今天又认真看了下火绒剑采集的数据，进程注入啥的都是可以采集的：

 并且winxp上都支持火绒的安装，做得真的是好啊！

另外，针对恶意代码分析实战 lab 12-1的创建远程线程注入方式，我监控了下：

火绒剑报出的关键日志如下：

 看来的确是可以监控进程注入！比procmon和procexp都方便！

火绒剑：可以查看一些可疑的进程服务启动项等。

查看进程树：

启动项：

服务：

网络：

PCHunter工具。缺点是，windows高版本网络信息，获取不全。比如木马在windows7执行后，该工具可以获取网络信息，如下图。但是同一木马在windows2018执行后，该工具获取不到网络信息。

查看可疑进程：

 查看端口开启的进程：

查看非系统的可疑开机启动项：

查看可疑的服务：

查看可疑的定时任务：