windbg脚本实践1----监控特定文件创建 删除 读写
2014-11-23 12:14
477 查看
windbg脚本方便灵活,但是语法古怪,使用的人不多。windbg扩展功能强大,但是使用的人也很少。抛砖引玉吧。
此脚本可以监控到
a 任意时机 开关机时刻 (挂shutdown 删文件 或者开机挂回调特定时刻删文件)
b 任意底层穿透驱动 bapidrv tsyskit kisapi pchunter 对文件进行的删除 创建 粉碎等敏感操作
此脚本可以监控到
a 任意时机 开关机时刻 (挂shutdown 删文件 或者开机挂回调特定时刻删文件)
b 任意底层穿透驱动 bapidrv tsyskit kisapi pchunter 对文件进行的删除 创建 粉碎等敏感操作
$$***************************************************************** $$ Script by kms_hhl to monitor file create read write delete and show call stack $$ Create Time 2014_11 $$ Execute by $$><D:\BaiduYunTongBu\百度云同步盘\windbg_sc\1sc_file_monitor.txt $$***************************************************************** bp Ntfs!NtfsFsdSetInformation" r $t0=poi(poi(poi(esp+8)+64)+34) as /mu $FileNameA $t0 .block { .if ($spat(\" ${$FileNameA} \",\" *virus.dll* \")) { .echo found the pattern .echo $FileNameA ad * } .else { .echo not found the pattern .echo ' $FileNameA ' ad * gc } }" bp Ntfs!NtfsSetRenameInfo" r $t1=poi(poi(poi(esp+c)+64)+34) as /mu $FileNameB $t1 .block { .if ($spat(\" ${$FileNameB} \",\" *virus.dll* \")) { .echo found the pattern .echo $FileNameB ad * } .else { .echo not found the pattern .echo ' $FileNameB ' ad * gc } }" bp Ntfs!NtfsSetDispositionInfo" r $t2=poi(poi(poi(esp+c)+64)+34) as /mu $FileNameC $t2 .block { .if ($spat(\" ${$FileNameC} \",\" *virus.dll* \")) { .echo found the pattern .echo $FileNameC ad * } .else { .echo not found the pattern .echo ' $FileNameC ' ad * gc } }"
相关文章推荐
- windbg脚本实践2----监控特定注册表键值创建和删除
- windbg脚本实践3----监控特定进程创建
- PHP目录与文件操作技巧总结(创建,删除,遍历,读写,修改等)
- Bash小脚本--批量删除特定文件
- 库函数文件,创建、打开、读写、删除、操作实现
- Python脚本批量删除特定后缀名的文件
- linux 监控文件的创建删除更改
- 人生第一份python脚本 ---- 遍历文件夹中文件,删除特定文件中的一行代码
- Python(18):对文件的操作(读写、创建、拷贝、移动、删除)
- Android遍历特定目录下所有文件,包含子目录的, 并删除最新创建的
- Python 脚本 批量删除目录下文件的特定内容
- 文件创建、删除、重名名文件、判断文件的读写权限以及是否存在,设置和查询文件的最近修改时间
- 文件的创建删除读写操作
- C#文件监控对象FileSystemWatcher实例,文件创建,修改,删除,重命名等
- 【监控文件夹并将增加和删除的文件列表发送邮件完美脚本】-未来星开发开发团队
- [BAT]win7下用批处理脚本自动删除7天以前创建的文件
- 老大让我学Linux之练笔作业:过时文件删除脚本,日志监控程序
- 【Python脚本】Python创建删除文件-----------我的第一个Python脚本
- C#进行文件读写、创建、复制、移动、删除的方法
- shell脚本汇总 2 删除创建时间超过32天的文件