ProcMon - 捕获来自网络的传入文件访问

Question

我目前正在使用 procmon 来解决涉及网络文件的问题。本地网络上的另一台PC将小的“命令”文件写入目标机器，然后目标机器使用它们——即它们被读取、操作和删除。

还有另一个文件，目标计算机每秒更新一次并由其他网络计算机读取。

运行一段时间后，网络计算机将无法访问它们从目标计算机读取的文件。文件被永久锁定 - 主机无法再更新它（共享冲突）。该问题似乎与 MsMpEng.exe（Microsoft Security Essentials）在命令文件首次出现时尝试获取命令文件有关，但我想将发生的情况与传入请求相关联。Procmon 似乎没有显示这些。

ProcMon 是否可以配置为捕获网络计算机对本地文件系统的访问？它是否与默认添加到新过滤器中的神秘排除块有关？

Answer 1

来自 Windows 内部

默认情况下，Procmon 以基本模式启动，并省略显示某些文件系统操作，包括

• I/O 到 NTFS 元数据文件
• 分页文件的 I/O
• 系统进程产生的I/O
• 由 Process Monitor 进程生成的 I/O。

要捕获来自网络的传入文件访问，您需要查看系统进程生成的 I/O。为了能够查看该内容，请使用菜单将 Procmon 切换到高级模式Filter -> Enable Advanced Output。