# **进程规则**
*****
## 1、**名词解析**
>[info] 进程规则是“XadSafe”对系统进程进行限制操作的一种方式。
> 即：根据进程名称|路径|特征|文件摘要来对即将启动的进程进行检测,如果匹配到则禁止启动。
> 下面向大家介绍进程规则的使用方法和注意事项
*****
## 2、**必备知识**
我们打开 \[规则管理-我的规则\] ，
添加规则-进程-添加进程
:-: 
* 父进程
* 子进程
* 生效系统 (可选 win7 win10)
* 处理方式
:-: 在Windows中，进程A创建了另一个进程B，那么进程A就是进程B的父进程，B进程就是A的子进程。
想要理解父子进程之间的关系，我们可以用ProcessExplorer这个工具来查看窗口的层级关系。
如下图：
>[warning] 图中所示：
> QiyiService.exe的子进程是QyKernel.exe
> QyKernel.exe的父进程是QiyiService.exe
> QyKernel.exe的子进程是QyFragment.exe
> QyFragment.exe的父进程是QyKernel.exe
> 其中关系并不复杂,很容易理解!
说到这里，很多人应该已经都会用了。
>[danger] **注意事项**：
> 在XadSafe中,父子进程可识别下面四种方式
> * **进程名称** {如字所示，就是进程名}
> * **进程路径** {XadSafe能够精准识别通配符}
> * **文件摘要** {以XadSafe网吧控制台文件摘要信息为标准}
> * **进程特征** {以XadSafe网吧控制台进程特征为标准}
*****
## 3、**写法实例**
在**XadSafe**中，进程处理方式有以下几种
* **拦截**\-----------------------*拦截父进程所要创建的子进程*
* **放行(白名单)**\-----------------------*放行父进程所要创建的子进程* （白名单优先命中）
* **结束子进程**\-----------------------*结束父进程所创建的子进程*
* **挂起子进程**\-----------------------*挂起父进程所创建的子进程*
* **拦截+结束父进程**\-----------------------*拦截父进程所要创建的子进程并结束父进程*
* **拦截+挂起父进程**\-----------------------*拦截父进程所要创建的子进程并挂起父进程*
* **拦截+结束父线程**\-----------------------*拦截父进程所要创建的子进程并结束父线程*
* **拦截+挂起父线程**\-----------------------*拦截父进程所要创建的子进程并挂起父线程*
### ①**拦截**
>[warning] 说明：禁止父进程执行创建子进程
:-: 
>[info] 此写法的意思就是禁止QiyiService.exe启动QyKernel.exe进程。
:-: 
>[info] 此写法等同于上面两种写法，不过这次父进程我们用到了通配符
> 翻译：任意盘符下的任意目录内的LStyle目录下的子目录6.5.68.5801内所有EXE执行程序都禁止运行QyKernel.exe
>[danger] 同理：子进程也可以用这三种方式表达。大家要灵活应用,切勿盲目照搬！
### ②**结束子进程**
>[warning] 说明：关闭父进程执行创建的子进程
:-: 
>[info] 此写法的意思是循环结束QiyiService.exe下进程名为QyKernel.exe的子进程
>[danger] 注意事项：
> 跟拦截目标一样，父子进程均可使用**进程名称**|**进程路径**|**文件摘要**|**进程特征**表示。
> ！！！！仅**进程名称**和**进程路径**支持通配符（\* 和 ？ ）！
### ③**白名单（放行）**
>[warning] 说明：需要与相应的拦截规则配合使用 话不多说，先用实例说明
规则解读：
* 规则1. 禁止**cmd.exe**创建路径中包含**desktop**的**exe**进程
* 规则2. 放行**cmd.exe 创建进程名称为abc.exe**子进程
>[info] 进入控制台 我们可以看到刚刚添加的规则的效果
>[success] 通过灵活的规则搭配 就可以实现不同的效果
#### **拦截+结束、挂起父进程**
> 依旧拿**cmd.exe**作为演示：
* 拦截**cmd.exe**创建**123.exe** 并结束父进程**cmd.exe**
* 拦截**cmd.exe**创建**456.exe** 并挂起父进程**cmd.exe**
> 
> **执行进程我们可以到控制台查看客户机日志 下图 ↓**
> 
