Как читать сегмент памяти программы...

[Memfivosfey]

Всем привет

У меня есть такая вот задачка. У меня есть массив, со списком процессов в памяти, мне необходимо узнать начало и конец сегмента определённого процесса и читая этот сегмент на прямую, сравнивать с определённым значением. В случае совпадения, убивать процесс.

подскажите плиз заранее благодарен.

[tyomitch]

Что считается сегментом?

ВАП процесса занимает все 2Гб.

[GSerg]

ArtMoney ему надо повторить...
Пусть введёт это слово в поиск, и будет ему счастье...

[Memfivosfey]

Хорошо, может тогда лучше я объясню свою задачу.

Просто есть программа, которая может менять своё название, на любое другое. Мне не обходимо её отлавливать в памяти и убивать. Я думал, читать память каждого процесса и находить схожие данные, с данными в памяти этой программы, и таким образом её находить.

Может посоветуете другие варианты?

[Wolfie]

Можно вопрос? это вирус или антивирус? Может все же искать программу по другим идентификаторам, чем память сканировать? Где программа лежит (может лежать) ехе-шники смотреть? Ведь как она имя то меняет? файл то остается ? она что сама себя переименовывает? Может через filemon ловить ее? Имя новое у нее рандомное? или по списку меняется - скажем 10-20 названий? А вообще интересная задачка...

[Memfivosfey]

Это БОТ в линейке, меня человек попросил написать на клиент программку АНТИБОТ, но предусмотреть вариант изменения имени, папки и т.п.

[Memfivosfey]

Неужели в VB6 низя такого сотворить?

Может кто-то тогда подскажет, как можно выяснить, сколько подключений усановленно на крмпьютере по данному адресу на данный порт и если возможно, то сколькими приложениями, как можно опредилить эти приложения их ПАПКИ "проживания".

[keks-n]

Memfivosfey
Почти наверняка класс окна не изменяется. Так что EnumWindows, потом GetWindowProcessThreadId и прибивать процесс. Класс окна можно глянуть через Spy из состава студии.

[Memfivosfey]

Memfivosfey
Почти наверняка класс окна не изменяется. Так что EnumWindows, потом GetWindowProcessThreadId .

Если не затруднит, по подробнее, что значит класс, не могут ли быть другие окна, других программ с таким же классом???

[keks-n]

Обычно у окна есть некий класс, определённый, до его создания. Класс несёт некоторые атрибуты окна. Несколько окон могут иметь один и тот же класс. Придумано это было довольно давно, для экономии памяти. У многих программ класс окна совпадает с названием программы, например у блокнота это Notepad. Однако, если программа написана на VB, то класс окна будет в любом случае ThunderRT6FormDC. Короче, стартани SpyXX(или скачай WndViewer из проектов) и глянь класс окна этого бота.

[Memfivosfey]

Обычно у окна есть некий класс, определённый, до его создания. Класс несёт некоторые атрибуты окна. Несколько окон могут иметь один и тот же класс. Придумано это было довольно давно, для экономии памяти. У многих программ класс окна совпадает с названием программы, например у блокнота это Notepad. Однако, если программа написана на VB, то класс окна будет в любом случае ThunderRT6FormDC. Короче, стартани SpyXX(или скачай WndViewer из проектов) и глянь класс окна этого бота.

оки, пасиба Огромное, буду пробовать.


А что касается моего второго вопроса, как можно узнать каки приложения стучат на Определённый IP по определённому Порту и сколько этих приложений?

[keks-n]

Глобальный перехват Api-ФУНКЦИИ ответственной за соединение.

[Twister]

Для выяснения класса окна можно воспользоваться моим WndViewer-ом (лежит в проектах).

Дальше - прога, которая меняет свое название делает это в Ring0 (я это реализовал в версии 1.06 все того же WndViewer-а). Значит скорее всего есть драйвер. Чтоб прога общалась с драйвером ей необходим его хэндл. Тип хэндла - файл. Решение проблемы - перечисляем все хэндлы в системе, находим нужный и узнаем PID процесса-владельца. Убиваем процесс.

Все вышеперечисленное описывается в моих статьях про описатели(хэндлы). Статьи лежат на VBStreets.

[keks-n]

Twister
Не мудри. Насколько я понял, имелось ввиду переименования exe пользователем.

[Antonariy]

А что касается моего второго вопроса, как можно узнать каки приложения стучат на Определённый IP по определённому Порту и сколько этих приложений?

Я однажды выкладывал фаерволл на vb, он это умеет. ZoneProtect называется.

[Twister]

keks-n

Просто есть программа, которая может менять своё название, на любое другое. Мне не обходимо её отлавливать в памяти и убивать.

Я понял именно так, как понял. Хотя гадать, что имел ввиду автор желания нет...

[keks-n]

Это БОТ в линейке, меня человек попросил написать на клиент программку АНТИБОТ, но предусмотреть вариант изменения имени, папки и т.п.