Требуется убрать показ своего приложения в списке процессов и приложений в w2k, NT, XP

вот это ты хорошо придумал...токо говорю в очередной раз!!!
ntquerysysteminformation не обманешь!!!
Можно приклеить свою программу отдельным потоком другому приложению, но скрыть ВООБЩЕ - нельзя...Был такой журнал, звался Ring0 вот там описывалось как все это проделать...

Да я придумал это не из-за того что мне нужен ответ на вопрос. Я его знаю. Я просто хотел узнать что думает многоуважаемый all по этому вопросу  
Условия такие: не дать юзеру видеть процесс тока по CAD, об остальном можно не думать. т.е я понимаю что от всего не скроешь, здесь идёт разговор только о TaskList

RegisterServiceProcess...ипортируй из kernel32.dll

Цитата(Baa @ 02.6.2002, 20:12)

RegisterServiceProcess...ипортируй из kernel32.dll

Очень жаль но такое прокатит только в W9x,ME

Это уберет программу из тасклитса, но оставит в процес листе

Я этой глупостью не занимался, но вот я нашел на сайте:

http://delphibase.endimus.com

Код

{ **** UBPFD *********** by delphibase.endimus.com **** >> СКРЫТИЕ или отображение процесса из списка ctrl+alt+del СКРЫТИЕ или отображение процесса в списке ctrl+alt+del ПРАВИЛА ИСПОЛЬЗОВАНИЯ: ДЛЯ скрытия собственного приложения из списка процессов, отображаемых при нажатии CTRL+ALT+DEL, вызывайте функцию ShowHideInCad со следующими параметрами: ShowHideInCad (TakeMyApplicationProcessID, False) - и название Вашего приложения будет скрыто из списка CTRL+ALT+DEL ДЛЯ скрытия процесса чужого приложения, вызывайте функцию с такими параметрами: ShowHideInCAD (TakeProcessID('Заголовок окна скрываемого приложения'), FALSE) Зависимости: windows Автор:       VID, [[email protected]][email protected][/EMAIL], ICQ:132234868, Махачкала Copyright:   VID Дата:        23 мая 2002 г. ***************************************************** } unit cad; interface uses windows; function RegisterServiceProcess(dwProcessID, dwType: Integer): Integer; stdcall; external 'KERNEL32.DLL'; function ShowHideInCad(ProcessID:Integer; Show:Boolean):boolean; function TakeProcessID (WindowTitle:String):Integer; function TakeMyApplicationProcessID:Integer; implementation //Получение дескриптора процесса любого окна, по заголовку этого окна function TakeProcessID (WindowTitle:String):Integer; Var  WH:THandle; begin  result := 0;  WH := FindWindow (nil , pchar(WindowTitle));  IF WH <> 0 then GetWindowThreadProcessID(WH, @Result); end; //Получение дескриптора процесса собственного приложения function TakeMyApplicationProcessID:Integer; begin Result := GetCurrentProcessID; end; //Отображение/Скрытие процесса в CTRL+ALT+DEL function ShowHideInCAD(ProcessID:Integer; Show:Boolean):Boolean; begin result := true; try //если show = true , то отображаем процесс в CAD, иначе - прячем IF Show=True then RegisterServiceProcess(ProcessID, 0) else RegisterServiceProcess(ProcessID, 1); EXCEPT result := false;end; end; end.

PS.

Цитата

Да я придумал это не из-за того что мне нужен ответ на вопрос. Я его знаю. Я просто хотел узнать что думает многоуважаемый all по этому вопросу

Вообще-то я думал что большинство посителей приходин на форум за конкретным решением... Может я в корне ошибаюсь, и мне надо вместо ответов присылать загадки, ответы на которые я знаю.

Vit, ну уж извините меня пожалйста. Больше не буду, когда у меня нет конкретного вопроса. Нельзя узнать мнение людей ?
По существу вопроса: Ваш вариант такой же как и у Baa

2Baa, Vit: обратите внимание на вопрос:

Требуется убрать показ своего приложения в списке процессов и приложений в w2k, NT, XP

Вот:

Код

_asm{  mov eax,1  push eax  dec eax  push eax  call dword ptr[pRegisterServiceProcess] }

тот код, что на асме легко внедрить в паскаль.({}->asm...end;)
Вообше это дело есть тута:http://www.forum.vingrad.ru/cgi-bin/newforum/ikonboard.cgi?act=ST;f=31;t=978

Ещё раз говорю: в вышеуказанных ОС этого нельзя добиться через RegisterServiceProcess()

Уф... Уже и весь MSDN прочел и там и сям... но вот че откопал:
Как сделать прогу невидимой в NT
И еше для себя открыл очень интересную штучку:PsSetCreateProcessNotifyRoutine
А это как оное можно юзать:вот так

Занятная статейка но процесс прятать не умеет (
Дочитайте до конца

Я ее всю прочитал. Может я понял че не так... Вроде автор сатейки поясняет в конце как она (прога) работает.

Цитата из статьи:

"Что предлагаемый мною способ НЕ ДЕЛАЕТ:

Не скрывает процесс.

Не скрывает поток.

Не запускает драйвер."

Цитата

Довольно странно, что везде пишут про невозможность обмана функции NtQuerySystemInformation. Я с этим делом мучился довольно долго, а все оказалось очень просто. Думаю, многие из вас читали книгу Рихтера или что-то подобное. Главное знать как перехватываются вызовы функций и этого вполне достаточно. Далее следует сама перехваченная функция: Код NTAPI Hook_NtQuerySystemInformation( LONG type, PVOID SystemInformation, LONG SystemInformationLength, PLONG ReturnLength ) { SYSTEM_PROCESS_INFORMATION *pinfo, *pinfo_last; // вызываем оригинальную функцию ((PFNNtQuerySystemInformation)(PROC) g_NtQuerySystemInformation) (type, SystemInformation, SystemInformationLength, ReturnLength); // если получается информация о процессах if(type == 5) { if(SystemInformationLength > 20000) { pinfo = (SYSTEM_PROCESS_INFORMATION*)SystemInformation; for(;;) { // если идентификатор процесса равен идентификатору нашего процесса if(pinfo->ProcessID == progProcessId) { if(pinfo->NextOffest == 0) { pinfo_last->NextOffest = 0; } else { pinfo_last->NextOffest += pinfo->NextOffest; } } if(pinfo->NextOffest == 0) break; pinfo_last = pinfo; pinfo = (SYSTEM_PROCESS_INFORMATION*)((char *)pinfo + pinfo->NextOffest); } } } }

Цитата(Song @ 03.6.2002, 15:32)

Цитата из статьи: "Что предлагаемый мною способ НЕ ДЕЛАЕТ: Не скрывает процесс. Не скрывает поток. Не запускает драйвер."

А дальше что написано?

Ну.. вообщем это не вся правда..
Отсюда недостаточно инфы чтобы напсать корректный обработчик. Хотя делается примерно так.

Kak tak?

Всем привет! Автора вызывали? Вот он я.
Работает прога или нет? Вроде у меня частично работала. Процесс действительно не скрывает. Я и не ставил такой циклопической задачи (перехват функций драйвером не в счет). Просто есть кусочек кода, который работает себе у Вас на компе, и обнаружить его очень трудно (по крайней мере для меня). Вот и все.

у-у-у-у-у. Ну вопрос тогда отпадает.
2Song: Так как это делать нужно?

P.S. Для тех, кто не знает: Танака - автор ответа на BugTraq.ru, что я запостил.

Цитата

Чтобы выключить комбинацию CAD нужно зарегить прогу в качестве скринсэйвера (SPI_SCREENSAVERRUNNING)

Это твоя цитата, Song. Это ответ?

Нет. Это работает только в W9x/Me.

Для ОС серии NT, нужно ставить хук на NTQueryInformation подменяя при вызове информацию о процессе. Таким образом ОС не увидит наш процесс. Я не могу привести код по той причине, что в этот же день добавится десятка два вирусов дополнительно и виновником буду я. Не секрет, что именно в этом и есть уязвимость червей. Их процесс не виден в 9x/Me, но легко виден в NT,2000,XP.
Собственно говоря, того что я уже сказал достаточно написать подобный обработчик для многих не совсем даже опытных программистов.

Моей целью было узнать, какие идеи есть у многоуважаемых посетителей данного форума, возможно было решение, о котором я не знаю, расширить таким образом свои знания и дать потренироваться другим программистам в достижении цели, о которой хотят узнать очень многие (по опыту общения на www.delphi.mastak.ru), но не рассказать как это делается. Простите, кто сейчас разочаровался, хотя узнать возможное решение. Надеюсь Вы поймёте меня.

Совершенно одобряю такой подход, не надо нам выращивать червеписателей...


To Song: Так что, закрывать тему, как завершенную?

Vit, модератор на форуме ты, а не я. Тебе и решать.
С одной стороны я обрисовал картину и вопрос как сделать решился и может быть правомочно закрыт, с другой стороны возможно эту тему кто-то будет читать и предложит что-нибудь своё.
Тебе выбирать.