 |
|
Модераторы: Snowy, bartram, MetalFan, bems, Poseidon, Riply |
 
|
|
Отслеживание появления нового процесса 
| DoZENT |
|
|||
 Опытный  Профиль Группа: Участник Сообщений: 326 Регистрация: 2.6.2006 Репутация: 1 Всего: 1 |
Внедрил библиотеку во все процессы системы, теперь отслеживаю появление новых процессов через перехват ZwCreateThread и ZwResumeThread. Все нормлально перехватывается, я получаю хэндл нового процесса, в который необходимо внедрить библиотеку. Но ведь когда я буду это делать, получается, что внедрять будет не мой процесс, а тот, который перехватил функцию (извиняюсь за каламбур
 )... Значит надо использовать сплайсинг (это вроде не надежно в многопоточных приложениях)  -------------------- Какая боль, какая боль, Internet Explorer 5.0... |
|||
|
||||
Загрузка ...
| W4FhLF |
|
|||
 found myself Профиль Группа: Участник Клуба Сообщений: 2831 Регистрация: 2.12.2006 Репутация: 6 Всего: 121 |
А сейчас ты не сплайсчинг используешь? И почему надо использовать его?
-------------------- "Бог умер" © Ницше "Ницше умер" © Бог |
|||
|
||||
| DoZENT |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 326 Регистрация: 2.6.2006 Репутация: 1 Всего: 1 |
Сейчас я использую библиотеку advApiHook, а в ней по-моему не сплайсинг используется. Чтобы было понятней: как делать inject библиотеки "не от лица" чужого приложения? -------------------- Какая боль, какая боль, Internet Explorer 5.0... |
|||
|
||||
| W4FhLF |
|
|||
|
found myself Профиль Группа: Участник Клуба Сообщений: 2831 Регистрация: 2.12.2006 Репутация: 6 Всего: 121 |
В advApiHook сплайсинг.
Инжект сам по себе подразумевает внедрение чего-то во что-то от лица чужого приложения. -------------------- "Бог умер" © Ницше "Ницше умер" © Бог |
|||
|
||||
| DoZENT |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 326 Регистрация: 2.6.2006 Репутация: 1 Всего: 1 |
Это почему? Я же могу и от лица своего приложения внедрить. Когда я внедряю модуль от своего лица, касперский спрашивает разрешение на это дело. А если каждый процесс, в который я внедрил свою библиотеку начнет делать то же самое с каждым запущенным им приложением, то что начнется?? Касперский каждые 20 секунд орать будет  -------------------- Какая боль, какая боль, Internet Explorer 5.0... |
|||
|
||||
| W4FhLF |
|
|||
|
found myself Профиль Группа: Участник Клуба Сообщений: 2831 Регистрация: 2.12.2006 Репутация: 6 Всего: 121 |
Я что-то не пойму. Зачем каждому процессу в каждый созданный процесс что-то там инжектить? Инжектить будет тот процесс в котором сработал перехват, т.е. от контекста которого запускают новый процесс. Непонятно, в чём вообще вопрос?
-------------------- "Бог умер" © Ницше "Ницше умер" © Бог |
|||
|
||||
| DoZENT |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 326 Регистрация: 2.6.2006 Репутация: 1 Всего: 1 |
Да. Теперь представь, что каждый процесс запустил по программе. При этом касперский НА КАЖДЫЙ ИНЖЕКТ (если запускающая программа не в списке исключений) будет спрашивать разрешение. Мой вопрос в том, как этого избежать. Возможно ли перехватывать создание новых процессов ИЗ МОЕГО ПРИЛОЖЕНИЯ. Т.е. без инжекта в другие процессы. Я так подозреваю что нет, поэтому спрашиваю какие пути еще есть (например подойдет ли использование хуков) -------------------- Какая боль, какая боль, Internet Explorer 5.0... |
|||
|
||||
| dumb |
|
|||
 sceloglauxalbifacies Профиль Группа: Экс. модератор Сообщений: 2929 Регистрация: 16.6.2006 Репутация: 7 Всего: 158 |
все зависит от конечной цели твоего перехвата. хуки непосредственно создание процесса не отлавливают, но с их помощью можно отследить это по различным проявлениям(создание окна/очереди сообщений/итд). хуки ориентированы на GUI-приложения, т.е. с большинством консольных не работает. |
|||
|
||||
| DoZENT |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 326 Регистрация: 2.6.2006 Репутация: 1 Всего: 1 |
Это понятно, но их установка ведь внедряет модуль во все процессы системы? И по-моему при этом касперский не ругается -------------------- Какая боль, какая боль, Internet Explorer 5.0... |
|||
|
||||
| dumb |
|
||||
|
sceloglauxalbifacies Профиль Группа: Экс. модератор Сообщений: 2929 Регистрация: 16.6.2006 Репутация: 7 Всего: 158 |
во все gui-процессы. где-то видел, что и csrss-процессы хукаются, но на практике такого не видел
если включен контроль компонентов, то выскажется. но контроль компонентов обычно выключен, либо народ не особо "втыкает", что там написано и жмет "ок"...  |
||||
|
|||||
|
|
| Правила форума "Delphi: WinAPI и системное программирование" | |
|
|
Запрещено: 1. Публиковать ссылки на вскрытые компоненты 2. Обсуждать взлом компонентов и делиться вскрытыми компонентами
Если Вам понравилась атмосфера форума, заходите к нам чаще! С уважением, Snowy, bartram, MetalFan, bems, Poseidon, Rrader, Riply. |
| 0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей) | |
| 0 Пользователей: | |
| « Предыдущая тема | Delphi: WinAPI и системное программирование | Следующая тема » |
[ Время генерации скрипта: 0.0481 ] [ Использовано запросов: 21 ] [ GZIP включён ]
Реклама на сайте Информационное спонсорство
|
|
По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности Powered by Invision Power Board(R) 1.3 © 2003 IPS, Inc. |