重写配置文件.我循环遍历文件的行并查找我想要用指定的新行替换的行.我有一个’函数’将行写入文件问题是％Text％是一个嵌入双引号的字符串.然后失败了.可能还有其他角色也会导致失败.如何才能使用配置文件中的所有文本？尝试将所有“在文本中替换为^”.^是转义字符,因此“将被视为常规字符你可以尝试以下方法：其他可能导致错误的字符是：

  8. .net – 将控制台应用程序转换为服务？

    我正在寻找不同的优势/劣势,将我们长期使用的控制台应用程序转换为Windows服务.我们为ActiveMQ使用了一个叫做java服务包装器的东西,我相信人们告诉我你可以用它包装任何东西.这并不是说你应该用它包装任何东西;我们遇到了这个问题.控制台应用程序是一个.NET控制台应用程序,默认情况下会将大量信息记录到控制台,尽管这是可配置的.任何推荐？我们应该在VisualStudio中将其重建为服务吗？我使用“-install”/“-uninstall”开关执行此操作.例如,seehere.

  9. windows – 捕获外部程序的STDOUT和STDERR *同时*它正在执行(Ruby)

    哦,我在Windows上:-(实际上,它比我想象的要简单,这看起来很完美：…是的,它适用于Windows！

  10. windows – 当我试图批量打印变量时,为什么我得到“Echo is on”

    我想要执行一个简单的批处理文件脚本：当我在XP中运行时,它给了我预期的输出,但是当我在Vista或Windows7中运行它时,我在尝试打印值时得到“EchoisOn”.以下是程序的输出：摆脱集合表达式中的空格.等号(=)的两侧可以并且应该没有空格BTW：我通常在@echo关闭的情况下启动所有批处理文件,并以@echo结束它们,所以我可以避免将代码与批处理文件的输出混合.它只是使您的批处理文件输出更好,更清洁.

返回
顶部