学校机房一开机就改时间，可有工具可以监视是哪个进程修改的？

wkl17

学校机房一开机就改时间，可有工具可以监视是哪个进程修改的？

事实 上 我已经用 Sysinternals 的 procmon.exe 找出了其中几个进程，但当时对procmon使用还不太熟悉（主要是捕获的数据太多，过滤不好过滤），可能有漏了进程。不过不太想折腾了，因为又要重新来一次，很费时间。
所以想知道是否有什么进程 可以直接监视到 是哪个进程 修改了时间？
感觉是从 教师服务端 发送的命令 过来修改学生机的时间的。每次都会修改为2011年的时间，以此来维持软件激活状态。唉。


＝＝＝＝＝＝＝＝＝＝＝＝＝
@echo off
title 同步时间 by wkl17 @ 2015.10.22
echo 同步时间 by wkl17 @ 2015.10.22
set i=1
:syncTime
taskkill /im run.exe /f
if exist "C:\Program Files\OsEasy\LGClient\Run.exe" ren "C:\Program Files\OsEasy\LGClient\Run.exe" OldRun.exe
taskkill /im runex.exe /f
if exist "C:\Program Files\OsEasy\AMClient\RunEx.exe" ren "C:\Program Files\OsEasy\AMClient\RunEx.exe" OldRunEx.exe
taskkill /im ProtectEx.exe /f
if exist "C:\Program Files\OsEasy\AMClient\ProtectEx.exe" ren "C:\Program Files\OsEasy\AMClient\ProtectEx.exe" OldProtectEx.exe
taskkill /im Protect.exe /f
if exist "C:\Program Files\OsEasy\LGClient\Protect.exe" ren "C:\Program Files\OsEasy\LGClient\Protect.exe" OldProtect.exe
if exist "C:\Program Files\OsEasy\" ren "C:\Program Files\OsEasy" Old.OsEasy
if exist "C:\Program Files\GoldenSoft\LanStar 7.0" ren "C:\Program Files\GoldenSoft\LanStar 7.0" "Old.LanStar 7.0"
start /min "" time2.exe
ping 127.0.0.1 -n 15 >nul
start /min "" time2.exe
ping 127.0.0.1 -n 15 >nul
taskkill /im time2.exe /f
::ping 127.0.0.1 -n 60 >nul
::set /a i+=1
::if %i% LSS 100 goto syncTime
exit

wkl17

这些软件真是无语啊，修改时间 好像是N个进程 来改的，N管齐下。我靠……

qdlfk2

不是主板电池没电了？

zhuyu2zhuyu

你看一下时间同步服务器地址填写的是什么，可能是本地部署时间服务器了。

jinfu

可以防止修改时间，但检测的话就有点困难，

yjwfdc

看批处理是用 time2.exe改时间，不断检查，如果没改成功就再运行一次time2.exe,直到永远。

有条命令是可以从其它电脑对时的，我忘记了，如果他是用这个方式，那就是系统进程改的时间。

如果想对时可以用我签名的软件，可以自动也可以手动对时，不知道你想怎样。

wkl17

yjwfdc 发表于 2016-1-4 15:48
看批处理是用 time2.exe改时间，不断检查，如果没改成功就再运行一次time2.exe,直到永远。

有条命令是可 ...

已经搞定了，用ProcessMonitor或火绒监控一下就能揪出来了

shugint

请问 怎么用火绒来看，求操作方法啊！

hez2010

shugint 发表于 2016-2-3 12:30
请问 怎么用火绒来看，求操作方法啊！

火绒剑