Конференция VBStreets

**|( () ( T |/| |(** » 25.10.2006 (Ср) 19:42

Как можно такое реализовать?

**keks-n** » 25.10.2006 (Ср) 19:45

Перехват OpenProcess.

**|( () ( T |/| |(** » 25.10.2006 (Ср) 20:12

keks-n, можно какнибуть поподробнее?

**keks-n** » 25.10.2006 (Ср) 20:26

А поподробнее уже не на Visual Basic. И, вообще, такие перехватчики пишут самостоятельно, ибо слишком серьёзное оружие, чтобы его раздавать.

**ANDLL** » 26.10.2006 (Чт) 9:44

keks-n, ну какое же это оружие? Вот ReDim'ер это оружие... А это так...

**yaklit** » 28.10.2006 (Сб) 18:31

если в Task Manager например завершат процесс, то, помоему ВСЕ. только если создать прогу которая будет открывать твою прогу заново когда та будет выбиваться...

**ANDLL** » 28.10.2006 (Сб) 18:51

Я вообще не понимаю вопроса "Как завершить процесс", если прога
а) Может не быть процессом - как следствие ее нельзя завершить
б) Может работать от имени другого, в том числе и системного процесса.

Но меня на данный момент интересует еще такая тема: Можно ли создать прогу, которая работая под ограниченной учетной записью могла бы тем не менее остаться неубиваемой для администратора?

**yaklit** » 28.10.2006 (Сб) 19:07

а разве переименование в csrss.exe не выход?

**keks-n** » 28.10.2006 (Сб) 20:03

Не выход. Существует тима тьмущая самопальных пришибалок, которые забивают на системность/несистемносто процесса. Панацеей может быть лишь перехват на уровне ядра некоторых API, ставящих целью:
а) Открыть процесс(не панацея, доказано Twister'ом, перечислением хындлов отркытых в csrss.exe).
б) Завершить его(тоже не панацея - можно взять на отладку и завершить её - процесс завершится без ZwTerminateProcess).
в) Взять на отладку.

После чего можно спать спокойно - 99% пришибалок процесс не возьмут.
Сложность состоит только в написании драйвера и его протаскивании в ядро.

**yaklit** » 28.10.2006 (Сб) 20:07

О пригодится, спасибо

**ANDLL** » 28.10.2006 (Сб) 20:21

г) любой процесс можно завершить из драйвера путем зачистки его памяти.

**yaklit** » 28.10.2006 (Сб) 20:26

ну вот.

**keks-n** » 28.10.2006 (Сб) 20:29

ANDLL
Это уже в тот 1% вписывается. И не отлавливается практически никак.
+Такой способ может нанести системе вред.

**ANDLL** » 28.10.2006 (Сб) 20:52

Интересно, какой?

**keks-n** » 28.10.2006 (Сб) 21:08

Стирание из памяти. Неизвестно, с чем он процесс работал, и насколько неприятны будут последствия его завершения. Да и драйверок, не обнаружив его в живых, может напакостить.

**yaklit** » 28.10.2006 (Сб) 21:50

а разве в драйверок проверочку нельзя зделать?

**ANDLL** » 28.10.2006 (Сб) 21:52

Неизвестно, с чем он процесс работал, и насколько неприятны будут последствия его завершения

Неважно, с чем он работал, операционная система не деградирует после внезапного завершения подавляющего большинства процессов.

Да и драйверок, не обнаружив его в живых, может напакостить.

Это уже зависит от кривизных рук программистов. Правильно - прежде чем чтото делать надо просто проверять

**yaklit** » 28.10.2006 (Сб) 21:54

Помоему сказать что процесс нанесет вред системе когда его сотрут из памяти не правильно. Ведь если ты закрываешь процесс через TaskMGR тыж както не наносишь системе вред...... :roll:

**keks-n** » 28.10.2006 (Сб) 21:56

Я про защищающий драйверок. У него цель или не дать прибить, либо прибить вместе с убиенным и систему(обычно банальный перезагруз), чтоб неповадно было.

система не деградирует после внезапного завершения подавляющего большинства процессов.

Прибей таким образом Defrag.exe во время работы.

**tyomitch** » 28.10.2006 (Сб) 22:13

keks-n писал(а):Прибей таким образом Defrag.exe во время работы.

Слышал, что люди пробовали, и остались довольны результатами. Журналирование NTFS рулит.

**Debugger** » 29.10.2006 (Вс) 9:51

Была идея сделать несколько программ (5), которые запускаются вместе с главной и, не обнаружив кого-то в живых, восстанавливают

**tyomitch** » 29.10.2006 (Вс) 11:17

Эта идея старше мира. Обход тривиальный: SuspendThread на все процессы, и потом их спокойно убить спящими.

**yaklit** » 29.10.2006 (Вс) 14:06

проверка-например постоянное изменение прогами каких то файлов и соответствено проверять атриббут ИЗМЕНЕН. если стоит Suspend зделать килл Suspendnого процесса и запустить его заново.

**Kovu** » 29.10.2006 (Вс) 18:11

yaklit
Ты не понял, Suspend сделают твоему процессу и тихо и незамтено прибьют.

**yaklit** » 29.10.2006 (Вс) 19:57

ну так процессов то 5

**Amed** » 29.10.2006 (Вс) 20:07

yaklit, все пять засуспендят одновременно - они и моргнуть не успеют.

**yaklit** » 29.10.2006 (Вс) 20:27

терь понял.

**Debugger** » 29.10.2006 (Вс) 22:32

Моргнуть точно не успеют... И если просто убьют - ен моргнут. Процессы не моргают.
А если их больше? Штук 20, например? По идее, пока 2й засыпает, просыпается 1й и т.д.

**Amed** » 29.10.2006 (Вс) 22:42

Debugger, то же самое.

Проведи эксперимент, если не веришь

**keks-n** » 29.10.2006 (Вс) 23:33

Нет, ну, в теории, может произойти переключение контекста потока на один из убиваемых процессом и он что-либо заметит, но... Слишком маловероятно.
Для пущей уверенности можно написать драйверок, и, подняв IRQL, кого надо переубивать.

Конференция VBStreets

Защита от нежелательного завершения процесса

Защита от нежелательного завершения процесса

Кто сейчас на конференции