备案控制台
探索云世界
开发者社区 开发与运维 文章 正文

微软轻量级系统监控工具sysmon原理与实现完全分析（上篇）

2018-08-22 2062
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 作者：浪子_三少 Sysmon是微软的一款轻量级的系统监控工具，最开始是由Sysinternals开发的，后来Sysinternals被微软收购，现在属于Sysinternals系列工具。它通过系统服务和驱动程序实现记录进程创建、文件访问以及网络信息的记录，并把相关的信息写入并展示在windows的日志事件里。经常有安全人员使用这款工具去记录并分析系统进程的活动来识别恶意或者异常活动。而本文讨论

作者：浪子_三少

Sysmon是微软的一款轻量级的系统监控工具，最开始是由Sysinternals开发的，后来Sysinternals被微软收购，现在属于Sysinternals系列工具。它通过系统服务和驱动程序实现记录进程创建、文件访问以及网络信息的记录，并把相关的信息写入并展示在windows的日志事件里。经常有安全人员使用这款工具去记录并分析系统进程的活动来识别恶意或者异常活动。而本文讨论不是如何去使用该工具，而是讲解该软件的原理与实现。

本文对Sysmon分两部分

1.ring3层的exe，

2. Flt的minifilter

下面开始上篇的讲解，ring3实现对网络数据记录以及对驱动返回的数据进行解析，而驱动部分则返回进程相关的信息以及进程访问文件注册表的数据给ring3，我们首选讲解ring3的实现原理。

Sysmon的ring3执行原理

  1. 判断当前操作系统是否是64位，如果是就执行64位的sysmon

t016e59c1fed8cf1196.png

动态获取IsWow64Process的函数地址，然后调用IsWow64Process函数，判断当前是否是wow64，如果是就执行SysmonLunchIsAmd64(),进入SysmonLunchIsAmd64函数

t0114d6e537c26d18d9.png

通过GetNativeSystemInfo函数判断当前SystemInfo.wProcessorArchitecture != PROCESSOR_ARCHITECTURE_AMD64的值

 t01f0ae5d4737f9c5be.png

如果是PROCESSOR_ARCHITECTURE_AMD64则释放资源节中id = 1001的资源到当前进程的所在目录，这是一个内嵌在资源里的64位版本的sysmon的exe，释放完毕后，就开始执行这个64的Sysmon。下面就是Symon的64位资源图

t011ae2a4829dda7f5e.png

t01a62899fd86661514.png

本文还是主要以32位的sysmon来讲解，我们继续往下讲解

  1. 参数的检查

t012e57c1a86312ea62.png

接下来sysmon会对参数进行检查，检查是否config、configuration、h、–nologon、？、help，非这些参数后，然后会接着解析具体的参数，根据参数是否加载规则。

AAffA0nNPuCLAAAAAElFTkSuQmCC

我们看SysmonAnalyzeInitArgv函数具体看看sysmon有哪些参数，

AAffA0nNPuCLAAAAAElFTkSuQmCC

g_commandLine里固定存贮所有的sysmon参数，这里大概只列举出一部分，Install、i、Uninstall、Configuration、c、u、Manifest、m、DebugMode、nologo、AcceptEula、ConfigDefault、HashAlgorithms、NetworkConnect、ImageLoad、l、DriverName、ProcessAccess、CheckRevocation、PipeMonitoring等等。

AAffA0nNPuCLAAAAAElFTkSuQmCC

如果是相应的参数就继续往下执行相应的动作。

AAffA0nNPuCLAAAAAElFTkSuQmCC

通过检测参数sha、sha-1、md5、md-5、sha、sha256、imphash、imp-hash计算当前使用何种hash算法

t019c935832581b0b1a.png

Sha：  1算法 、Md5： 2算法、sha：3算法、imphash：4算法

接下来会加载内置在exe 内的Sysmonschema.xml

t01bc2c1995d1f76260.png

t01dfcb29ae78ab0fec.png

Sysmonschema.xml的configuration规定了一些进程参数的说明，而events描述说明一些记录信息事件，比如

<event name="SYSMON_CREATE_PROCESS" value="1" level="Informational" template="Process Create" rulename="ProcessCreate" ruledefault="include" version="5">

      <data name="UtcTime" inType="win:UnicodeString" outType="xs:string" />

      <data name="ProcessGuid" inType="win:GUID" />

      <data name="ProcessId" inType="win:UInt32" outType="win:PID" />

      <data name="Image" inType="win:UnicodeString" outType="xs:string" />

      <data name="FileVersion" inType="win:UnicodeString" outType="xs:string" />

      <data name="Description" inType="win:UnicodeString" outType="xs:string" />

      <data name="Product" inType="win:UnicodeString" outType="xs:string" />

      <data name="Company" inType="win:UnicodeString" outType="xs:string" />

      <data name="CommandLine" inType="win:UnicodeString" outType="xs:string" />

      <data name="CurrentDirectory" inType="win:UnicodeString" outType="xs:string" />

      <data name="User" inType="win:UnicodeString" outType="xs:string" />

      <data name="LogonGuid" inType="win:GUID" />

      <data name="LogonId" inType="win:HexInt64" />

      <data name="TerminalSessionId" inType="win:UInt32" />

      <data name="IntegrityLevel" inType="win:UnicodeString" outType="xs:string" />

      <data name="Hashes" inType="win:UnicodeString" outType="xs:string" />

      <data name="ParentProcessGuid" inType="win:GUID" />

      <data name="ParentProcessId" inType="win:UInt32" outType="win:PID" />

      <data name="ParentImage" inType="win:UnicodeString" outType="xs:string" />

      <data name="ParentCommandLine" inType="win:UnicodeString" outType="xs:string" />

</event>

就说明了SYSMON_CREATE_PROCESS创建进程上报信息的一些数据内容及说明。

如果参数是PrintSchemat01b68368dfe9b022d7.png

则解析并获取Sysmonschema的version，然后打印Sysmonschema的信息

t01d8d3102671e69b3d.png

AAffA0nNPuCLAAAAAElFTkSuQmCC

  1. 注册日志记录事件

AAffA0nNPuCLAAAAAElFTkSuQmCC

t01bba82555bf233e26.png

Sysmon接着会通过EventRegister()函数注册一个GUID为{5770385F-C22A-43E0-BF4C-06F5698FFBD9}的日志事件。然后sysmon会通过系统的wevtutil.exe的程序去注册该GUID的系统日志trace类。

t01d23f7186242dc078.jpg

获取系统是否存在Microsoft-Windows-Sysmon的trace类，如果没有就加载exe资源中“SYSMONMAN”的资源到内存，然后释放写入系统临时目录下的文件名MANXXXX.tmp文件里

t01c99d90eb9c9478d6.png

该文件是定义{5770385F-C22A-43E0-BF4C-06F5698FFBD9}的Microsoft-Windows-Sysmon的trace事件的provider，用于sysmon的后续数据解析。

t0162e9315e4a47ce26.jpg

t01541cd404cdd64a13.jpg

最后调用系统的”wevtutil.exe im MANXXXX.tmp”去注册安装事件类

t011891fd21c029fd7c.jpg

  1. 安装minifilter驱动

t012bf24f9a80dc1750.png

释放资源文件为1002的到系统目录Tmp/Sysmon.sys，资源1002文件是个pe文件，实际上是sysmon的文件注册表监控驱动。

t01a338f46b78296350.png

接下来继续就是安装这个驱动

t01fdf4ced3e0ca68be.png

t019f8285a1a2d27016.png

Sysmon还会设置minifilter驱动的Altitude值为385201

t0115d9e973451841a0.png

最后开启驱动服务

t01dc8d92d43344415d.png

往驱动发送IO控制码： 0x8340008（该控制码是给驱动更新配置规则）

t017aea96c14e0a749b.png

以上过程是大致的安装与启动的过程，接下来就是执行Sysmon服务的SysmonServiceMain例程。

t01563fd590a939b036.png

t0178ebcc7f7379dc49.png

下面开始执行取数据的工作了。

第一步： 文件进程注册表的事件监控t0172a064b4e0b76db3.png

通过发送IO控制码: 0x83400000，打开文件驱动功能，接着sysmon会开启一个线程从驱动获取监控数据，通过发送IO控制码 ：0x83400004，去反复获取

t013511588c1cf4b520.png

每隔500毫秒发送一次获取数据，堆大小0x400000,获取了数据后，则开始解析这raw data，这个raw数据的首四个字节是表示数据类型

Typedef struct _Sysmon_Raw_Data

{

  ULONG DataType;

} Sysmon_Raw_Data;

Case 1: 上报进程创建

ReportEventWriteEvent((int)&v147, (unsigned __int16 *)&g_CreateProcess, (int)v1, v17);

Case 2: 文件时间改变

ReportEventWriteEvent((int)&v147, (unsigned __int16 *)&g_CreateFileTime, (int)v1, v30);

Case 3：进程关闭

ReportEventWriteEvent((int)&v147, (unsigned __int16 *)&g_TerminateProcess, (int)v1, 0);

Case 5： 加载镜像

ReportEventWriteEvent((int)&v146, & g_ImageLoad, (int)v1, v50);

Case 7：创建远程线程

ReportEventWriteEvent((int)&v146, (unsigned __int16 *)&g_CreateRemoteThread, (int)v1, 0);

Case 8：文件读

ReportEventWriteEvent((int)&v146, (unsigned __int16 *)&g_FileRead, (int)v1, 0);

Case 9：访问进程

ReportEventWriteEvent((int)&v146, (unsigned __int16 *)&g_ProcessAccess, (int)v1, 0);

Case 10： 文件创建

ReportEventWriteEvent((int)&v146, (unsigned __int16 *)&g_FileCreate, (int)v1, v32);

Case 11：文件流事件

ReportEventWriteEvent((int)&v146, (unsigned __int16 *)&g_FileStreamCreate, (int)v1, v35);

Case 12：注册表相关的事件

t0165ba4f9cff3283cf.png

Case 13：管道类事件

t01b4e4c7d0bb514362.png

第二步：网络链接事件的监控

Sysmon还会创建一个ETW事件去监控网络连接的访问事件

t018fe053f00b538019.png

Net Trace 名：L”SYSMON TRACE”; 或者使用系统的L”NT Kernel Logger”;

方法参考微软官方实例：https://docs.microsoft.com/en-us/windows/desktop/etw/configuring-and-starting-the-nt-kernel-logger-session

t010329b4a1d8b8c594.png

事件回调EventCallBack()接受数据

t015f4248b59ea8f4ed.png

在解析数据时使用的是WMI Mof的方法来解析

t015552459344d47b61.png

AAffA0nNPuCLAAAAAElFTkSuQmCC

可以参考微软的官方例子：

https://docs.microsoft.com/en-us/windows/desktop/etw/retrieving-event-data-using-mof

第三步：接受上报数据写入windows的Application日志

在第二部中我们可以看到通过ReportEventWriteEvent函数上报信息，在ReportEventWriteEvent函数里分两种情况系统API上报

t0139f8c2a823f9e974.png

通过ReportEvent或者EventWrite 两个其中一个API上报，而上报的事件IDD 类都是前面我们看到的Sysmon自己注册到系统的里<provider name=”Microsoft-Windows-Sysmon” guid=”{5770385F-C22A-43E0-BF4C-06F5698FFBD9}” symbol=”SYSMON_PROVIDER” resourceFileName=”%filename%” messageFileName=”%filename%”>

                            <events>的Microsoft-Windows-Sysmon事件代理，这个会生成到windows日志的Application项目下，具体会使用哪个API是根据windows的版本来选择的

AAffA0nNPuCLAAAAAElFTkSuQmCC

这里可以看到如果操作系统主版本，如果是vista之前的操作系统使用ReportEvent，如果是vista以及以上操作系统则使用EventWrite函数。

Sysmon记录上报了数据源通过注册的WMIEvent的wmi数据持久化过滤事件去过滤不会被记录的事件，我们下面看它如何实现的。

t01c749708f71f7ca5e.png

在之前的服务启动入口有一个函数RegisterWmiEvent，该函数就是注册过滤WmiEvent的函数，我们继续往下看

t01ebad2a5c2c955f5e.png

函数开头会创建实例IDD_WebCImv，class Id: IID_IWbemLocatorGUID2

<0dc12a687h,0737fh,011cfh,088h,04dh,000h,0aah,000h,04bh,02eh,024h>

链接”ROOT\\Subscription”的服务

接着创建Stub插口

t017d8ca9751e3711d0.png

g_WMIListenerEvent接口类型是IWbemObjectSink,其定义如下

MIDL_INTERFACE("7c857801-7381-11cf-884d-00aa004b2e24")

    IWbemObjectSink : public IUnknown

    {

    public:

        virtual HRESULT STDMETHODCALLTYPE Indicate(

            /* [in] */ long lObjectCount,

            /* [size_is][in] */ __RPC__in_ecount_full(lObjectCount) IWbemClassObject **apObjArray) = 0;

        virtual HRESULT STDMETHODCALLTYPE SetStatus(

            /* [in] */ long lFlags,

            /* [in] */ HRESULT hResult,

            /* [unique][in] */ __RPC__in_opt BSTR strParam,

            /* [unique][in] */ __RPC__in_opt IWbemClassObject *pObjParam) = 0;

    };

t010b4bb9b53751dc2e.png

然后执行

"SELECT * FROM __InstanceOperationEvent WITHIN  5  WHERE TargetInstance ISA '__EventConsumer' OR Tar"

                        "getInstance ISA '__EventFilter' OR TargetInstance ISA '__FilterToConsumerBinding'"

g_WmiSubscriptProxy->lpVtbl->ExecNotificationQueryAsync(

           g_WmiSubscriptProxy,

           strQueryLanguage,

           strQuery,

           128,

           0,

           (IWbemObjectSink *)g_pIWebmObjectSink);

去设置WMiEvent的过滤事件，操作类型是所有操作InstanceOperationEvent，设置三种事件

EventConsumer’、EventFilter’、FilterToConsumerBinding’，查询时间是5秒一次，这样就注册了。

下面我们看g_WMIListenerEvent结构

t019468180ebc661d5b.png

过滤事件就是在Indicate函数中实现，会通过IWbemClassObject** 数组的形式输入，函数内会枚举数据，如果是要过滤的数据则循环枚举否则中断枚举。

t01e2dde211b6efa5ad.png

至此第一篇对sysmon的ring3的大致原理流程我们分析完毕，通过对它分析，学习它的实现过程，可以自己完成实现一个sysmon（还有驱动部分第二篇讲解），当然也可以绕过sysmon的监控，这就需要读者自己去研究与发现，第二篇我会讲解驱动部分的分析。

文章标签：
日志服务
云解析DNS
监控
Windows
算法
API
相关实践学习
日志服务之使用Nginx模式采集日志
本文介绍如何通过日志服务控制台创建Nginx模式的Logtail配置快速采集Nginx日志并进行多维度分析。
浪子三少
目录
相关文章
慕枫技术笔记
|
存储 数据采集 人工智能
如何设计一个监控平台（上篇）
在大型分布式微服务场景下，各个服务版本快速迭代，各类业务规模不断膨胀，同时监控的场景也在不断的发生变化，线上故障随时可能发生，各个平台错综复杂，如何保证线上服务稳定运行，同时提升运维效率，降低运维成本成了监控平台的挑战。
慕枫技术笔记
913 0
如何设计一个监控平台（上篇）
请看我回答~
|
28天前
|
监控 Java Android开发
构建高效Android应用：从内存管理到性能优化
【2月更文挑战第30天】 在移动开发领域，打造一个流畅且响应迅速的Android应用是每个开发者追求的目标。本文将深入探讨如何通过有效的内存管理和细致的性能调优来提升应用效率。我们将从分析内存泄露的根本原因出发，讨论垃圾回收机制，并探索多种内存优化策略。接着，文中将介绍多线程编程的最佳实践和UI渲染的关键技巧。最后，我们将通过一系列实用的性能测试工具和方法，帮助开发者监控、定位并解决性能瓶颈。这些技术的综合运用，将指导读者构建出更快速、更稳定、用户体验更佳的Android应用。
请看我回答~
19 1
东方睿赢
|
3月前
请解释鸿蒙操作系统的分布式能力是如何实现的。
请解释鸿蒙操作系统的分布式能力是如何实现的。
东方睿赢
51 1
myysophia
|
9月前
|
网络协议 测试技术 Linux
三十六、Linux性能优化实战学习笔记-套路篇：怎么评估系统的网络性能？
三十六、Linux性能优化实战学习笔记-套路篇：怎么评估系统的网络性能？
myysophia
148 0
myysophia
|
9月前
|
缓存 固态存储 Ubuntu
十七、Linux性能优化实战学习笔记-如何利用系统缓存优化程序的运行效率？
Buffer 和Cache 的设计目的，是为了提升系统的 I/O 性能。它们利用内存，充当起慢速磁盘与快速CPU 之间的桥梁，可以加速 I/O 的访问速度。
myysophia
181 0
candytong
|
10月前
|
缓存 JSON 前端开发
腾讯开源的 hel 提供了加载远程模块的能力，谈谈它的实现原理
腾讯开源的 hel 提供了加载远程模块的能力，谈谈它的实现原理
candytong
151 0
天行无忌
|
Web App开发 运维 监控
再谈前端性能监控及4个最佳工具分享
对于大多数开发人员而言，监控应用程序的性能并不是一个陌生的概念。在某些情况下，我们必须自己进行一些性能调试。通常，当出现影响用户体验或影响成本的大问题时，就需要去监控应用程序的性能。同时我们也需要话时间去查看应用在不同场景下的表现情况。
天行无忌
726 0
再谈前端性能监控及4个最佳工具分享
浪子三少
|
监控
微软轻量级系统监控工具sysmon原理与实现完全分析（下篇）
上文讲解了sysmon的ring3部分实现原理，本文则开始讲解ring0部分。Sysmon的ring0是一个minifilter类型的驱动，内部实现了进程信息、文件访问信息以及注册表访问信息的记录，下面开始具体讲解它的实现流程。 驱动DriverEntry的初始化 从DriverEntry(PDRIVER_OBJECT DriverObject, UNICODE_STRING *pRe
浪子三少
1689 0
技术小甜
|
Java .NET 数据库
构建高性能ASP.NET站点 第七章 如何解决内存的问题(后篇)—托管资源优化—监常用优化措施
技术小甜
953 0
技术小甜
|
Java .NET
构建高性能ASP.NET站点 第七章 如何解决内存的问题(前篇)—托管资源优化—垃圾回收机制深度剖析
技术小甜
1138 0

热门文章

最新文章

  • 1
    随机生成UserAgent的python库（fake-useragent库）
  • 2
    使用zxing识别一幅包含多个二维码的图片
  • 3
    阿里云的SLB，植入cookie和重写cookie有什么区别？
  • 4
    基于Flink的实时日志分析系统实践
  • 5
    如何在服务器上跑python程序
  • 6
    电池技术多年没有较大发展，成为移动设备最大制约
  • 7
    Spread for WinRT 7新功能使用指南
  • 8
    codeforces Soldier and Number Game（dp+素数筛选）
  • 9
    九度oj-1001-Java
  • 10
    Android:随笔——对页面的View进行截图
  • 1
    分解商业周期时间序列：线性滤波器、HP滤波器、Baxter滤波器、Beveridge Nelson分解等去趋势2
    9
  • 2
    分解商业周期时间序列：线性滤波器、HP滤波器、Baxter滤波器、Beveridge Nelson分解等去趋势法1
    9
  • 3
    灰色关联分析(Grey Relation Analysis,GRA)中国经济社会发展指标
    9
  • 4
    极值分析：分块极大值BLOCK-MAXIMA、阈值超额法、广义帕累托分布GPD拟合降雨数据时间序列
    9
  • 5
    GARCH-DCC模型和DCC（MVT）建模估计
    8
  • 6
    ARIMA、ARIMAX、 动态回归和OLS 回归预测多元时间序列
    10
  • 7
    R语言预测期货波动率的实现：ARCH与HAR-RV与GARCH，ARFIMA模型比较
    10
  • 8
    spss modeler用决策树神经网络预测ST的股票
    9
  • 9
    K-means和层次聚类分析癌细胞系微阵列数据和树状图可视化比较
    8
  • 10
    matlab中使用VMD(变分模态分解)对信号去噪
    8

    • 相关课程

    更多
  • Cloud Toolkit 开发部署效率提升神器
  • 应用编排与管理核心原理
  • 机器阅读技术与应用
  • 云数据库优化十大典型案例
  • 网站性能前端监控课程
  • PHP进阶教程 - 由浅入深掌握面向对象开发 - 第二阶段

    • 相关电子书

    更多
  • Web服务架构变迁与性能优化
  • 如何做小程序性能优化
  • 5G系统技术原理与实现

    • 相关实验场景

    更多
  • 语言入门-1：环境构建
  • 前端开发基础1：前端开发环境的安装和配置
  • 搭建IoT小程序开发环境，创建一个应用
  • 高性能特性体验：ePQ 的详解与实战
  • 使用Java面向对象编写网络通信程序应用
  • Python网络通信程序典型应用
    • 下一篇
    阿里云oss简介和使用流程
    为什么选择阿里云什么是云计算全球基础设施技术领先稳定可靠安全合规分析师报告
    产品和定价全部产品免费试用产品动态产品定价价格计算器云上成本管理
    解决方案技术解决方案
    文档与社区文档开发者社区天池大赛培训与认证
    权益中心免费试用高校计划企业扶持计划推荐返现计划
    支持与服务基础服务企业增值服务迁云服务官网公告健康看板信任中心
    关注阿里云
    关注阿里云公众号或下载阿里云APP，关注云资讯，随时随地运维管控云服务
    阿里云APP阿里云微信
    联系我们：4008013260
    法律声明Cookies政策廉正举报安全举报联系我们加入我们
    阿里巴巴集团淘宝网天猫全球速卖通阿里巴巴国际交易市场1688阿里妈妈飞猪阿里云计算AliOS万网高德UC友盟优酷钉钉支付宝达摩院淘宝海外阿里云盘饿了么
    © 2009-2024 Aliyun.com 版权所有 增值电信业务经营许可证： 浙B2-20080101 域名注册服务机构许可： 浙D3-20210002 京D3-20220015
    浙公网安备 33010602009975号浙B2-20080101-4