Забиваешь в начало нормального notepade.exe 0x0160 символ и все (этот тот, что появляется при зажатом альте и наборе 0160)
Правда не выход пропатчить реальный нотпад намного интересней

Аморальные вещи обсуждаются на этом форуме но у мя идея такая можно в реестре ассоциацию подправить и усе

cully твоя идея не катит :\ потому как исправление реестра будет намного заметней, чем пропатчивание блокнота...
з.ы. мы еще будем антивирус обсуждать вот там ты изменим ассоциацию тхт файлов и при запуске их, он будет лечить их %)

Вот вам простой до безобразия способ:


Читаем название Shella из INI (обычно Explorer.exe)
Копируем вирь на с:\ под именем Shella

После перезагрузки запустится с:\Shell а не с:\Windows\Shell
Копируем себя куда угодно и закрываем старый процесс что на с:\ (но не удаляем)
Запустились ! Теперь запускаем настоящий Shell

Усё!

RAdmin эээ... эт ты к чему? мы вообще текстовые файлики заражали... наш способ под конкретную задачу, а не вообще...

Цитата(Baa @ 11.2.2003, 22:46)

RAdmin эээ... эт ты к чему? мы вообще текстовые файлики заражали... наш способ под конкретную задачу, а не вообще...

я тему не от начала читал, думал вы автозагрузку обсуждаете.

Цитата

Я предполагал патчить notepad.exe, поскольку винда начнет показывать окошки с именами приложений. Например, если у тебя есть заготовленный старый notepad_back.exe, а ты сам - notepad.exe, то ты должен будешь опосля (или во время своего выполнения) себя вызвать этот "back". Это отдельный процесс, и он будет виден именно как "back". Да, ты не будешь виден (графическое приложение без окон), на три клавиши либо забьешь, либо победишь их даже, но вот как будет виден настоящий notepad ? А если еще кто-то в пиф-файл заглянет за "свойствами" ?

Переименовал блокнот во чтото там. Запустил. Все нормально. И в трех клавишах тоже.
Пропатчить блокнот конечно хорошо, но для такой цели это слишком сложно.
А можно обмануть еще юзера:
1. Записываемся вместо блокнота, его переименовываем.
2. После запуска нашего блокното-заменителя работаем с нужным файлом.
3. После работы с файлом создаем и запускаем батник, который:
а. переименовывает ваш ехе-файл,
б. переименовывает и запускает блокнот,
в. пытается переименовать блокнот обратно (в цикле),
г. переименовывает обратно ваш ехе-файл.
4. завершаем свою работу

А можно проще.
1. Переименовываем нотепад
2. Себя вместо него.
3. После запуска нашей проги работаем с нужным файлом.
4. Подгружаем к себе в адресное пространство блокнот и запускаем (можно отдельным потоком)

Цитата

4. Подгружаем к себе в адресное пространство блокнот и запускаем (можно отдельным потоком)

Это как?

Гы %) действительно, как это? проще в чужом адресном пространстве выполнить свои действа, чем ЗАПУСТИТЬ в своей адресном пространстве инородную программу, ведь при запуске программы под неё выделяется свое адресное пространство.

Цитата

Это как?

Ну просто пытаемся загрузить ее по imagebase, указанному в ее заголовке. Для этого у себя другое imagebase делаем. Вот тока память еще под это выделить надо по определенному адресу. И запускаем. Мне кажется, так проще, ведь не надо к нему приделываться. А главное, ни в каких списках процессов лишнего блокнота не будет

Цитата

Ну просто пытаемся загрузить ее по imagebase, указанному в ее заголовке.

А как же импорты и фиксапы? Все ручками? или LoadLibrary?

Цитата

А как же импорты и фиксапы? Все ручками? или LoadLibrary?

Ручками! Загружаешь, настраиваешь... Но я не говорю, что это лучший и простой способ. Просто в голову пришел. Зато способ универсален: не надо подстраиваться пон конкретный блокнот в конкретной версии винды.

Идея такая появилась:

- В PE заголовке у блокнота EntryPoint поставить в NULL.
- Использовать LoadLibrary("notepad.exe").
- Вызвать сохраненую ранее реальную EntryPoint блокнота.

может тогда все будет ОК?

Цитата

Идея такая появилась: - В PE заголовке у блокнота EntryPoint поставить в NULL. - Использовать LoadLibrary("notepad.exe"). - Вызвать сохраненую ранее реальную EntryPoint блокнота. может тогда все будет ОК?

Идея интересная. Но а как быть с контрольной суммой? у ехе обычно равна нулю, а у библиотек высчитывается линкером. Виндам может это не понравится, попозже проверю.

А еще можно File System API Hook. Под 9х даже драйвера не нужны.