it入门基础知识书IT从业人员必备知识之文件创建过程分析

导读如何定位某个后缀由哪个进程创建目录一、前提二、工具介绍三、关键字分析3.1Processmonitor工具：Operation（操作对象）四、实际案例分析4....

如何定位某个后缀由哪个进程创建

---

目录

一、前提

二、工具介绍

三、关键字分析

3.1 Processmonitor工具：Operation（操作对象）

四、实际案例分析

4.1分析排查：工具分析

5 结论

一、前提

此文档主要是借助工具来分析，一个进程创建一个文件的过程，用于快速确定指定后缀由谁创建。

二、工具介绍

Processmonitor，是一款系统监控软件。Processmonitor可以全面监控系统正在运行的所有程序，为你呈现各个程序运行时的详细信息，包括路径来源、注册表信息、运行时间等，通过时刻关注这些数据来判断系统是否被恶意篡改或感染；

三、关键字分析

3.1 Processmonitor工具：Operation（操作对象）

Writefile：写入文件；

SetrenameInformationFile：重命名文件信息；

CreateFile：创建文件；

四、实际案例分析

某天小A在用unity导出了个文件，突发奇想，想了解下这个文件的创建过程，到底是由主进程unity创建的，还是这期间有其他的操作。

PS：意思是文件路径有包含666.unitypackage的所有操作，结果如下图显示：

红框里面的内容，说明Unity.exe创建了此文件，为什么提示NAME NOT FOUND 、NO SUCH FILE，有可能是创建的时候先判断下此目录是否可以写入，所以并没有实际写入数据；

黄匡里面的内容，说明Unity.exe实际创建了这个后缀，写入也成功，但是紧接着Unity.exe就直接删除了这个文件；

这个说明文件确实被Unity创建了，但是直接被删除了，有一种可能就是文件可能是被改名了；

若文件可能是被改名了，那我们重新对这份日志搜索下SetRenameInformationFile或者rename，但是要注意，需要把第一步的条件取消（不取消的话搜索不到谁改名了），设置如下：

查询结果如下：

我们发现Unity.exe是将tempExportPackage.unitypackage改名成了666.unitypackage；所以这时候我们就要查询下，是谁创建了tempExportPackage.unitypackage这个文件；

重新设置条件

查询结果如下：

由此可见，7z.exe创建了tempExportPackage.unitypackage这个文件，然后Unity.exe最终将此文件改名成666.unitypackage。

5 结论

最终通过工具的日志分析，我们确定了是由于7z先生成某个临时文件，然后Unity再将这个临时文件改名成实际文件，此操作主要是方便IT从业人员若涉及到了解文件操作过程，可以通过此方式进行分析。