Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

실행된 프로세스(EXE)의 명령행 인자를 확인하고 싶다면 - Sysmon

근래에 나온 sysinternals의 새로운 도구가 바로 Sysmon입니다. ^^

Sysinternals New Tool Sysmon (System Monitor)
; http://www.darkoperator.com/blog/2014/8/8/sysinternals-sysmon

물론, 마이크로소프트로부터 다운로드할 수 있고.

Sysmon v1.0
; https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon

명령행 도움말이 제공되지만,

Usage:

Install:    Sysmon.exe -i [-h [sha1|md5|sha256]] [-n]
Configure:  Sysmon.exe -c [[-h [sha1|md5|sha256]] [-n]|--]
Uninstall:  Sysmon.exe -u

-c Update configuration of an installed Sysmon driver or dump the current configuration if no other argument is provided. 
-h Specify the hash algorithm used for image identification (default is SHA1). 
-i Install service and driver. 
-m Install the event manifest (done on service install as well). 
-n Log network connections. 
-u Uninstall service and driver. 

그냥 간단하게 다음과 같이 실행해서 서비스 설치를 할 수 있습니다.

sysmon -i -accepteula

그럼 NT 서비스로 늘 실행하는 형태로 등록됩니다.

sysmon_test_1.png

이후로 실행되는 모든 EXE 프로세스는 명령행 정보와 함께 이벤트 로그의 "Event Viewer" / "Applications and Services Logs" / "Microsoft" / "Windows" 하위에 있는 "Sysmon" 폴더에 기록됩니다.

가령, 다음은 그 한 예입니다.

Log Name:      Microsoft-Windows-Sysmon/Operational
Source:        Microsoft-Windows-Sysmon
Date:          2014-08-16 오후 4:46:35
Event ID:      1
Task Category: (1)
Level:         Information
Keywords:      
User:          SYSTEM
Computer:      TESTPC2
Description:
Process Create
Event Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Sysmon" Guid="{5770385F-C22A-43E0-BF4C-06F5698FFBD9}" />
    <EventID>1</EventID>
    <Version>2</Version>
    <Level>4</Level>
    <Task>1</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8000000000000000</Keywords>
    <TimeCreated SystemTime="2014-08-16T07:46:35.553829500Z" />
    <EventRecordID>21</EventRecordID>
    <Correlation />
    <Execution ProcessID="14896" ThreadID="10820" />
    <Channel>Microsoft-Windows-Sysmon/Operational</Channel>
    <Computer>TESTPC2</Computer>
    <Security UserID="S-1-5-18" />
  </System>
  <EventData>
    <Data Name="UtcTime">2014-08-16 오전 7:46</Data>
    <Data Name="ProcessGuid">{00000000-695B-53EC-0000-0010F8037708}</Data>
    <Data Name="ProcessId">9264</Data>
    <Data Name="Image">C:\Program Files (x86)\Microsoft SDKs\Windows\v7.1A\bin\rc.exe</Data>
    <Data Name="CommandLine">"C:\Program Files (x86)\Microsoft SDKs\Windows\v7.1A\bin\rc.exe" /D _DEBUG /D _WINRES_COMPILE /D _USING_V110_SDK71_ /D _UNICODE /D UNICODE /l0x0409 /IDebug\ /v /foDebug\TestApp.res TestApp.rc</Data>
    <Data Name="User">TESTPC2\TestUser</Data>
    <Data Name="LogonId">0x57389</Data>
    <Data Name="TerminalSessionId">1</Data>
    <Data Name="IntegrityLevel">Medium</Data>
    <Data Name="HashType">SHA1</Data>
    <Data Name="Hash">CA1BE77C3DE643909A8999E3FBFC2EC91EBD07EA</Data>
    <Data Name="ParentProcessGuid">{00000000-695B-53EC-0000-0010C4027708}</Data>
    <Data Name="ParentProcessId">8072</Data>
    <Data Name="ParentImage">C:\Program Files (x86)\MSBuild\12.0\bin\Tracker.exe</Data>
    <Data Name="ParentCommandLine">"C:\Program Files (x86)\MSBuild\12.0\bin\Tracker.exe" @"C:\Users\...\AppData\Local\Temp\tmp05760d77f1134cae8e78bc199ac2e639.tmp" /c "C:\Program Files (x86)\Microsoft SDKs\Windows\v7.1A\bin\rc.exe"  /D _DEBUG /D _WINRES_COMPILE /D _USING_V110_SDK71_ /D _UNICODE /D UNICODE /l"0x0409" /IDebug\ /v /fo"Debug\TestApp.res" TestApp.rc</Data>
  </EventData>
</Event>

보시는 바와 같이, 꽤나 흥미로운 정보가 2가지 있습니다. 바로 해당 프로세스의 명령행과 그것을 실행시킨 부모 프로세스의 명령행 정보입니다.

기존의 "Process Explorer"에서는 현재 실행 중인 응용 프로그램에 대해서만 명령행 정보를 확인할 수 있었는데, sysmon을 이용하면 반짝하고 실행이 금방 종료되는 경우에도 가능해졌다는 차이가 있습니다. ^^




참고로, 위의 예제에서 든 rc.exe 컴파일의 경우 비주얼 스튜디오의 Output 창에서 명령행 정보를 확인하는 방법이 있는데요. "TOOLS" / "Options" 메뉴에서 "Projects and Solutions" / "Build and Run" 범주의 "MSBuild project build output verbosity" 항목을 "Detailed"로 설정해 주고,

sysmon_test_2.png

해당 Visual C++ 프로젝 속성 창에서 역시 "Configuration Properties" / "Resources" / "General" 범주로 이동해 "Show Progress" 옵션을 켜두면,

sysmon_test_2.png

이후의 컴파일에서 rc.exe 실행 및 그것의 명령행 정보까지 모두 Output 창에서 확인할 수 있습니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 7/3/2022]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 



2014-10-02 05시37분
[유수석] 오... 좋은 정보네요...
굿굿
[손님]
2014-10-03 05시15분
기존 툴 유지/보수하는 것도 바쁠 텐데, 이렇게 새로운 것도 만들어 내는 거 보면 대단한 것 같습니다. ^^
정성태
2022-07-03 10시12분
sysmon 이벤트 로그를 긁어 부모/자식 프로세스를 쉽게 파악할 수 있도록 보여주는 ps1 스크립트입니다. ^^

PSBits/DFIR/GetSysmonTree.ps1
; https://github.com/gtworek/PSBits/blob/master/DFIR/GetSysmonTree.ps1
정성태
2022-08-17 09시02분
정성태

[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
13119정성태8/18/202242.NET Framework: 2044. .NET Core/5+ 프로젝트에서 참조 DLL이 보관된 공통 디렉터리를 지정하는 방법
13118정성태8/18/202242.NET Framework: 2043. WPF Color의 기본 색 영역은 (sRGB가 아닌) scRGB [2]
13117정성태8/17/202294.NET Framework: 2042. C# 11 - 파일 범위 내에서 유효한 타입 정의 (File-local types)파일 다운로드1
13116정성태8/4/2022191.NET Framework: 2041. C# - Socket.Close 시 Socket.Receive 메서드에서 예외가 발생하는 문제파일 다운로드1
13115정성태8/3/2022280.NET Framework: 2040. C# - ValueTask와 Task의 성능 비교파일 다운로드1
13114정성태8/2/2022262.NET Framework: 2039. C# - Task와 비교해 본 ValueTask 사용법파일 다운로드1
13113정성태7/31/2022254.NET Framework: 2038. C# 11 - Span 타입에 대한 패턴 매칭 (Pattern matching on ReadOnlySpan<char>)
13112정성태7/30/2022306.NET Framework: 2037. C# 11 - 목록 패턴(List patterns)파일 다운로드1
13111정성태7/29/2022257.NET Framework: 2036. C# 11 - IntPtr/UIntPtr과 nint/nuint의 통합파일 다운로드1
13110정성태7/27/2022299.NET Framework: 2035. C# 11 - 새로운 연산자 ">>>" (Unsigned Right Shift)파일 다운로드1
13109정성태7/27/2022234VS.NET IDE: 177. 비주얼 스튜디오 2022를 이용한 (소스 코드가 없는) 닷넷 모듈 디버깅 - "외부 원본(External Sources)"
13108정성태7/26/2022173Linux: 53. container에 실행 중인 Golang 프로세스를 디버깅하는 방법
13107정성태7/25/2022139Linux: 52. Debian/Ubuntu 계열의 docker container에서 자주 설치하게 되는 명령어
13106정성태7/24/2022113오류 유형: 819. 닷넷 6 프로젝트의 "Conditional compilation symbols" 기본값 오류
13105정성태7/23/2022243.NET Framework: 2034. .NET Core/5+ 환경에서 (프로젝트가 아닌) C# 코드 파일을 입력으로 컴파일하는 방법 - 두 번째 이야기 [1]
13104정성태7/23/2022215Linux: 51. WSL - init에서 systemd로 전환하는 방법
13103정성태7/22/2022115오류 유형: 818. WSL - systemd-genie와 관련한 2가지(systemd-remount-fs.service, multipathd.socket) 에러
13102정성태7/19/2022199.NET Framework: 2033. .NET Core/5+에서는 구할 수 없는 HttpRuntime.AppDomainAppId
13101정성태7/15/2022167[내용 예약] (비어 있는 글)
13100정성태7/15/2022286.NET Framework: 2032. C# 11 - shift 연산자 재정의에 대한 제약 완화 (Relaxing Shift Operator)
13099정성태7/14/2022682.NET Framework: 2031. C# 11 - 사용자 정의 checked 연산자파일 다운로드1
13098정성태7/13/2022214개발 환경 구성: 647. Azure - scale-out 상태의 App Service에서 특정 인스턴스에 요청을 보내는 방법 [1]
13097정성태7/12/2022158오류 유형: 817. Golang - binary.Read: invalid type int32
13096정성태7/8/2022462.NET Framework: 2030. C# 11 - UTF-8 문자열 리터럴
13095정성태7/7/2022246Windows: 208. AD 도메인에 참여하지 않은 컴퓨터에서 Kerberos 인증을 사용하는 방법
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...