怎么监控某个 exe 在本地创建和删除文件夹的记录并恢复其快速删除的文件

› 升级到 Windows 11

This topic created in 730 days ago, the information mentioned may be changed or developed.

现在已知这个 exe 在本地运行时会创建和删除文件夹和文件。
怎么监控该 exe 程序创建和删除的文件路径及其他信息呢？
并且由于该程序创建和删除的文件是在一瞬间快速删除的，该怎么获取该程序快速删除的文件呢？
试了 process moniter 能监控，但是程序删除的文件找不到。
也试了沙盒，但是找不到被删除的文件，是我使用方式不对吗？
顺便问一下，有什么好用的工具能根据程序抓包的吗？
大部分都是抓取全部的包需要过滤

监控

删除

恢复

3 replies • 2024-07-31 11:46:59 +08:00

haoyunyinglai

Jul 30, 2024

文件行为监控的话试试 sysmon 吧，或者 osquery

tool2dx

Jul 30, 2024

写个 hook, 屏蔽 DeleteFile 这个 API 。

似乎沙盒默认也能删文件来着，只是不会污染原系统。

FaHfsy1jNwH0827v

Jul 31, 2024

对应文件夹设置删除权限为拒绝。