/windows目錄/ proc目錄

Question

我和我的朋友正在做一個關於HIDS（基於主機的入侵檢測系統）的重要項目。我想我知道分析所需的信息來源，但我不知道如何得到它們。這些是系統日誌，內存使用情況，進程列表，守護進程狀態，服務狀態，內核模塊等。我想我可以得到系統日誌，但其他人我不知道如何。 我知道在linux中有一個/ proc目錄，但是我應該怎麼做windows？ 謝謝..我絕望讓我的項目開始..

Answer 1

我不確定在Python中，但有Windows API函數來獲取所有的信息。對於內存使用情況，您可以使用performance counters。處理列表可以通過EnumProcesses函數獲得。守護進程的狀態和服務狀態有點意味着在Windows中同樣的事情，可從service functions。

Answer 2

通常，在Windows上看不到一個地方。您可能可以使用cygwin來查找一些信息。

• 系統日誌在事件查看器中採用XML格式。見eventquery.vbs和eventtriggers.exe這可能會有所幫助。
• netstat會發現任何網絡信息

您的最完整的單一來源最好的選擇是Windows管理規範（WMI）查詢，它使用類似於SQL語言，可以查詢各種系統信息。 Wikipedia article有很多鏈接到資源。