Delphi深度探索之外殼執行操作記錄器

記錄外殼活動有很多好處，比如當需要監控使用者的行為，回溯系統崩潰前的過程。實現這一功能的關鍵工具相當簡單，它就是COM介面IShellExecuteHook。編寫一個實現了這一介面的COM對象後，再在系統中註冊，就可以容易地控制並影響Windows外殼的運行。Windows 98和Windows 2000都支援IShellExecuteHook外殼擴充，而在Windows 95和Windows NT 4.0上則必須安裝活動案頭擴充後才支援（也就是說必須安裝IE 4.01）。

一個實現了IShellExecuteHook介面的COM對象可以截獲所有對ShellExecute和ShellExecuteEx函數的調用。ShellExecute和ShellExecuteEx函數主要用於執行應用程式，它們可以接收一個檔案名稱並能自動獲得同檔案名稱相關的可執行檔名。此外，它們還支援系統安全認證。如果在NT上設定了使用者的可執行許可權，ShellExecute和ShellExecuteEx函數將會在建立新的進程前檢查許可權(CreateProcess和WinExec函數則沒有這項功能)。函數調用的流程如下：

（1）獲得將要啟動並執行可執行檔名。

（2）根據程式名檢查使用者執行許可權。

（3）啟用全部登入的IshellExecuteHook擴充。

（4）當所有擴充和許可權都同意執行，建立新的進程並返回。

Windows外殼大量調用ShellExecute和ShellExecuteEx函數來執行幾乎是所有的資源管理員的操作，比如雙擊目錄、瀏覽檔案夾內容、列印編輯文檔、查看檔案屬性、選擇文檔的內容相關性功能表等等。此外，開始菜單的運行對話方塊和DOS方式下的Start.exe也使用ShellExecuteEx函數來執行程式。簡單地說幾乎使用者的所有外殼操作都可以被擴充截獲，包括其他應用程式對ShellExecute和ShellExecteEx的調用。

編寫外殼活動記錄器