Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 
(연관된 글이 7개 있습니다.)

실행된 프로세스(EXE)의 명령행 인자를 확인하고 싶다면 - Sysmon

근래에 나온 sysinternals의 새로운 도구가 바로 Sysmon입니다. ^^

Sysinternals New Tool Sysmon (System Monitor)
; http://www.darkoperator.com/blog/2014/8/8/sysinternals-sysmon

물론, 마이크로소프트로부터 다운로드할 수 있고.

Sysmon v1.0
; https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon

명령행 도움말이 제공되지만,

Usage:

Install:    Sysmon.exe -i [-h [sha1|md5|sha256]] [-n]
Configure:  Sysmon.exe -c [[-h [sha1|md5|sha256]] [-n]|--]
Uninstall:  Sysmon.exe -u

-c Update configuration of an installed Sysmon driver or dump the current configuration if no other argument is provided. 
-h Specify the hash algorithm used for image identification (default is SHA1). 
-i Install service and driver. 
-m Install the event manifest (done on service install as well). 
-n Log network connections. 
-u Uninstall service and driver. 

그냥 간단하게 다음과 같이 실행해서 서비스 설치를 할 수 있습니다.

sysmon -i -accepteula

그럼 NT 서비스로 늘 실행하는 형태로 등록됩니다.

sysmon_test_1.png

이후로 실행되는 모든 EXE 프로세스는 명령행 정보와 함께 이벤트 로그의 "Event Viewer" / "Applications and Services Logs" / "Microsoft" / "Windows" 하위에 있는 "Sysmon" 폴더에 기록됩니다.

가령, 다음은 그 한 예입니다.

Log Name:      Microsoft-Windows-Sysmon/Operational
Source:        Microsoft-Windows-Sysmon
Date:          2014-08-16 오후 4:46:35
Event ID:      1
Task Category: (1)
Level:         Information
Keywords:      
User:          SYSTEM
Computer:      TESTPC2
Description:
Process Create
Event Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Sysmon" Guid="{5770385F-C22A-43E0-BF4C-06F5698FFBD9}" />
    <EventID>1</EventID>
    <Version>2</Version>
    <Level>4</Level>
    <Task>1</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8000000000000000</Keywords>
    <TimeCreated SystemTime="2014-08-16T07:46:35.553829500Z" />
    <EventRecordID>21</EventRecordID>
    <Correlation />
    <Execution ProcessID="14896" ThreadID="10820" />
    <Channel>Microsoft-Windows-Sysmon/Operational</Channel>
    <Computer>TESTPC2</Computer>
    <Security UserID="S-1-5-18" />
  </System>
  <EventData>
    <Data Name="UtcTime">2014-08-16 오전 7:46</Data>
    <Data Name="ProcessGuid">{00000000-695B-53EC-0000-0010F8037708}</Data>
    <Data Name="ProcessId">9264</Data>
    <Data Name="Image">C:\Program Files (x86)\Microsoft SDKs\Windows\v7.1A\bin\rc.exe</Data>
    <Data Name="CommandLine">"C:\Program Files (x86)\Microsoft SDKs\Windows\v7.1A\bin\rc.exe" /D _DEBUG /D _WINRES_COMPILE /D _USING_V110_SDK71_ /D _UNICODE /D UNICODE /l0x0409 /IDebug\ /v /foDebug\TestApp.res TestApp.rc</Data>
    <Data Name="User">TESTPC2\TestUser</Data>
    <Data Name="LogonId">0x57389</Data>
    <Data Name="TerminalSessionId">1</Data>
    <Data Name="IntegrityLevel">Medium</Data>
    <Data Name="HashType">SHA1</Data>
    <Data Name="Hash">CA1BE77C3DE643909A8999E3FBFC2EC91EBD07EA</Data>
    <Data Name="ParentProcessGuid">{00000000-695B-53EC-0000-0010C4027708}</Data>
    <Data Name="ParentProcessId">8072</Data>
    <Data Name="ParentImage">C:\Program Files (x86)\MSBuild\12.0\bin\Tracker.exe</Data>
    <Data Name="ParentCommandLine">"C:\Program Files (x86)\MSBuild\12.0\bin\Tracker.exe" @"C:\Users\...\AppData\Local\Temp\tmp05760d77f1134cae8e78bc199ac2e639.tmp" /c "C:\Program Files (x86)\Microsoft SDKs\Windows\v7.1A\bin\rc.exe"  /D _DEBUG /D _WINRES_COMPILE /D _USING_V110_SDK71_ /D _UNICODE /D UNICODE /l"0x0409" /IDebug\ /v /fo"Debug\TestApp.res" TestApp.rc</Data>
  </EventData>
</Event>

보시는 바와 같이, 꽤나 흥미로운 정보가 2가지 있습니다. 바로 해당 프로세스의 명령행과 그것을 실행시킨 부모 프로세스의 명령행 정보입니다.

기존의 "Process Explorer"에서는 현재 실행 중인 응용 프로그램에 대해서만 명령행 정보를 확인할 수 있었는데, sysmon을 이용하면 반짝하고 실행이 금방 종료되는 경우에도 가능해졌다는 차이가 있습니다. ^^




참고로, 위의 예제에서 든 rc.exe 컴파일의 경우 비주얼 스튜디오의 Output 창에서 명령행 정보를 확인하는 방법이 있는데요. "TOOLS" / "Options" 메뉴에서 "Projects and Solutions" / "Build and Run" 범주의 "MSBuild project build output verbosity" 항목을 "Detailed"로 설정해 주고,

sysmon_test_2.png

해당 Visual C++ 프로젝 속성 창에서 역시 "Configuration Properties" / "Resources" / "General" 범주로 이동해 "Show Progress" 옵션을 켜두면,

sysmon_test_2.png

이후의 컴파일에서 rc.exe 실행 및 그것의 명령행 정보까지 모두 Output 창에서 확인할 수 있습니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 7/3/2024]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 



2014-10-02 05시37분
[유수석] 오... 좋은 정보네요...
굿굿
[guest]
2014-10-03 05시15분
기존 툴 유지/보수하는 것도 바쁠 텐데, 이렇게 새로운 것도 만들어 내는 거 보면 대단한 것 같습니다. ^^
정성태
2022-07-03 10시12분
sysmon 이벤트 로그를 긁어 부모/자식 프로세스를 쉽게 파악할 수 있도록 보여주는 ps1 스크립트입니다. ^^

PSBits/DFIR/GetSysmonTree.ps1
; https://github.com/gtworek/PSBits/blob/master/DFIR/GetSysmonTree.ps1
정성태
2022-08-17 09시02분
정성태

... 166  167  168  169  170  171  172  173  174  175  176  177  178  [179]  180  ...
NoWriterDateCnt.TitleFile(s)
544정성태11/25/200723455오류 유형: 48. VS.NET 2008 설치 오류 - Error code 1602 [5]
543정성태11/25/200726501개발 환경 구성: 31. ROBOCOPY XP026 버전 [1]
542정성태11/3/200741560VS.NET IDE: 55. XML/XSLT로 구현하는 매크로 확장 [5]파일 다운로드2
538정성태10/11/200727897스크립트: 10. VBScript - "Sub를 호출할 때는 괄호를 사용할 수 없습니다." [2]
537정성태9/28/200736627개발 환경 구성: 30. 64비트 OS에서의 ChartFX 라이선스 문제
536정성태9/12/200733617.NET Framework: 97. WCF : netTcpBinding에서의 각종 Timeout 값 설명 [11]
535정성태9/11/200730974.NET Framework: 96. WCF - PerSession에서의 클라이언트 연결 관리 [5]
534정성태9/3/200726622개발 환경 구성: 29. VHD 파일 크기 줄이기
533정성태9/2/200729188개발 환경 구성: 28. CA 서비스 - 사용자 정의 템플릿 유형 추가
532정성태9/2/200731582개발 환경 구성: 27. AD CA에서 Code Signing 인증서 유형 추가 방법
531정성태9/2/200727411.NET Framework: 95. WCF에서의 DataTable 사용
530정성태9/1/200723860.NET Framework: 94. WCF 예외에 대한 시행착오
529정성태8/31/200726859.NET Framework: 93. WCF - DataContract와 KnownType 특성 [1]
528정성태8/30/200721368오류 유형: 47. VPC - 네트워크 어댑터 MAC 주소 중복 오류
527정성태8/30/200731632Team Foundation Server: 20. 잠긴 파일을 강제로 해제 [2]
526정성태8/29/200721435오류 유형: 46. VS.NET 2008 - ASP.NET 디버깅 : Strong name validation failed.
525정성태8/27/200723615VS.NET IDE: 54. VS.NET 2008 - 새롭게 도입되는 XSD Schema Designer
524정성태8/23/200741244오류 유형: 45. 요청한 작업은, 사용자가 매핑한 구역이 열려 있는...
523정성태8/16/200723881VS.NET IDE: 53. VS.NET 2008 - 서비스 참조 시 기존 데이터 컨테이너 DLL 사용
522정성태8/13/200727506VS.NET IDE: 52. VS.NET 2008 - WCF를 위한 디버깅 환경 개선
521정성태8/8/200727432.NET Framework: 92. XmlSerializer 생성자의 실행 속도를 올리는 방법 - 두 번째 이야기 [3]
520정성태8/7/200722663VS.NET IDE: 51. Visual Studio 2008 베타 2 설치
519정성태7/27/200729028오류 유형: 44. System.BadImageFormatException [2]
518정성태7/26/200730093오류 유형: 43. System.ComponentModel.LicenseException [1]
517정성태7/19/200718341개발 환경 구성: 26. VPC - 일반 사용자 계정으로 구동
516정성태7/19/200721572오류 유형: 42. TFS - Error loading menu: Index was outside the bounds of the array [2]
... 166  167  168  169  170  171  172  173  174  175  176  177  178  [179]  180  ...