Можно ли это сделать, чтобы пресечь запуск этого приложения, например, запросить пароль и т.д.?

Riddik

Средствами виндоуз, установить права доступа, к примеру дать доступ для запуска приложения только одному пользователю и убрать со всех остальных.
Если нужно просто перехватить запуск - тогда вопрос
как будет идти идентификация процесса? т.е. каким образом вы поймете что это именно тот процесс который нужен? file name, path? файл можно переименовать или переместить. Вообще задача немного непонятная.

Добавлено через 4 минуты и 24 секунды
Еще варианты - плоды больного воображения  

1. Перехватить CreateProcess
2. Подключать DLL ко всем запускаемым процессам (через регистры или другими методами) и проверять при запуске
3. Зашифровать файл и позволять запуск только через свое приложение (которое расшифрует перед запуском)

вариантов много, и у каждого свои проблемы 

file name или path не будут изменены. Пользователь один - он же админ. Иногда имеет доступ к компу другие люди, нужно просто не разрешать иногда им запускать один exeшник.

Если эти пользователи сидят по администратором - то в идеале никак нельзя. Все что вы сделаете - администратор может с легкостью убрать


А так, самый легкий способ это подключать ДЛЛ ко всем стартующим приложениям и проверять GetModuleFileName. Если наша программа, остаемся висеть, если нет - отгружаемся.
Путь к длл записать в 
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
Есть исключения, ДЛЛ не подключается к тем программам, которые не подгружают user32.dll (таких приложений очень мало).
Проблема: Пользователь может удалить из регистров этот путь и тогда он все прекрасно запустит.
Решение есть, но они все извращенные и как ни странно тоже не идеальные.

Это сообщение отредактировал(а) azesmcar - 4.5.2009, 10:42

проще всего - заразить этот .ехе своим кодом

Riddik

а шифровка программы не подходит?

Добавлено через 55 секунд

конечно, проще простого. Только надо обойти антивирусы.

GoldFinch, как можно заразить своим кодом, интересно?



azesmcar, скорее всего не подойдёт. В принципе,  в этом случае можно не волноваться что администратор или другие пользователи иогут удалить из регистров этот путь и т.д.

Вот надо попробовать заразить exe своим кодом, как это делается?

удалил, если не ошибаюсь это нарушение правил форума
Riddik

Ассемблером надеюсь владеете в совершенстве?

Это сообщение отредактировал(а) azesmcar - 4.5.2009, 11:35

azesmcar, нет, к сожалению. Значит, только ассемблером? 

exe файл это бинарный код, вставить в него что либо можно только на ассемблере либо напрямую нулями и единицами   . Проблемы описывать не буду, они наглядно описаны в учебниках виросуписания.

Это сообщение отредактировал(а) azesmcar - 4.5.2009, 11:46

Я тут подумал, может дезассемблить этот файл, чуть изменить, а потом опять..  

"заразить" наверное не совсем верный термин, правильнее наверное "расширить функциональность" программы
для этого есть несколько подходов

наиболее простой - написать длл на ЯВУ типа С++ и добавить эту длл в импорты самого .ехе или длл которые этот .ехе использует (не системных конечно). антивирусы на такое "заражение" внимания не обращают

другой подход - это написать на асме код (например вызов LoadLibraryA для загрузки своей длл), записать его в свободное место .ехе и перенаправить туда точку входа .exe (или все то же самое для одной из длл)
этот способ может непонравиться некоторым антивирусам, что впрочем необязательно, зато может скрыть факт загрузки своей длл и ее имя

GoldFinch, спасибо.

- Написать свой пакер при запуске запрашуеш пароль, если нормально разпаковываеш, загрущаеш exe.

- Устанопить хук на создание процесса(антивирусники могут ругатся)

можно установить свое приложение отладчиком для другого, это прописывается где-то в реестре

Добавлено через 1 минуту и 11 секунд

и все это может приводить к нестабильной работе системы  

Вот так стабильность.........

а что смущает?
Если зарегистрировать свое приложение как отладчик для другого приложения, то просто будет запускаться ваше приложение, всегда когда пользователь будет пытаться запустить другое, это куда безопаснее, чем пытаться изменять это приложение. Антивирус не будет иметь ничего против.
Что-бы это сделать, нужно в ключ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options добавить  подключ, имя которого совпадает с именем exe-файла приложения. Затем, нужно создать в этом подключе строковый параметр Debugger и указать в нем полный путь к своему приложению.
Каждый раз когда пользователь будет запускать приложение(откуда угодно), будет запущен ваш "отладчик" который получит на вход путь к отлаживаемому приложению.

Добавлено через 3 минуты и 27 секунд
зы
ProcessExplorer из sysinternals так делает, что-бы заменить taskmanager

интересно как например загрузка длл может привести к нестабильной работе системы? чтото в любом приложении используются длл, и почему-то система работает, как же так?
а как патч может привести к нестабильной работе? 
кстати о какой системе речь? об операционной? так процесс впринципе не может ей навредить, если не будет некоторые апи вызывать

он может испортить приложение, ну а способов, которыми приложение может навредить системе(операционной) и данным пользователя - масса  
к примеру, оно может просто использовать много памяти, что приведет к тормозам
в любом случае это хак, поэтому работать он не обязан, наиболее правильный вариант - перехватить CreateProcess

Добавлено через 7 минут и 44 секунды
и кстати, как ты применишь свой патч к приложению, если оно на readonly носителе? 

Добавлено через 8 минут и 10 секунд
и как ты его предлагаешь искать?

Ты еще забыл сказать про обновления приложения  
После каждого обновления его придется хакать снова


Не думаю что это самый правильный вариант (несмотря на то что я его предлагал)..но все же вариант. Правильным было бы на мой взгляд шифровать экзешник и запускать через себя, либо твой вариант с дебагером.

Это сообщение отредактировал(а) azesmcar - 7.5.2009, 13:10

Lazin, твой самописный дебагер куда как быстрее свалит систему, это несопоставимые задачи  - написать длл с необходимым кодом, или написать дебаггер с необходимым кодом

кстати, Image File Execution Options добавить  подключ, имя которого совпадает с именем exe-файла приложения
если приложение называется launch.exe ты их все дебажить будешь?

перехват CreateProcess - как минимум не соответствует задаче - надо работать с конкретным приложением, а не со всеми подряд, твой перехватчик будет висеть загруженным в системе все время, жрать память и жрать время у каждого приложения в системе? 
вот это как раз и приведет к тормозам, когда при каждом запуске процесса будет либо работать твой перехватчик, либо проверяться лишний ключ реестра

я же предложил способ который затронет только нужное приложение, будет жрать память не больше чем жрет памяти длл (2-3 страницы) и тратить время только нужного приложения ,при его запуске

Добавлено через 3 минуты и 29 секунд
azesmcar, добавление длл в импорты - процесс автоматический, есть готовые утилиты (lordpe, petools), можно самому написать код, причем код установки можно разместить в самой длл
добавление своего кода в PE также процесс не требующий вмешательства человека, те же вирусы успешно с этим справляются практически для любого PE

приложение не должно быть каким-то особенным, можно хоть notepad.exe использовать вместо отладчика  

в принципе, вариант с добавлением dll, то-же прокатит, но что проще сделать, написать dll, которая-бы запрашивала пароль и в случае, если он не подойдет, убивала-бы процесс или что-то в этом роде и добавить ее в список импорта, или написать приложение, которое запрашивало-бы пароль и потом запускало-бы приложение, путь к которому был передан через параметр командной строки?  

причем, в первом случае нужно бороться с обновлениями программы(если они есть)

return 0; в DllMain

!  GremlinProg

последние сообщения, не относящиеся к вопросу и нарушающие правила форума были удалены в итоге, остались следующие решения: 1. администрирование над ограничениями пользователя (azesmcar) 2. регистрация отладчика за приложением (Lazin) 3. добавление дополнительной библиотеки в таблицу импорта (GoldFinch) GoldFinch и azesmcar получают устные предупреждения свои мысли всегда можно донести до собеседника без лишней грубости (к тому же причин для такого поведения не было)

У меня похожий вопрос.

Мне нужно перехватывать открытие IE, а потом еще перехватывать некоторые события (

108 - изменение прогресса,
104 - закачка страницы завершена,
252 - NavigateComplete2

).

Знаю как это реализовать в теории. Нужна ваша помощь в более подробной реализации. Ну так вот:

- перехват создания окон

С помощью CoCreateInstance() создаем экземпляр компонента IShellWindows, далее, подключаем к нему обработчик извещений (DShellWindowsEvents), который как раз и получает события о создании окна. Обработчики подрубаются стандартным методом - поиск точки соединения через интерфейс IConnectionPoint и подключение к этой точке нашего компонента (класса) через функцию Advice().
Далее наш класс начинает принимать извещения через метод IDispatch::Invoke(). Параметры при этом никакие не передаются, но окна всегда добавляются в конец текущего листа IShellWindows, поэтому получив последний item из IShellWindows мы и получим только что созданное окно.

- перехват событий IE

Метод приема событий такой же как и у IShellWindows. Для этого у вновь созданного окна запрашиваем интерфейс IID_IWebBrowser2 и делаем InterfaceConnect(). В методе CWebBrowserEvents::Invoke() отлавливаем события: 108 - изменение прогресса, 104 - закачка страницы завершена, 252 - NavigateComplete2.


В теории, вроде, все просто, а вот на практике чего-то я запнулся. Помогите пожалуйста написать код на c++ без ATL (не знаю как прикрутить в борланде, а разработка идет в нем)

В том то и дело что очень легко защита обходится.

На распаковщики антивирусники некричат.

Pori а вот свою тему создать слабо?

не хотел плодить кучу однотипных тем, но раз общественность просит, то вот:

http://forum.vingrad.ru/forum/act-ST/f-100...2/unread-1.html

Там уже более конкретно по коду

перечитай тему, никто ничего обходить не будет

Может стоит попробовать сделать с PsSetCreateProcessNotifyRoutine() ?  

Для глобального перехвата я бы сделал драйвер с хуком CreateProcess.
Для перехвата юзермодных функций определенной программы(на примере IE) сделал бы так:
Путем инъекции длл в explorer.exe(оттуда запускают пользователи IE) перехватываю CreateProcess.
При создании любого процесса сверяем имя(можно хоть хеш содержимого, или с учетом размера) с подходящим по фильтру.
Если подходит - внедряем туже длл, только с перехватом "нужных функций".

Данный подход устраивал меня во многих ситуациях.
Т.к. ИМХО Виста полное Г, там не проверял. Но по темам , например на масм.ру - эти способы и там работают.