问题[procmon](computer)

我写了一个 32 位 C++ Hello World 程序。然后我通过 SysInternal 的 Procmon 观看了它的执行。令我惊讶的是，我有 5 个“加载图像”类型的事件。加载了以下内容：

• ntdll.dll
• kernel32.dll
• 内核库.dll
• 应用程序帮助.dll
• msvcrt.dll

msvcrt.dll 和 kernel32.dll 是我的 Hello World 程序导入的 DLL。所以预计会加载。

根据我的研究，Windows 将 apphelp.dll 作为应用程序兼容性的一部分加载到我的进程中。

我想知道：

1. 为什么 Windows 也会加载 ntdll.dll？
2. 为什么 Windows 也会加载 KernelBase.dll？
3. 将未经请求的 DLL 加载到称为 DLL Hooking 的进程中的过程吗？

PS：我使用的是最新的 Windows 10 版本。

Procmon很难一遍又一遍地键入它的过滤器
——尤其是对于许多不同的、可重复的任务。

这让我想知道是否有人知道它在哪里存储当前的过滤器状态。
而它是一个文件，或一个注册表项，或者其他。

我尝试使用 Procmon 本身来查找任何内容（通过取消选中默认框），但在结果中丢失了。