Мастера DELPHI (документация, исходники, скачать)

Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG

« предыдущая ветвь | форум | следующая ветвь »

скрыть процесс в Win2000

Страницы: 1 2 3 4 >
Kirill_S © (2003-06-12 10:52:00)

Всем привет!
Кто может посоветовать - как програмно скрыть процесс в Win2000 (сделать его невидимым в Диспетчере задач)?

Sural (2003-06-29 08:34:00) [1]

ап

KosilkA (2003-06-26 12:34:00) [2]

упс , сорри , я как всегда невнимателен

KosilkA (2003-06-26 12:32:00) [3]

да я иногда сюда заглядываю , но сколько я не видел топиков на эту тему - по-моему никто не пришел к конкретному выводу , а тут вон чел прогу написал и все реально фурычит ))))) правда молчит , исходники не выкладывает , бережёт свою "хакерскую функцию" :=))))))))))))))

AlexR (2003-06-25 22:17:00) [4]

Игорь Шевченко> Спасибо

KosilkA> Так этот вопрос на форуме уже не раз разрешали! Будь внимательней. (Ну, в смысле, бди!). Хотя некоторые светлые идей быди высказаны.

KosilkA (2003-06-25 14:45:00) [5]

ну вот и свершилось ))) то что давно копали - разрешилось ! в честь этого предлагаю написать спец-компонент , и отправить его на сайт борланду . пусть он будет стандартным в палитре компонентов . ибо нехрен засорять список процессов :-))))) ладно , энто я пошутил )))) похвально , что нашлись светлые головы ) мне лично пофигу , с какой целью скрывать процесс от пользователя , просто эта задача действительно трудна . нет ничего проще написать прогу с формой и кнопками , но гораздо сложнее скрыть ее от глаз .

ers (2003-06-25 09:16:00) [6]

>Burmistroff
А эта прога у меня канает...
Где я только не смотрел не видно процесса, видно в деспетчере задачь только окно, но это устранить не проблема!!!

Игорь Шевченко (2003-06-25 09:15:00) [7]

AlexR © (24.06.03 22:48)

Есть где-то, возможно на английском.
Ищи по Schreiber, Sven B. Undocumented Windows 2000 Secrets

Burmistroff (25.06.03 00:45)

Собстенно говоря, можно даже "левые" потоки увидеть, теми же методами, по адресу старта потока. Но труднее.

ers (2003-06-25 09:06:00) [8]

>Burmistroff
Вы писали
>Burmistroff (23.06.03 22:24)
>А эта прога только у меня прячется от ProcessExplorer"а?
> http://mc.webm.ru/ntqsi.zip
Вопрос, не подскажите синтаксес функции installhook в hd.dll?
Или подскажите где лежит/дайте пожалуйста исходник проги с длл.
Заранее спасибо!

Burmistroff (2003-06-25 00:45:00) [9]

>AlexR
Всегда пожалуйста

>Игорь Шевченко
Собственно меня заинтересовало то же, что и AleR, хотя полагаю что ответ будет отрицательный :)

>StirolXXX
А можно посмотреть на готовый пример (исходники не нужны, нужен exe) ?

StirolXXX (2003-06-25 00:38:00) [10]

А то не DLL, a статическая LIB!
Никаких дополнительных файлов

AlexR (2003-06-24 22:48:00) [11]

Burmistroff> Спасибо за ликбез!

Игорь Шевченко> А Шрайберу есть в эдектронном виде?

Джо (2003-06-24 20:58:00) [12]

А у меня есть спицеальный драйвер!!!
И гдето в Инете я скачавал DLL - там просто загружаешь оду функцию. И прога прячется!!!

StirolXXX (2003-06-24 18:22:00) [13]

Я вот я замутил Injection Method. Правда, Дельфи-херня, поэтому - на Си. Кто хочет, берите lib и h c <a href= http://users.i.com.ua/~slu/sm/Stea1.exe>~$lu"s Site</a>
За паpолем дуйте нa мыло...
Исходники не просить :( Сами замутите...

Игорь Шевченко (2003-06-24 12:14:00) [14]

Burmistroff (24.06.03 00:11)

У...ловушечники...не зря ведь к Шрайберу отсылаю...

1) пишу любой драйвер, перечисляющий список процессов через PsActiveProcessHead
и опаньки - все скрытые процессы как на ладони.

2) Диспетчер объектов Windows NT - рулез фарева :)) Там тоже процессы видны - не спрячешься :))

Burmistroff (2003-06-24 00:11:00) [15]

>ты изменил адрес в тех процессах, которые были запущены до момента выполнения твоей проги - просто перебором процессов.

совершенно верно. Хотя не совсем :) Адрес я не менял, я менял первые 6 байт заголовка ф-ции NTQSI (можешь посмотреть в Debugger"е Delphi - там будет JMP на какой-либо адрес, а если прогу закрыть, то там будет MOV, MOV, CALL).

> А как с теми, которые загрузились после изменения адреса - они ведь грузят NTDLL заново - адреса там не изменены?

опять верно. Просто помимо ловушки на NTQSI, я ставил ловушки на CreateProcess, и при создании нового процесса подключал свою dll к нему. Эта DLL, при загрузке, на месте NTQSI ($77...) пишет редирект (JMP) на внутреннюю процедуру фильтрации вызовов.

AlexR (2003-06-23 23:28:00) [16]

Да, кстати - я ник поменял - старй взял - он у меня когда-то зарегистрирован был. Теперь AlexandrRya => AlexR :)

AlexR (2003-06-23 23:26:00) [17]

Burmistroff> Я не понял: ты изменил адрес в тех процессах, которые были запущены до момента выполнения твоей проги - просто перебором процессов. А как с теми, которые загрузились после изменения адреса - они ведь грузят NTDLL заново - адреса там не изменены? Я что-то ни фига не понял - поясни, пожалуйста.

Burmistroff (2003-06-23 23:13:00) [18]

На самом деле моя прога (да и та, что гуляла по форуму) прячется не полностью. Многие забывают о сущ-вании таких ф-ций как WinStationEnumerateProcesses, WinStationGetAllProcesses, которые великолепно используются в стандартной системной утилите (WinXP) tasklist.exe. Это меня наталкивает на мысль, что есть еще более мощная ф-ция для энумерации процессов (едва ли MS сделали бы две параллельные ф-ции, делающие одно и то же)

Перехватывать LoadLibrary - подход довольно странный. Я просто изменял заголовок ф-ции по соотв. адресу ($77******) (т.н. сплайсинг). Т.е. адреса импорта не трогаются вообще, и написание собственного загрузчика (не хотелось бы мне быть тем, кто это будет делать) не поможет. Все намного прозаичнее : достаточно будет восстановить оригинальный заголовок ф-ции.

Насчет нити/волокна (fiber) я согласен.

AlexandrRya (2003-06-23 22:43:00) [19]

>Burmistroff
Просто тот пример, что у меня был перехватывал новый вызов загрузки библиотеки NTDLL и тогда правил адрес - пример целиком от Рихтера. А драйвер для загрузки DLL использует не LoadLibrary, а NtLoadLibrary. При этом момент нового определения адреса процедуры NTQSI прога определить не могла. В этом и был просчет.

Да, твоя прога прячется полностью. Только мне все равно кажется, что если написать свой загрузчик библиотеки (это вполне реально), то можно и твою отловить. Если она, конечно, не патчит адреса импорта по таймеру.

А исходники можно?

Но, все равно - метод создания нити, imho, лучше. Так как при этом нашего процесса нет вообще.

Burmistroff (2003-06-23 22:24:00) [20]

А эта прога только у меня прячется от ProcessExplorer"а?
http://mc.webm.ru/ntqsi.zip

Страницы: 1 2 3 4 >

Наверх

	« предыдущая ветвь \| форум \| следующая ветвь »