怎么监控某个 exe 在本地创建和删除文件夹的记录并恢复其快速删除的文件

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› 升级到 Windows 11

这是一个创建于 101 天前的主题，其中的信息可能已经有所发展或是发生改变。

现在已知这个 exe 在本地运行时会创建和删除文件夹和文件。
怎么监控该 exe 程序创建和删除的文件路径及其他信息呢？
并且由于该程序创建和删除的文件是在一瞬间快速删除的，该怎么获取该程序快速删除的文件呢？
试了 process moniter 能监控，但是程序删除的文件找不到。
也试了沙盒，但是找不到被删除的文件，是我使用方式不对吗？
顺便问一下，有什么好用的工具能根据程序抓包的吗？
大部分都是抓取全部的包需要过滤

3 条回复 • 2024-07-31 11:46:59 +08:00

daxin945

101 天前

文件行为监控的话试试 sysmon 吧，或者 osquery

tool2dx

101 天前

写个 hook, 屏蔽 DeleteFile 这个 API 。

似乎沙盒默认也能删文件来着，只是不会污染原系统。

dpx

100 天前

对应文件夹设置删除权限为拒绝。