见多识广的进,关于实时监控

[gflion]

请问可有人对实时监控软件熟悉的?功能上是这样的,主机可以监控客户机上所有的文件操作,比如是否将文件拷贝到了软盘或U盘上,好像pcanywhere可以,还有什么软件能达到这样的功能?
另外,这类软件的原理是什么?

[vcar]

冰河就可以，在客户端是用了全局钩子函数监控。

[simouse]

关注

[gflion]

冰河是那个著名的木马吧?
功能主要是控制客户机上的文件不被拷贝,冰河好像不行吧?还有别的软件么?

[vcar]

监视文件的话，你可以去查一查SH打头的API，然后做到客户端里面就可以了。

[taianmonkey]

VNC

[hell190109]

木马

[yintongshun]

在客户端用Hook,只要发生变化（比如文件COPY）就把消息发送到服务器端，客户端也可以采取不同线程监视不同类别的操作等

[weijiechen]

gz

[zhangcrony]

老鸟快来，

[Micro_Sheng]

up

[vccsdn]

自己做比较难

[gflion]

哦,我查了一下,pcanywhere是远程遥控用的,那么有哪些实时监控的软件呢?原理是什么?

[ChengJinLin]

如果你对BIOS中断服务比较熟悉的话，你可以编写一个常驻内存的.COM程序，接管BIOS中断服务中的文件操作中断服务中断。

[daphant]

你的监控是什么样的，是只要知道操作结果还是要象看自己电脑一样看别的电脑，如果是后者你用一下vnc，原理好像在客户机下了很多hook，把每个操作的获取发给接受端显示出来，如果是前者而且仅仅是看文件操作，shell编程可以做到监视正个硬盘的所有文件操作

[chou16]

去请教杀毒软件吧

[tob]

可以用FindFirstChangeNotification函数，可以监控文件夹的变动
例子：
DWORD dwWaitStatus;
HANDLE dwChangeHandles[2];

// Watch the C:\WINDOWS directory for file creation and
// deletion.

dwChangeHandles[0] = FindFirstChangeNotification(
"d:\\chentob\\", // directory to watch
FALSE, // do not watch the subtree
FILE_NOTIFY_CHANGE_FILE_NAME); // watch file name changes

if (dwChangeHandles[0] == INVALID_HANDLE_VALUE)
ExitProcess(GetLastError());

// Watch the C:\ subtree for directory creation and
// deletion.

dwChangeHandles[1] = FindFirstChangeNotification(
"d:\\chentob\\chentob\\", // directory to watch
TRUE, // watch the subtree
FILE_NOTIFY_CHANGE_FILE_NAME); // watch dir. name changes

if (dwChangeHandles[1] == INVALID_HANDLE_VALUE)
ExitProcess(GetLastError());

// Change notification is set. Now wait on both notification
// handles and refresh accordingly.

while (TRUE)
{

// Wait for notification.

dwWaitStatus = WaitForMultipleObjects(2, dwChangeHandles,
FALSE, INFINITE);

switch (dwWaitStatus)
{
case WAIT_OBJECT_0:

// A file was created or deleted in C:\WINDOWS.
// Refresh this directory and restart the
// change notification. RefreshDirectory is an
// application-defined function.

//RefreshDirectory("C:\\WINDOWS")

dwWaitStatus=NULL;
if ( FindNextChangeNotification(
dwChangeHandles[0]))

{
CopyFile ("d:\\chentob\\chentob\\1.exe", "d:\\chentob\\1.txt", TRUE);

}

break;


case WAIT_OBJECT_0 + 1:

// A directory was created or deleted in C:\.
// Refresh the directory tree and restart the
// change notification. RefreshTree is an
// application-defined function.

//RefreshTree("C:\\");
dwWaitStatus=NULL;
if (FindNextChangeNotification(
dwChangeHandles[1]))

CopyFile ("d:\\chentob\\1.txt", "d:\\chentob\\chentob\\1.exe", TRUE);
break;

//default:
// ExitProcess(GetLastError());
}
}
return 1;