Question

Windows是否有拦截用户/组操作的机制，例如创建/删除，成员资格更改？

Google和stackoverflow尚未给出答案。反转到netapi32！NetUserAdd等也没有提供任何内容。

Answer 1

Windows不提供提供该功能的拦截机制，但您可以使用appropriate Win32 APIs或任何其他框架（或您自己的实现）挂钩Detours。截获后，您可以根据需要过滤和转发功能。

Answer 2

只是一些用于拦截用户创建的VBScript代码。你可以在C ++ / C＃/无论如何重写它。

sub set_intercept()
    set wmi = GetObject("winmgmts:\\.\root\cimv2")
    set sink = WScript.CreateObject("WbemScripting.SWbemSink", "SINK_")
    wmi.ExecNotificationQueryAsync sink, "SELECT * FROM __InstanceCreationEvent WITHIN 1 WHERE TargetInstance ISA 'Win32_Account'"
end sub 

sub SINK_OnObjectReady(obj, context)
    WScript.Echo "User was created"
end sub

set_intercept()

Windows：如何拦截用户/组的操作？

2 个答案: