WinBlox
(2004/05/21 追記 ここから)
7.0.OPENのエントリを作成しました。
SEE:
WinBlox 7.0.OPEN (このblogより)
(2004/05/21 追記 ここまで)
・WinBlox @ UMBRELLA.NAME
http://umbrella.name/winblox/
ファイル操作とコマンド実行を監視して、操作を記録(レコードモード)、フィルタ(フィルタモード)するソフト。
2004/04/22現在のバージョンは6.0.OPEN。
最初に「注意」の項目↓を読んでおいた方がいいかも?
■ 使ってみる
# 簡単なヘルプを表示 C:\> setupwb.exe
● 状態を表示する
# 現在の状態を表示 C:\> setupwb.exe status nocolor # レコードモードの時はこんな行があるはず NOTE : WinBlox configured to work in record mode. # フィルタモードの時はこんな行があるはず NOTE : WinBlox configured to work in filter mode.
「nocolor」オプションをつけないと、色分けして表示してくれます。
が、色が暗くて見難かったので「nocolor」オプションを付けました。(以下同じ)
● 削除(レコード/フィルタを停止)する
最初に削除(レコード/フィルタの停止)方法を説明。
C:\> setupwb.exe remove nocolor
各モードが停止し、ログファイルも消されます。
● レコードモード
設定ファイルは、実行プログラムと一緒に配布されている「WBLIST.TXT」を参考にするのがよさ気。
とりあえずバックアップを取っておいて書き換えます。
「WBLIST.TXT」を以下の様に編集します。
正規表現で、文字が0個以上ありって意味(大雑把)。
.*
レコードモードで実行します。
C:\> setupwb.exe record nocolor
「%WINDIR%\WBLOG.TXT」にログが記録されます。
改行コードは「0x0A(LF)」で書かれてるみたいです。
日本語を記録するのは苦手みたいです。
内部コマンド(dirとかcdとか)は記録されませんでした。
ファイル操作のログフォーマット(行頭の日時部分を除く)
createfile:[実行ファイル名(フルパス)] > [commandline(含む引数)] ==> [access type] --> [target file]
コマンド実行のログフォーマット(行頭の日時部分を除く)
commandline:[実行ファイル名(フルパス)] > [commandline(含む引数)]
記録するレコードを「WBLIST.TXT」で定義します。
上記ログフォーマットにマッチするように正規表現で記述します。
「.」に「" "(スペース)」とかの文字も含まれるみたい。
普通の正規表現では含まれましたっけ?
# コマンド操作のみ記録 ^commandline.* # regedit.exeを含む行を記録 regedit\.exe
「setupwb.exe remove」コマンドを実行してから、再度「setupwb.exe record」コマンドを実行します。
ちなみに、以下のファイルも作られてました。
「%WINDIR%\WBCONFIG.TXT」:現在のモードが書かれていました
「%WINDIR%\WBLIST.TXT」:フィルタ/レコードモードにした時に、setupwb.exeがあるフォルダからコピーされるみたい。
● フィルタモード
使い方はレコードモードと同じだと思います。
下に書いてある「注意」の項目を先に読んでおいた方がいいかも。
例えば、「WBLIST.TXT」を以下の様に編集します。
^commandline:.*\\regedit\.exe >.*
フィルタモードで実行します。
C:\> setupwb.exe filter nocolor
これで「regedit.exe」を起動できなくなります。
また、「%WINDIR%\WBLOG.TXT」にログが記録されています。
■ 注意
フィルタモードで下手に設定すると、プログラムの動作がおかしくなるかも?
特に「WBLIST.TXT」に「.*」って書いてフィルタモードで動かすのは超危険な気がする。
コマンド類を何も受け付けなくて、電源をブチッと切るしかない(シャットダウンはできました。下記参照)のかな?
再起動しても、フィルタモードが継続してるっぽいから、最悪OS再インストールかも?
コワッ。(私の思い過ごしだと良いな。)
(2004/04/27 追記 ここから)
「WBLIST.TXT」に「.*」って書いてフィルタモードで動かしてみました。
- ログオフ → できました
- ログオフ後、ログイン → 止まっちゃいます
- シャットダウン → できました
- シャットダウン後、起動 → ブート中に再起動を繰り返しました
- リブート → ブート中に再起動を繰り返しました
タスクマネージャも起動できないし、復旧方法はあるのかな?
外からレジストリを復元したりすると復旧できるのかな?
こわいこわい。
(2004/04/27 追記 ここまで)
既にレコード/フィルタモードで実行してる時に、更に実行するとシステムのリブートが必要になるみたい?
トラックバック(1)
このブログ記事を参照しているブログ一覧: WinBlox
このブログ記事に対するトラックバックURL: http://kinshachi.ddo.jp/mt/mt-tb.cgi/274
ちょっと前に書いたけど、IE脆弱性の指摘でも活躍されているLiu Die Yuさんによる、Windows用のプログラム実行監視・フィルタ用ツールのWinBloxがバージョンアップされている様子。 変更点は、こちら。 -WinBlox 7.... 続きを読む
コメントする