Windows:如何拦截用户/组的操作？

Question

Windows是否有拦截用户/组操作的机制，如创建/删除、成员身份更改？

谷歌和stackoverflow目前还没有给出答案。反转到netapi32!NetUserAdd等也不会有任何结果。

Answer 1

Windows不提供提供该功能的拦截机制，但您可以使用Detours或任何其他框架(或您自己的实现)来挂接appropriate Win32 APIs。一旦被拦截，您可以根据需要对函数进行过滤和/或转发。

Answer 2

只是一些用于截取用户创建的VBScript代码。用C++/C#/其他语言重写它是你的责任。

sub set_intercept()
    set wmi = GetObject("winmgmts:\\.\root\cimv2")
    set sink = WScript.CreateObject("WbemScripting.SWbemSink", "SINK_")
    wmi.ExecNotificationQueryAsync sink, "SELECT * FROM __InstanceCreationEvent WITHIN 1 WHERE TargetInstance ISA 'Win32_Account'"
end sub 

sub SINK_OnObjectReady(obj, context)
    WScript.Echo "User was created"
end sub

set_intercept()