Мастера DELPHI (документация, исходники, скачать)

Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG

« предыдущая ветвь | форум | следующая ветвь »

Ловушка на запуск файлов. Hook на CreateProcess

Страницы: 1 2 >
sfary © (2010-08-21 00:10:00)
Подскажите. Есть ли готовые решения.

Допустим. Запускаю какой-то файл, нужно до его запуска показать мне, что этот файл пытается запуститься.. даже если его запускает другое приложение по CreateProcess

sfary (2010-08-25 19:41:00) [1]
Возможно ли определить, что процесс полностью инициализировался (только с windows dll) после чего поставить его на паузу. Если функция определения на его вирусность дала добро, то его выгружаем, в противном случае убираем с паузы. На данный момент это требуется. Сильно драйвера не требуются, ошибок много будет и лёгкость утеряется.

Игорь (2010-08-24 16:14:00) [2]

> Сергей М. © (24.08.10 15:54) [24]

Процесс еще не инициализировался, не загрузил ни одну dll, что он может?

А мы можем спокойно его замочить если он нам не понравился чем либо

Сергей М. (2010-08-24 15:54:00) [3]

> Игорь © (24.08.10 14:25) [23]

Даже если "образно", то как это поможет цели - "еще дозапуска" ?
Никак.
Вот в Висте и 2008-м сервере - там появилась PsSetCreateProcessNotifyRoutine Ex, она реально поможет.

Игорь (2010-08-24 14:25:00) [4]

> Сергей М. © (24.08.10 13:41) [22]

Да это я так образно

Сергей М. (2010-08-24 13:41:00) [5]

> Игорь © (24.08.10 12:32) [20]
> Перехват PsSetCreateProcessNotifyRoutine

Нафига его перехватывать-то ?

Игорь (2010-08-24 12:47:00) [6]
Тестировал под Windows XP SP2, Seven, x64 Seven

Игорь (2010-08-24 12:32:00) [7]

> sfary

Перехват PsSetCreateProcessNotifyRoutine, пока есть проблемка, не могу получить полный путь запускаемого процесса, из usermode не получаеться, надо получать в драйвере, доработаю позже, щас занет пока, под x64 драйвер подписан, надо только отключить проверку цифровой подписи F8

http://www.onlinedisk.ru/file/501133/

Сергей М. (2010-08-24 09:53:00) [8]

> Приму любую информацию касаемо темы

http://www.google.com/search?hl=ru&client=firefox&hs=KQS&rls=org.mozilla%3Aru%3Aofficial&q=pssetcreateprocessnotifyroutine+msdn&aq=1&aqi=g3&aql=&oq=pssetcreateprocessnoti&gs_rfai=

sfary (2010-08-24 01:16:00) [9]

> но это так же не поможет выполниться шпионскому ПО.
>

:D не то.

Аудит не помешает шпионскому ПО, тем более всегда находились способы выбраться в нулевое кольцо. Процесс не стоит на месте, Rootkits/Bootkit
последние практически не выгружаемы для антивирусов.

В любом случае, предотвратить какую-то часть от исполнения лучше, в моем случае (как мне кажется) не хилую.

Игорь взялся помочь нужным хорошим кодом, так как в действительности мне это не осилить. Постараюсь переписать с начала, минималистский апи интерфейс и оптимизированный код определения и дизасма для доп. анализа.

Проект в любом случае будет достаточно популярен, так как есть база для внедрения. Приму любую информацию касаемо темы.

sfary (2010-08-24 00:51:00) [10]
аудитне работает на компьютерах большинства людей, по умолчанию администратор. Можно конечно перевести человека под юзера с аудитом, но это так же не поможет выполниться шпионскому ПО.

Игорь (2010-08-22 22:35:00) [11]

> Игорь Шевченко © (22.08.10 18:27) [15]

Какой то довольно известный антивирус на этом принципе основан, ни каких хуков, забыл название

Игорь Шевченко (2010-08-22 18:27:00) [12]
аудит надо использовать, а не ерундой страдать.

sfary (2010-08-21 11:58:00) [13]
так я подобные проекты за 3 дня поднимаю, на массы. =)

с хуком было бы грамотнее.

Игорь (2010-08-21 11:49:00) [14]

> sfary (21.08.10 11:40)

Ваш энтузиазм похвален но даже будь вы МД у вас уйдет на это месяцы, а то и годы...

Забейте у вас ничго не получиться

sfary (2010-08-21 11:44:00) [15]
i.websvc[hotdog]gmail.com

Игорь, рановато ставить, косяков много.

sfary (2010-08-21 11:40:00) [16]
http://delphisources.ru/pages/sources/system/2010-year/process-protector.html

хотел применить это к блокированию системных файлов от внедрения writememory но затем понял, что это нарушит работу windows =)

проект бесплатный, так что с него ничего не поиметь. только могу разместить вашу рекламу.

Игорь (2010-08-21 11:36:00) [17]

> sfary (21.08.10 11:14) [7]
> http://slil.ru/29578798

> не требует подключения к интернету, не требует обновления

Я уже хочу поставить себе

Вы озвучте $ и мы всем форумом вам напишем HOOK CrateProcess по типу вот этого http://delphisources.ru/pages/sources/system/2010-year/process-protector.htmlисходника который я написал в радостном угаре ничего не зная о програмирование драйверов, надеюсь меня не сильно будут бить за все BSOD которые он вызвал

sfary (2010-08-21 11:22:00) [18]
Да, в курсе usermod надо, желательно простой apihook, в режиме ядра не требуется, с этим одни проблемы.. да и не требуется.

Размещу вашу рекламу в этот бесплатный проект.

Игорь (2010-08-21 11:15:00) [19]
И кстати на заметку в Windows Vista и выше NtCreateProcess и NtCreateProcessEx вам не поможет, в этих ОС нужно перехватывать NtCreateUserProcess

sfary (2010-08-21 11:14:00) [20]
http://slil.ru/29578798

в этой версии есть ошибки, так что необходимо заменить мои циклы на хук.

Страницы: 1 2 >

Наверх

	« предыдущая ветвь \| форум \| следующая ветвь »