文件修改监视（再次更新20110210）

恶意代码

回复 38楼 hx1997 的帖子

呵呵，你好好努力喔
我也是最近做的决定，我得学好一些，不然以后的工作怎么办

liulangzhecgr

天月来了 发表于 2011-2-6 21:21
我试了，感觉那个修改了一大堆shell32.dll文件象是访问了shell32.dll的意思。

程序访问（读取？！）文件！应该排除才行啊！要不怎么用它监控
修改文件是如修改日期，创建日期等等的元数据的修改。。。---引用
可我没有找到修改日期，创建日期，md5值的变化！

hx1997

回复 42楼 liulangzhecgr 的帖子

呼，找到了~看看这里   http://msdn.microsoft.com/en-us/library/aa365465(v=vs.85).aspx
文件修改包括：文件、目录名修改，文件属性修改，文件大小修改，最后修改时间变动，最后访问时间变动，创建时间变动， 文件安全描述符修改

hx1997

回复 41楼 恶意代码 的帖子

谢谢
加油~早日回来

hx1997

我来啦
可惜恶意代码童鞋不更新了
提两个建议
1.建议把程序自己记日志的行为过滤掉，不然每一步行为都会附带一个“修改save.txt”
2.发现一个奇怪的不知道算不算bug的东东，就是如果把“修改”行为过滤掉，而不过滤“其它”的话，所有修改行为还是会记录下来，只不过事件类型变成了“其它”......

下面这一份日志说明了上面两个问题：
其它        13:1:1        G:\Documents and Settings\All Users.WINDOWS\Application Data\ESET\ESET Smart Security\Logs\epfwlog.dat
其它        13:1:2        G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\save.txt
其它        13:1:3        G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\save.txt
其它        13:1:4        G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\save.txt
其它        13:1:5        G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\save.txt
其它        13:1:6        G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\save.txt
其它        13:1:7        G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\save.txt
其它        13:1:8        G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\save.txt

cxfc

谢谢LZ更新了。。下载

恶意代码

回复 45楼 hx1997 的帖子

日志存放的目录不能是监视目录，否则就是你出现的这个问题了

hx1997

回复 47楼 恶意代码 的帖子

总觉得不好看
那就看看第二个建议吧......

恶意代码

回复 48楼 hx1997 的帖子

呵呵，已经修改好了，之前判断的代码写得不太好，谢谢你

hx1997

回复 49楼 恶意代码 的帖子

不客气