文件监视器――Filemon

我们可能经常会发现一些莫名其妙的文件，很多情况下我们不清楚这个文件是做什么用的，有时就会怀疑这些文件是不是病毒， filemon 可以帮助我们找到答案，可以用 filemon 监视某个文件是由哪个进程生成的。

Filemon 出自 [url]http://www.sysinternals.com/[/url] ，这个团队目前已经被 microsoft 收购。

如果你在用这个软件时，字体很小，以致无法阅读，可以在 options 菜单下通过 font 设置适当的字体。

Filemon 刷新的速度很快，因为在你的机器上活动的进程在不断的创建或访问磁盘上的文件。你可以停止刷新，以便阅读，只需单击工具条上放大镜按钮（左起第三个）就可以了。

单击工具条上的望远镜按钮（右起第二个），输入需要查找的文件名，就可以阅读与这个文件相关的信息。

双击主窗体选中的文件，可以直接到达该文件所在路径。右键选择 Process Properties 可以查看文件的属性。

前面提到 filemon 会监视所有访问磁盘文件的进程，页面刷新很快。你可以使用过滤器功能只查看与指定文件有关的内容，可以单击工具条上的漏斗， 在 include 输入框输入该文件的部分内容，比如 qq.exe ， exclude 可以输入除外的内容，以减少搜索范围。确定后，就显示出过滤后的信息。

在反病毒应用中，如果我们发现某个 DLL 反复被某杀毒软件报告为病毒，就要考虑是不是还有个执行程序在反复生成这个 DLL 文件，而这个 EXE 就是真正的罪魁祸首。这种情况下，我们就可以使用 filemon 监视这个 DLL ，看看哪个 EXE 和这个 DLL 有关，然后找到这个 EXE ，新病毒就这样被我们揪出来了。