监视Windows访问的文件

Question

有没有办法挂钩到Windows API来查看操作系统访问的所有文件？

Answer 1

不，没有用户模式API来执行此操作。

如果你真的需要这个，你必须编写一个伪设备驱动程序，它成为内核中I / O堆栈的一部分，这绝对不适合胆小的人。这就是Process Monitor的工作原理;它从自己的EXE中提取代码并动态加载它作为设备驱动程序（当然，这需要管理员权限）。