Process Monitor软件的使用
下载地址：https://technet.microsoft.com/en-us/sysinternals/bb795534
一、常用功能：
1. 开始与停止捕获新的事件：文件——捕获事件，C+E，快捷菜单有
2. 清空窗口所有捕获的事件：编辑——清除显示，C+X，快捷菜单栏有
3. 捕获到新的事件后自动滚动：编辑——自动滚动，C+A，快捷菜单栏有
4. 设置要显示事件属性（包括这个事件发生的时间，所在进程名，动作，路径，事件的结果等），每个属性一列，右击列标签——选择列——勾5. 选要显示的事件属性。每列对应一个事件的属性
6. 设置过滤条件：过滤——过滤，C+L，快捷菜单栏有，
选择事件属性（这里的属性同右击列标签里的事件属性数量是一样的），
选择运算符(即要对这个事件属性做那种操作，运算符有：等于/不等于/小于/大于/开头是/结尾是/包含/不包含)
录入运算另一个操作数，即事件的属性等于，不等于，小于，大于多少
7. 设置高亮条件：过滤——高亮，C+H，条件设法同设置过滤条件，只是过滤的结果是只显示符合过滤条件的结果，高亮的结果是把符合条件的事件高亮显示(背景是另一种色)不符合条件的也会显示，取消高亮就是把这里的条件统统删除或重置高亮条件。
8. 工具——进程树，用以查看某个进程是那个进程运行的，如要捕获某进程和它的子进程的所有事件，就可以进程树窗口右击进程——添加进程和子进程到包含过滤器。
9. 特殊应用，选项——启用启动日志：那么下次开机会很早运行并记录，直到你下次关机或再打开该软件为止
注：右击不同列，右键菜单是不一样的，一般会有包含、排除或高亮这个列的所在的事件属性，排除这个事件前或后的所有事件
它是将filemon和regmon结合在一起的软件并添加大量功能
软件特点：
1.右击同一记录的不同属性，即在不同栏记录的属性上右击，显示的右键菜单不一样。可击可显示属性，栈，跳到不同属性位置，包括、排除、高亮、复制某属性，在线搜索进程名，排除这个事件以前/以后的记录，
2.所有包含/排除的内容，可以Filter菜单下的Filter里查看，取消，添加，删除！
3.所有高亮的内容，也可以Filter菜单下的Highlight里查看，取消，添加，删除！
工具图标：
Include Process From windos图标：拖动该图标到任一UI上，即可在PE中跳到该进程，可用以定位错误框是那个进程的。
最后五个图标：用以设置需要监控的对象，如注册表操作，文件操作，网络操作，进程和线路，进程分析这些的。选中表监控，未选中表不监控。
file菜单：
Open和Save，打开/保存监控的记录，
Backing Files用以设置监控的记录保存到虚拟内存还是文件里。
Capture Events如果勾选开始监控，不勾选即停止监控
Export/Import configuration ，导出或导入软件的配置
Edit菜单
Copy，复制当前选择一条/多条记录到剪切板，可粘贴到记事本中，不同栏右击可复制当前记录不同属性值。
Find，在已监控的记录查找某个属性值，
Find Highlight，只在高亮的记录中查找，需要先在Filter中设置高亮项
Find Bookmark，可能是只在书签中查找，需要先右击一项或多项记录——tooggle Bookmark可设置书签
Auto Scroll，是否根据监控结果自动滚动屏幕到最新监控的记录上
Clear Display，清理显示的记录，如要开始一个新的监视可先清理已监视的记录
Event菜单
Properties，显示当前记录的属性
Stack，显示栈信息
Toogle Bookmark，
Jump To 跳到注册表或文件位置，在Path栏会跳当前路径，在进程名栏会跳到进程所在目录，前光标位于不同的栏跳到位置不样
Search online，在线搜索该进程名称
include/Exclude 包含或排除某个属性
Highlight 高亮显示某个属性
Filter菜单
Enable Advanced Output，勾选表监控所有事件，如PE本身的事件，在Filter中默认过滤的事件都会监控出来。
Filter，（设置例子见最后面）这里可设置一个或多个过滤条件，该软件使用，主要看会不会设置这项过滤参数，
设置方法：
选择要过滤的属性(这里的属性和右击窗口列标签设置可以显示的列的属性是一样的)，再选择运算符，输入对该属性执行运算过滤的条件，然点Include或Exclude是要包含还是排除这个过滤条件，点添加——应用，即添加了这个过滤条件如，设置path is C:\user 即过滤所有路径是C:\user的事件。
过滤的运算符：（is是/is not不是/less than小于/more than大于/begins with开头是/ends with结尾是/contains包含/excludes不包含）
注：这里添加的多条不同属性过滤事件是“And”关系，同一属性的过滤事件是OR的关系。
Reset Filter，重置过滤设置即恢复默认过滤，
Load Filter, 载入某个过滤配置，需要先保存的有过滤配置
Save Filter，保存当前过滤配置为一个文件，需要时可载入
Organize Filters， 组织过滤，可重命名，导入或导出已保存的过滤信息
Drop Filtered Events，只按设置过滤条件监控，其它的丢弃。
Highlight，同过滤功能一样，只是这里是设置高亮的内容而不是过滤的内容
Tools菜单
System Details，系统属性，用以查看电脑名，系统版本，系统目录位置，CPU，内存，32还是64位
Process Tree，查看系统进程树，这里可以设置包含某进程或进程树
Process Activity Summary，进程活动概要
File Summary，文件概要
Registry Summary，注册操作概要
Stack Summary， 栈概要
Network Summary，网络活动概要
Cross Reference Summary， …………
Count Occurrences，某项事件出的事件，如监控事件里某个路径出现的次数，某个注册表位置出现次数
Options菜单
Always on Top ，使窗口总显示在最上面
Font ，设置显示的字体，字号，需要重启软件生效
Highlight Colors ，设置高亮的颜色，
Configure Symbols，配置符号对框用以指定一个源文件的路径，再右击事件——stack下在源将可用、
Select Columns ，设置要显示事件那些属性，也就是那些栏，右击属性栏也可设置
History Depth， 用于设置默认保存多少条记录，以百万为单位，超过的被清空
Profiling Events，形成线程的分析日志
Enable Boot Logging ，勾选监控系统的启动过程，会在重启时加载驱动，监控结果会保存在system32下
Show Resolved Network Addresses，显示解决网络地址…………
1.只监控某个进程/排除不监控的进程
右击需要监控的进程——Include“进程名” // 挨个右击不需要监控的进程——Exclude“进程名”
2.显示所有进程活动
点工具的filter——Reset——OK
3.监控某个路径（Path is C:\user\administrator\appdata）
点Filter菜单下的filter，添加Path is C:\user\administrator\appdata的过滤条件
4.监控对某类文件如dll的调用（如，dll)
点Filter菜单下的filter，添加Path Contains .dll的过滤条件
5.监控某个有问题的文件（如，1.dll）
点Filter菜单下的filter，添加Path Contains C:\user\administrator\download\1.dll的过滤条件