Windows：如何攔截用戶/組的操作？

Windows是否具有攔截與用戶/組操作的機制，如創建/刪除，成員資格更改？Windows：如何攔截用戶/組的操作？

谷歌和stackoverflow還沒有答案。逆轉到netapi32！NetUserAdd等沒有提供任何東西。

來源

2012-07-05 dc0

好問題，我希望有人能指出一個方法。但是恐怕最接近你能得到的是一些涉及監控用戶數據庫的駭客（例如，在單個系統的情況下的註冊表SAM密鑰，在域的情況下的AD數據庫）。 – 0xC0000022L 2012-07-05 13:09:29

攔截與Win32_Account等相關的WMI事件似乎是問題的解決方案。 – dc0 2012-07-10 11:51:51

有趣。你應該寫這個答案來獲得一些upvotes :) – 0xC0000022L 2012-07-10 12:57:11

Windows不提供提供該功能的攔截機制，但您可以使用Detours或任何其他框架（或您自己的實現）掛接appropriate Win32 APIs。一旦截獲，您可以根據您的需要篩選和轉發功能。

來源

2012-07-05 13:35:02 mox

「Windows是否有一個機制」... – 0xC0000022L 2012-07-05 13:37:40

如果downvoted這個人會解釋原因... – mox 2012-07-05 14:41:29

@ 0xC0000022L：你是什麼意思這個？ – mox 2012-07-05 18:50:34

只是一些截取用戶創建的VBScript代碼。這是你在C++/C＃/重寫它。

sub set_intercept() 
    set wmi = GetObject("winmgmts:\\.\root\cimv2") 
    set sink = WScript.CreateObject("WbemScripting.SWbemSink", "SINK_") 
    wmi.ExecNotificationQueryAsync sink, "SELECT * FROM __InstanceCreationEvent WITHIN 1 WHERE TargetInstance ISA 'Win32_Account'" 
end sub 

sub SINK_OnObjectReady(obj, context) 
    WScript.Echo "User was created" 
end sub 

set_intercept()

來源

2012-07-10 14:39:13 dc0

Windows：如何攔截用戶/組的操作？

回答

相關問題