使用 Process Monitor 监控注册表（排查系统设置被修改）

小渣渣

需求：Windows 电脑的系统频繁被关闭，运行一段时间系统代理设置就被关闭，不知道是哪个进程搞的鬼，使用 Process Monito 来排查问题。

Process Monitor

Process Monitor是一款适用于 Windows 的高级监控工具，可实时显示文件系统、注册表和进程/线程活动。它融合了 Sysinternals 两款经典工具Filemon和 Regmon的功能，并新增了诸多增强功能，包括丰富且无损的过滤、全面的事件属性（例如会话 ID 和用户名）、可靠的进程信息、包含每个操作集成符号支持的完整线程堆栈、同时记录到文件等等。其强大而独特的功能将使 Process Monitor 成为您系统故障排除和恶意软件猎杀工具包中的核心工具。

下载地址：超链接登录可见。
直接下载：超链接登录可见。

监控注册表

思路：系统代理被频繁关闭，首先要修改 Software\Microsoft\Windows\CurrentVersion\Internet Settings 节点下的值，然后调用 wininet.dll 函数来触发，我们也就是可以监控是哪个进程在修改注册表内容。

解压 ProcessMonitor.zip 压缩包，用管理员身份运行 Procmon64.exe 程序。快捷键如下：

• Ctrl + E 开始和暂停抓包；
• Ctrl + L 打开过滤器；
• Ctrl + X 清空数据；
  

打开过滤器，配置如下：

Path -> contains -> Software\Microsoft\Windows\CurrentVersion\Internet Settings
Operation -> is -> RegSetValue

如下图：



点击 OK 确定，然后开始抓包，使用 c# 程序来模拟修改系统代理配置，参考如下：

使用 .NET/C# 设置系统 IE 代理
https://www.itsvse.com/thread-9495-1-1.html

可以看到成功抓到修改系统代理的进程，如下图：