| Форумы
ЧАТ |
Орешник |
|
| Форумы -» | Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG |
|
| ||
|
|
Новости |
Поиск |
FAQ |
Статьи |
Книги |
Новости VCL
| | Форумы ЧАТ |
Орешник |
|
| |||
| |||
| |||
« предыдущая ветвь | форум | следующая ветвь »
Слежка за запускаемыми на ПК процессами [D5, D6, D7, Win95/98, WinME, Win2k, WinXP]
Angel_Forever © (2004-01-24 16:15:00)Привет программерам!!!
Слушайте есть такое дельце...нужно написать прогу, чтобы висела в ОЗУ (была резидентной - аля вирус :)) и следила за запускаемыми процессами и при обнаружени заданного (заданных)процесса(ов) их убивал...Есть процедуры типа
TerminateProcess(hProcess:Cardinal,uExitCode:Cardinal):LongBool;
и
ExitProcess(uExitCode:Cardinal); , но я незнаю как с ними работать...просто понятия не имею...:(...можт есть какой нить другой способ\метод\процедура\функция? Подскажите плиз...
Alexander666 (2004-02-05 10:01:00) [21]А че бы хуки не попробовать? Вроде библиотека с хуком в каждый файл запускаемый грузится (естественно надо соответствующий хук поставить). А оттуда с бедным процессом можно делать что угодно, вплоть до полно изничтожения, извращения и надругательства :-)
RealRascal (2004-02-04 23:14:00) [22]Удалено модератором
Angel_Forever (2004-02-04 14:09:00) [23]AlisaKK
Не помогло...тестил на обычном калькуляторе...ниубивает его никак...ни calc ни calc.exe ни Калькулятор...как ещё подругому написать в файле 'c:\Programm.txt' Caption...я не знаю...calculator что-ли? :(
Некто (2004-01-27 11:03:00) [24]
> он создаёт себя в папке C:\WINDOWS
Дешево и сердито: создаешь в этой папке файл с именем файла вируса, но пустой; устанавливаешь для него свойства "системный", "спрятанный", "только для чтения"; когда в очередной раз вирус попытается создать себя, ему будет отказано в доступе к файлу; получается эдакая "вакцинация".
Есть одно "но": хотя большинство вирусов тупо пытаются создать себя, не проверяя существование такого же файла, однако, некоторые вирусы все же достаточно "умны", и при записи снимают все атрибуты с существующего файла, если таковой имеется, чтобы не возникло проблем при записи; но это - скорее исключение, чем правило.
P.S. В Win2k и ХР (NTFS) лучше запретить доступ к этому файлу для всех пользователей. Тогда даже попытка снятия аттрибутов не поможет.
Rem (C) 2003
AlisaKK (2004-01-27 10:42:00) [25]
program pKillProc;
uses
Windows,
Forms,
SysUtils;
var
Wnd : hWnd;
buff : ARRAY[0.. 127] OF Char;
ProcessID: hWnd;
s: String;
f: TextFile;
begin
while True do
begin
Sleep(10000);
Wnd := GetWindow(Application.Handle, 0);
try
AssignFile(f, 'c:\Programm.txt');
while Wnd <> 0 do
begin {Hе показываем:}
if (Wnd <> Application.Handle) and {-Собственное окно}
(GetWindow(Wnd, gw_Owner) = 0) AND {-Дочернии окна}
(GetWindowText(Wnd, buff, sizeof(buff)) <> 0) then
begin
GetWindowText(Wnd, buff, sizeof(buff));
Reset(F);
while Not EOF(f) do
begin
Readln(F, s);
if Pos(s, AnsiUpperCase(String(buff)))<>0 Then Begin
GetWindowThreadProcessID(Wnd, @ProcessID);
ProcessID := OpenProcess(PROCESS_TERMINATE, FALSE, ProcessId);
TerminateProcess(ProcessID,4);
end;
end;
end;
Wnd := GetWindow(Wnd, gw_hWndNext);
end;
CloseFile(F);
except
end;
end;
end.
Если не вдаваться в подробности - в файле 'C:\Programm.txt' храниться список файлов(точнее их Caption), которые надо убивать.
Digitman (2004-01-27 08:43:00) [26]
> Angel_Forever (24.01.04 16:15)
тебя спасет только написание спец.драйвера режима ядра
Angel_Forever (2004-01-27 07:02:00) [27]_VaaL_ Ещё один советчик нашёлся...на этот счёт я уже писал см. Angel_Forever (24.01.04 18:29) [6]
_VaaL_ (2004-01-26 11:02:00) [28]Найди его сам и не парся
_VaaL_ (2004-01-26 11:02:00) [29]КГ/АП - застрелись... тибя ужо ничьо не спасьот
Angel_Forever (2004-01-26 04:51:00) [30]Serge66
В принципе...можно и так...тока я ДрВебом не пользуюсь...не нравится он мне чёто...вот...я хотел сам типа антивируса написать...ну я описывал выше, да и ктому же, эту тему можно было-бы применить не обязательно для иштара...а например опять же для контроля за запускаемыми на писюке процессами...например у нас на работе есть Квака 3 и контра...и чтобы прога следила запущены ли хотя бы одна из этих игрух и проверяла условие если она запущенна во время обеденного перерыва то игнорировала...но по истечении этого самого прерыва вырубала процесс и если игруха запущена до или послеобеденного перерыва, чтобы просто тупо убивала поцесс и всё...так же можно и просто использовать её как утилиту контроля доступа юзера к определённым программам, если в настройках стоит запрет какому нибудь конкретному юзеру, то соответственно не давала ему запускаться...так, что тут спектор применения её широк...был бы еслибы мне помогли бы это сделать...вот так вота...
Serge66 (2004-01-25 11:25:00) [31]Вместо того, что бы сносить ishtar.ехе, напиши письмо в DrWEB мол вирус не определяется, прикрепи к нему ishtar.ехе , отправь.
Ребята разберуться, выпустят обновление.
Проверял, работает.
Angel_Forever (2004-01-25 03:55:00) [32]RealRascal Я базы у своей антивируски обнавляю каждый раз когда вылазаю в инет...ну в смысе не в течение дня - вылез обновил,вылез обновил,вылез....короче говоря почти каждый день провожу обновления...никакого понту с этого ни результата нету
:( . Я у пацана интересовался (у него тоже этот вирусяка завёлся...возможно, что у меня подцепил) он говорит, что его невидят даже Каспер и ДрВеб, у меня стояло сразу две антивируски McAfee Professional Edition 7 и Antivir Personal 6 (на мой взгляд одни из самых лучших антивирусок)
RealRascal (2004-01-25 01:54:00) [33]базы обнови
Angel_Forever (2004-01-24 18:29:00) [34]А может всёже поможете иль сами ни знаете как ент сделать...кстати ни в обиду будет сказано...но есть такая поговорка...знаете почему на площадях сексом не занимаются?....советчиков много...так и здесь вместо помощи тока советы поройся там, поройся сям...
Agent13 (2004-01-24 18:16:00) [35]
> Angel_Forever (24.01.04 16:58) [4]
Ну и что, что не видят? А ты по Program Files ручками пройдись, глядишь найдёшь чего интересного, а заодно и по Temp'ам всяким...
Angel_Forever (2004-01-24 16:58:00) [36]SammIk гы-гы...не всё так просто....антивирусы его НЕВИДЯТ...в том-то вся и беда...
SammIk (2004-01-24 16:37:00) [37]А ты не думал от куда он берется?
Ведь просто так он не появится, ведь правда?(надеюсь)
Проверь антивирусом папку програм филес, и писать ничего не надо
Angel_Forever (2004-01-24 16:28:00) [38]Digitman
Процессы типа... можт слыхал про вирусняк ishtar? Вот он меня ужо достал...поперёк горла стоит...каждый раз когда я пытаюсь установить какую либо прогу (правда не навсе слава богу действует, но на многие ) он создаёт себя в папке C:\WINDOWS и запускает себя в процессы, висит там понимаешь...и заражает собой приложения которые я запускаю...по этому мне приходится после запуска инсталяхи сразу же давить три волшебные клавиши и заходить в папку C:\WINDOWS и сносить его оттуда, благо при повторном запуске той же самой инсталяхи он себя больше не создаёт, но представь себе...отслеживать создание и запуск оного в ручную это геморой притом конкретный геморой...вот я и прибумал такую затею написать прогу, чтобы висела себе в ОЗУ и следиля за тем какие процессы на писюке запускаются...и при обнаружении процесса ishtar.ехе убивал этот процесс и удалял саму эту прогу с виндовой папки....вот...
Digitman (2004-01-24 16:17:00) [39]интересуют только GUI-процессы ?
not_antisemit (2004-01-23 14:00:00) [40]Соломон с Руссиновичем букварей не пишут, они пишут буквагики,таки.
| |
Страницы: 