Мастера DELPHI (документация, исходники, скачать)

Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG

« предыдущая ветвь | форум | следующая ветвь »

Скрытие процесса в NT [D6, D7, NT4, Win2k, WinXP]

Страницы: < 1 2 3 4 5 >
shiller © (2004-04-01 11:38:00)
Народ, подскажите пожалуйста как скрыть процесс в NT я знаю что такая вещь уже возможна на Borland C++ Builder, но как ее реализовать в Delphi?

vidiv (2004-06-14 13:35:00) [21]
Смысл чтото скрывать... лучше всего скрыто то что лежит навиду ;)

kot (2004-06-14 11:04:00) [22]
нет не стоит скрывать ничего ..

Vetek (2004-06-13 15:41:00) [23]
Да, кстати, самое лучшее решение IMXO (по критериям:
простота*надёжность/профессионализм)
- создавать поток в существующем _ресурсоёмком_ приложении и работать оттуда :) (например Explorer.exe)
- IMXO обычный пользователь _никогда_ такой поток не обнаружит, и будет работать на всей линейке M$ Windows , не будет глюков !!!
- а профессионал/спецпрога засекёт в любом случае .. %-:)
- у кого какие мнения на этот счёт ?
да, кстати, [2] - этот принцип используется с успехом в разных "левых" прогах :(

Vetek (2004-06-12 23:24:00) [24]
сильнее будет тот, кто первый выгрузит другой драйвер !

Piter (2004-06-12 01:13:00) [25]
Игорь Шевченко (11.06.04 23:48) [73]
Способ третий - написать драйвер режима ядра

а мне вот чисто теоретически интересно - а если процесс будет скрываться также драйвером, работающим в режиме ядра... то какой драйвер окажется "сильнее"?

Piter (2004-06-12 01:12:00) [26]
блин, поздно сейчас. Я туплю... сорри

Piter (2004-06-12 01:12:00) [27]
Игорь Шевченко (11.06.04 23:48) [73]
Способ первый - просмотр списка описателей процессов открытых процессом CSRSS.EXE

а-а-а. Так вроде адреса памяти по которым находится таблица описателей запрещены для чтения?! Как же их можно просмотреть?
Цитирую:

Игорь Шевченко (31.05.04 11:24) [10]
только доступ из пользовательского режима туда запрещен даже на чтение

Игорь Шевченко (2004-06-11 23:48:00) [28]
Piter © (09.06.04 17:42)

> Я думаю задам очень логичный вопрос - какие способы?

Способ первый - просмотр списка описателей процессов открытых процессом CSRSS.EXE (Для этого достаточно Process Explorer от Sysinternals)
Способ второй - вызов NtQuerySystemInformation с несколько другими параметрами, не всегда документированными :)
Способ третий - написать драйвер режима ядра или использовать готовый, например, Свена Шрайбера, и получить список процессов так, как его получает ядерная часть NtQuerySystemInformation (способ самый сложный, но и самый надежный)

Piter (2004-06-11 18:09:00) [29]
Удалено модератором
Примечание: Создание пустых сообщений

Piter (2004-06-10 18:04:00) [30]
Удалено модератором
Примечание: Создание пустых сообщений

Piter (2004-06-09 17:42:00) [31]
Игорь Шевченко (09.06.04 16:06) [69]

Я думаю задам очень логичный вопрос - какие способы?

Игорь Шевченко (2004-06-09 16:06:00) [32]
Piter © (09.06.04 15:56)

> А как поймать процесс, если он перехватывает NtQuerySystemInformation
> ?

Существует несколько способов.

Piter (2004-06-09 15:56:00) [33]
А как поймать процесс, если он перехватывает NtQuerySystemInformation ?

Просто Серёга (2004-06-07 12:59:00) [34]
Koster
shutdown -a есть такая фишка, но один мой дружок поступал более красиво: после вылетания этого окошка он быстро переставлял дату на год назад и затем это окошко прятал под таскбар =))

А вот насчёт скрытия процессов можно вроде бы как-то дээлэлки к свцхосту присобачивать или юзать утилитку regsvr32 в этой дээлэлке якобы должны функции DllCanUloadNow, DllRegisterServer и т.д., вот хотелось бы об этом попдронее узнать )

Koster (2004-06-03 11:11:00) [35]
Ребята, а "shutdown -a" набрать не пробовали, когда окошко с обратным остчетом пойдет?
Попробуйте ;-)

Polevi (2004-05-30 09:46:00) [36]
именно "проги"

IraiZor (2004-05-30 07:58:00) [37]
Smiler
если убить настоящий lsass , а если фальшивый то все будет ок! вообще скрыть процесс имхо лучше тк если ты его просто замаскируешь или попытаешся сделать неубиваемым то все равно если кто-то очень захочет избавится от твоего процесса,он найдет способ +) а если процесс просто невидим, то юзер ничего даже подозревать не будет...

Тем более мы же пишем админские проги а не вирусы какие-нибудь =)) для нас это несерьезно ;)

Smiler (2004-05-30 02:10:00) [38]
И почему все хотят скрыть процесс?
Может просто сделать его неубиваемым, т.е. неубиваемой на TerminateProcess...//

Полностью сошласен.Если при насильном закрытии убивать lsass.exe то появиться окошко экстренного завершения работы системы(вроде через 30 сек.) и после этого явно никому не надо больше будет трогать твой процесс. И прятать не надо.просто надо замаскировать под системный.

Может это и примитивно, но работает.

IraiZor (2004-05-29 18:33:00) [39]
чтобы можно было без проблем скрывать программу (по необходимости ..)
страшно подумать скока вирей резидентов появится o_0 ?

Gero (2004-05-29 18:26:00) [40]

> чтобы можно было без проблем скрывать программу (по необходимости ..)

LOL

Страницы: < 1 2 3 4 5 >

Наверх

	« предыдущая ветвь \| форум \| следующая ветвь »