| Форумы
ЧАТ |
Орешник |
|
| Форумы -» | Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG |
|
| ||
|
|
Новости |
Поиск |
FAQ |
Статьи |
Книги |
Новости VCL
| | Форумы ЧАТ |
Орешник |
|
| |||
| |||
| |||
« предыдущая ветвь | форум | следующая ветвь »
Скрытие процесса в NT [D6, D7, NT4, Win2k, WinXP]
shiller © (2004-04-01 11:38:00)Народ, подскажите пожалуйста как скрыть процесс в NT я знаю что такая вещь уже возможна на Borland C++ Builder, но как ее реализовать в Delphi?
(2004-05-16 23:08:00) [61]Удалено модератором
mixir (2004-05-15 20:30:00) [62]
> AlexKniga © (13.05.04 19:33) [38]
> DelphiN!
> Любой третьесторонний Task Killer прибивает winlogon.exe
> на ура!
Щасссс... Значит таскмгр даже не третьесторонний киллер,а фуфло галимое, так?
winlogon.exe можно убить с привелегией дебага путем получения доступа к отлаживанию его.Да, кстати без привелегии дебага убить процессы ринга 2 НЕЛЬЗЯ!
AlexKniga (2004-05-13 19:33:00) [63]DelphiN!
Любой третьесторонний Task Killer прибивает winlogon.exe на ура!
DelphiN! (2004-05-12 21:42:00) [64]Назовите вы файл вашей программы какнибудь типо winlogon.exe и его никто снять не сможет(процесс)
Kerk (2004-04-07 09:35:00) [65]
> Может просто сделать его неубиваемым, т.е. неубиваемой на
> TerminateProcess...
> Нннда, может кто и знает как это сделать..?
Это решается правильным администрированием.
Gamlet (2004-04-07 09:00:00) [66]Начитался я тут...
И почему все хотят скрыть процесс?
Может просто сделать его неубиваемым, т.е. неубиваемой на TerminateProcess...
Нннда, может кто и знает как это сделать..?
Игорь Шевченко (2004-04-06 17:47:00) [67]Мне что удивительно - на что только люди не идут.
Gultipaka (2004-04-06 16:56:00) [68]raz uzh et obsuzhdenije zashlo v offtopick to idite sjuda http://cydem.org.ua/pars.php?lnk=invisible_code_nt&conf=2, i uchites' skryvat' process.
Игорь Шевченко (2004-04-05 12:36:00) [69]Kerk © (05.04.04 11:39)
По стеку, дружище, по стеку...
Kerk (2004-04-05 11:39:00) [70]
> Игорь Шевченко © (04.04.04 23:20) [30]
А как ты определишь какой поток (например в explorer.exe) штатный, а какой не штатный?
Игорь Шевченко (2004-04-04 23:20:00) [71]Xavier © (04.04.04 23:06)
Да никто не отменял. Только например у меня вызовутся вполне обоснованные подозрения, откуда это в адресном пространстве некоего процесса взялся нештатный модуль и нештатный кодовый поток. Есть такой неплохой инструмент Process Explorer от SysInternals, последняя версия показывает списки модулей и потоков...
Xavier (2004-04-04 23:06:00) [72]А CreateRemoteThread кто-нибудь отменил?
Kerk (2004-04-04 15:02:00) [73]
> А как ты в драйвере WinAPI будешь использовать?
Причем тут драйвер и зачем мне обязатательно использовать WinAPI?
На крайняк можно callgate в ring3 создавать для вызова WinAPI, если уж сильно нужно.
Kerk (2004-04-04 14:59:00) [74]
> А овчинка-то выделки стоит ?
Это уже другой вопрос. :)
Wiz@rd (2004-04-04 14:52:00) [75]А как ты в драйвере WinAPI будешь использовать?
Игорь Шевченко (2004-04-04 14:47:00) [76]Kerk © (04.04.04 13:53)
А овчинка-то выделки стоит ? Я конечно понимаю, стелсы там всякие, крутизна немерянная и т.д.
Тогда уж делать проще - писать резидентную программу. Я надеюсь, здесь термин "резидентная программа" будет понята правильно - это программа, загружающаяся вместе с системой в процессе начальной загрузки, аналогично драйверам.
Kerk (2004-04-04 13:53:00) [77]
> Wiz@rd © (03.04.04 21:46) [22]
Повежливее пожалуйста... %)
То, что я описал вполне выполнимо. Сомнения вызывает только пункт №6
> Игорь Шевченко © (03.04.04 22:02) [23]
>> 6. из нулевого кольца поотрубать руки всем, кто хочет на
>> нас посмотреть... (e.g. запретить открытие \device\physmem
>> ... etc)
> Как ты сам понимаешь, система при этом становится полностью
> неработоспособной.
Ну это я утрирую, на самом деле можно было бы сделать что-то вроде стелс, т.е. при попытки чтения тела нашей проги, подставлять вместо себя байты, которые там были до нас...
> Вроде, для него можно имитировать трансляцию виртуальных
> адресов ;))))
Интересно... вот бы кто попробовал... :)
Небывает ничего невозможного, бывает только маловероятное. (с)Стажеры.
Игорь Шевченко (2004-04-03 22:02:00) [78]Kerk © (03.04.04 13:53)
> 6. из нулевого кольца поотрубать руки всем, кто хочет на
> нас посмотреть... (e.g. запретить открытие \device\physmem
> ... etc)
Как ты сам понимаешь, система при этом становится полностью неработоспособной. Такой же метод скрытия можно выполнить гораздо быстрее нажав кнопки "Reset" или "Power" на корпусе компьютера.
Кстати, про открытие \device\physmem...интересная мысль...очередь процессов живет в неподкачиваемом пуле ? Вроде, для него можно имитировать трансляцию виртуальных адресов ;))))
Wiz@rd (2004-04-03 21:46:00) [79]1. перейти в нулевое кольцо
2. открыть физическую память на запись
3. записать по адресу 0000:0000 себя,
4. передать туда как-нибудь управление (куча возможностей)
5. завершить основной процесс
6. из нулевого кольца поотрубать руки всем, кто хочет на нас посмотреть... (e.g. запретить открытие \device\physmem ... etc)
вот примерный алгоритм...
извращение конечно, но все-таки... :)
Может пример приведёшь раз такой умный? А может ещё собственную эмуляцию процессора написать - нас тогда вообще убить нельзя будет...
Kerk (2004-04-03 13:53:00) [80]1. перейти в нулевое кольцо
2. открыть физическую память на запись
3. записать по адресу 0000:0000 себя,
4. передать туда как-нибудь управление (куча возможностей)
5. завершить основной процесс
6. из нулевого кольца поотрубать руки всем, кто хочет на нас посмотреть... (e.g. запретить открытие \device\physmem ... etc)
вот примерный алгоритм...
извращение конечно, но все-таки... :)
| |
Страницы: 