[C++] Маскировка процесса в Windows Task Manager

#1 Slash

Пользователь
78 сообщений

Откуда:Estonia - Tallinn

Отправлено 04 августа 2005 - 11:46

У меня возник вопрос, каким образом можно сделать процесс невидимым в Windows Task Manager'е. Альтернативный вариант - сделать его защищённым, т.е. недоступным для команды End Process (типа как у некоторых антивирусников). Пишу на Visual C++ 6.0. Заранее благодарен всем откликнувшимся.

Наверх

#2 Setor

Постоялец
1 890 сообщений

Откуда:Эстония, Таллин

Отправлено 04 августа 2005 - 11:50

Slash, никак

Добавлено в [mergetime]1123149034[/mergetime]
Или это не должно быть самостоятельное exe приложение (какой-нить Internet Explorer Extension или что-то в этом роде)

Наверх

#3 Slash

Пользователь
78 сообщений

Откуда:Estonia - Tallinn

Отправлено 04 августа 2005 - 12:07

Ну всякие падлёные программы то маскируются. Причом я нашёл способ как вообще обнулить весь список в Task Manager'e через прямое обращение к его контролам и Child окнам. Только мне это не совсем подходит.

Наверх

#4 Warvick

Пользователь
411 сообщений

Откуда:Tallinn

Отправлено 04 августа 2005 - 13:24

Slash

Причом я нашёл способ как вообще обнулить весь список в Task Manager'e через прямое обращение к его контролам и Child окнам.

а что определённую "строку" удалить нельзя? Или у тебя ограничен список вызываемых методов?

альтернативный вариант - сделать его защищённым, т.е. недоступным для команды End Process (типа как у некоторых антивирусников)

тут копать только в сторону приоритетов, выдаваемых процессу операционной системой... например устанавливать прогу как сервис и как-то поиграться с настройками..

Да, я такой!

Наверх

#5 Voland

Пользователь
272 сообщений

Отправлено 04 августа 2005 - 13:36

Перехватывать вызов NtQuerySystemInformation и при необходимости изменять возвращаемые ею данные.

http://www.hot.ee/voland/hidingru.txt

Наверх

#6 Slash

Пользователь
78 сообщений

Откуда:Estonia - Tallinn

Отправлено 04 августа 2005 - 13:58

Slash

а что определённую "строку" удалить нельзя? Или у тебя ограничен список вызываемых методов?

Для SysListView32 есть такая константа LVM_DELETECOLUMN (удаляет весь столбец), но как из этого List'а вытащить контент и потом удалить конкретную строку я не знаю.

Я сегодня ещё поковыряю снова, хотя уверенности у меня всё меньше, что такой способ может сработать.

Наверх

#7 Voland

Пользователь
272 сообщений

Отправлено 04 августа 2005 - 14:08

Slash, а что пишеш если не секрет?

Наверх

#8 -Z-

Пользователь
16 сообщений

Отправлено 04 августа 2005 - 14:10

Сервицы все равно отображаются в панели процессов.
Вообще для этой проблемы есть несколько вариантов решения.
Покопайтесь по сети, велосипеды давно изобретены.

Добавлено в [mergetime]1123157455[/mergetime]
А пишет он по ходу трояна, что быу денги воровать.
Хехе

Пользуясь моментом, хочу передать привет друзьям, которые тоже пользуются «Моментом»

Наверх

#9 Voland

Пользователь
272 сообщений

Отправлено 04 августа 2005 - 14:12

Slash, да, и ещё. Ну спрячешся ты от таск мэенеджэра путём удаления строк, а как на счёт других процесс вьюверов?

Наверх

#10 Slash

Пользователь
78 сообщений

Откуда:Estonia - Tallinn

Отправлено 04 августа 2005 - 14:29

Slash, а что пишеш если не секрет?

Пишу полезный тул, который поможет мне немного подкорректировать учёт рабочего времени.

Функционал уже закончен, осталось только немного замаскировать.

Slash, да, и ещё. Ну спрячешся ты от таск мэенеджэра путём удаления строк, а как на счёт других процесс вьюверов?

А мне другие не очень нужны. Понятное дело его можно будет через SystemInfo углядеть, даже если он как сервис будет. Ну чтоб хотя бы в Task Manager'e не было видно, ну или убить было бы нельзя.

Сообщение изменено: Slash (04 августа 2005 - 14:31 )

Наверх

#11 dronius

Пользователь
153 сообщений

Отправлено 11 августа 2005 - 22:19

Ухх, по памяти.

Политкорректный способ: запуск процесса и изменение к нему доступа. Реализуется с помощью удаления соответствующих прав из ACL процесса. Документировано частично в MSDN , используется AddAccessDeniedAce, SetSecurityDescriptorDacl и.т.п.

Лобовой способ: перехват (hook) NtQuerySystemInformation и переход к следующему процессу при опросе собственного. В нете есть исходники. Процесс тем не менее можно косвенно обнаружить по его деятельности. Типа доступ к файлам, реестру итд. К тому же, процесс вроде видно на уровне ядра, подробнее не помню.

Элегантный способ: прицепление к чужому процессу.
1) создание удаленного потока (keywords: create remote thread) в существующем процессе. нужны соотв. права доступа.
2) прикрепление собственной библиотеки к существующему процессу посредством хуков (windows hooks). например на сообщения или еще чего
3) загрузка собственной библиотеки средствами опсистемы как плугина или расширяющего модуля. много способов, частично описано в интернете и MSDN