17、深入了解 Process Monitor：功能、使用与分析

深入了解 Process Monitor：功能、使用与分析

1. Process Monitor 简介

Process Monitor（Procmon）是一款强大的系统监控工具，它能与 ProcDump 结合，将系统事件与异常、CPU 波动、异常内存消耗、无响应窗口、调试输出等关联起来。由于短时间内会发生大量操作，Procmon 提供了强大且灵活的过滤、高亮和书签功能，方便用户快速找到关注的事件。此外，它可以通过批处理文件和命令行参数进行脚本化操作，数据还能保存到文件中，以便在其他系统上后续查看和分析。

Procmon 于 2006 年首次发布，取代了 Filemon 和 Regmon 这两个原始的 Sysinternals 工具。Filemon 用于捕获文件系统活动信息，Regmon 用于捕获注册表信息，但它们在收集更多数据时性能会下降，且过滤功能有限。而 Procmon 是全新编写的，能提供文件、注册表和进程/线程活动等的统一视图，捕获更详细的信息，性能影响更小，还具备开机时间日志记录、无损过滤、保留所有捕获数据的日志文件格式以及用于注入调试输出的 API 等功能。目前，Procmon 可在 Windows XP 及更高版本（x86 和 x64）以及 Windows Server 2003 及更高版本上运行。

2. 开始使用 Procmon

由于 Procmon 需要加载内核驱动来捕获事件，所以需要管理员权限，包括加载和卸载设备驱动的权限。在 Windows Vista 及更高版本中，如果从非提升权限的进程（如 Explorer）启动 Procmon，Windows 会自动提示进行用户账户控制（UAC）提升。在 Windows XP 或 Windows