win10 下能查看一个文件是由什么软件创建的吗？或者有什么软件可以监控创建的行为？

[yunshui]

由来:https://www.v2ex.com/t/614171

因为最近被托盘闪烁的双 11 广告烦到了，好多办法都没有找到源头。
今天突然在 Roaming 文件夹发现了那个托盘广告的图标。

[imn1]

process monitor

https://docs.microsoft.com/en-us/sysinternals/
这里有很多很实用的“小”工具

[likuku]

或许你可以搜索研究下 审计系统

[ungrown]

这类工具还是挺多的
我说几个我知道的
inotify （移植版，没用过，应该能用）
pypi 上有个叫 watchdog 的库
火绒有监控文件夹的功能

[eq06]

1 文件系统中的文件并没有记录哪个进程创建的字段，但是可以捕获 IO，来实时监控哪个进程在对哪个文件进行创建修改查询删除
2 托盘区闪的话，可以用工具来查看对应进程 https://www.raymond.cc/blog/find-out-what-program-are-running-at-windows-system-tray/ ； 也可以点击后让它弹窗，然后用 ProcessExplorer 定位窗口资源对应进程。

[crab]

看广告的父进程 id 就可以追踪到了。

[yunshui]

@crab 父进程是 svchost.exe

[FrankHB]

@yunshui 搞成服务了？ Process Explorer 或者 Process Hacker 之类的增强版任务管理器进程属性里找启动命令行，sc delete 一窝端了。

[nnnToTnnn]

inline hook , hook window 创建文件的文件头？ 好久没玩了，不知道 win10 上是否还支持 inline hook

[harrison0124]

表示自从装上火绒之后，各种弹窗都不见了，双十一彷佛和我没关系。

[karlakte]

process monitor 捕获系统 IO 可以按文件路径筛选

[z888888cn]

火绒的自定义防护，可以设置。

<img src="https://ae01.alicdn.com/kf/H00eb716a29094c28bcbe1287c2f2e9afZ.png" width="500"/>

<img src="https://ae01.alicdn.com/kf/He651d0c3cf8d48c68adfb016d1a41b3aH.png" width="500"/>

[yunshui]

@FrankHB 这个是只能它启动的时候才行吧？？

[yunshui]

@z888888cn 主要也不知道是哪个程序，目前能查到的就是 windows 下一个组件。。。

[z888888cn]

@yunshui 那么纠结干嘛，哪个软件弹出的广告，就去搜索无广告的安装上呗。

[FrankHB]

@yunshui 大部分情况下正常的程序从命令行就能看出是怎么启动的了。如果非要套娃几次让你看不出是哪个特异来源，那明确就是恶意程序，不放心就全系统排查杀到每个进程都认识吧。。

[Mashirobest]

我来挖个坟。目前也遇到了和楼主一样的问题，在 Roaming 里面找到了图标，父进程也是系统里面的服务，但是完全不知道如何下手。想问问楼主解决了问题没

[yunshui]

@Mashirobest
解决了。。。当时火绒的工作人员远程给我解决的

[Mashirobest]

@yunshui 啊？那请问你还记得大概处理方法吗？我现在快被这个弹窗烦死了，广告拦截都没用

[yunshui]

@Mashirobest 我就大概记得是远程给我关了启动项和计划任务里的项目（可能还关了其他项目），你看看有没有奇怪的项目

[Mashirobest]

@yunshui 谢谢楼主，已经解决了。换了卡巴斯基，发现是捆绑了广告的木马，而且是在内存里。之前的防毒软件一直没发现，这次用卡巴彻底 kill 掉了