windows - Windows：如何拦截用户/组的操作？

Question

Windows 是否有拦截用户/组操作的机制，例如创建/删除、成员资格更改？

谷歌和 stackoverflow 还没有给出答案。反转为 netapi32!NetUserAdd 等也没有提供任何东西。

Answer 1

只是一些用于拦截用户创建的 VBScript 代码。你可以在 C++/C#/whatever 上重写它。

sub set_intercept()
    set wmi = GetObject("winmgmts:\\.\root\cimv2")
    set sink = WScript.CreateObject("WbemScripting.SWbemSink", "SINK_")
    wmi.ExecNotificationQueryAsync sink, "SELECT * FROM __InstanceCreationEvent WITHIN 1 WHERE TargetInstance ISA 'Win32_Account'"
end sub 

sub SINK_OnObjectReady(obj, context)
    WScript.Echo "User was created"
end sub

set_intercept()

Answer 2

Windows 不提供提供该功能的拦截机制，但您可以使用Detours或任何其他框架（或您自己的实现）挂钩适当的 Win32 API 。一旦拦截，您可以根据需要过滤和/或转发功能。