Форум АНТИЧАТ

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)
-   С/С++, C#, Delphi, .NET, Asm (https://forum.antichat.xyz/forumdisplay.php?f=24)
-   -   Скрыть процессы программы на С++ (https://forum.antichat.xyz/showthread.php?t=40497)

gold-goblin 21.05.2007 00:15
Скрыть процессы программы на С++
 
Задача бональна но решения у меня нет.

Надо скрыть прогу на С++ из диспечера задач винды,
Как это можно сделать?

gevara 21.05.2007 00:21
Я бы предложил хук SDT - ZwQuerySystemInformation(ProcessAndThreadsInformat ion...)
хм.. не знаю - подойдёт ли... вобщем ищем в процессах taskmgk.exe и вносим необходимые изменения там.. можно также перехватывать окошко диспетчера задач.

В первом случае необходимо залезть в память ядра - т.е. написать дров. Во втором нужен инжект в другой процесс.

slesh 21.05.2007 00:26
А если юзаешь ProcessExplorerNT - то тяжко скрыть.
тут тока или через ring0 замодить таблицу процессов или перехватом ядрёных функций.

Ky3bMu4 21.05.2007 10:37
Проще инжекнуцо в процесс.

Visor 21.05.2007 11:27
известная проблема.
для windows 9х подошёл бы вот такой код:
Код:
typedef DWORD (CALLBACK* TRegProc)(DWORD, DWORD);
HINSTANCE                Kern;
TRegProc                RegProc;
Kern = LoadLibrary("KERNEL32.DLL");
if(Kern)
{
  RegProc = (TRegProc)GetProcAddress(Kern, "RegisterServiceProcess");
  if(RegProc)
    RegProc(GetCurrentProcessId(),1);
  FreeLibrary(Kern);
}
А вот под NT уже нет. сам пробовал :(
Тоже искал решение такой проблемы. Нашёл кое-что (надеюсь, что поможет): ссылка на решение проблемы

slesh 21.05.2007 11:31
В принципе есть еще способ - это через hook DLL просто встречал исходник дельфяный одно дллки которая прятала запущенный процесс, но её уже давным давно палят авиры. Хотя переписать можно запросто. Но тоскать с собой dll'ку - ни есть гуд.
Я помню когдатьо в своем трояна тоскал вообще драйвер для ring0 :)

Joker-jar 21.05.2007 11:51
Есть серия отличных статей MS-Rem'a на тему "Перехват API функций в Windows NT". Точно не помню, но помойму на wasm'е есть.

gold-goblin 21.05.2007 16:38
Всем спасибо. Щя буду пытатся с инжектом в процесс а дальше посмотрим.

sn0w 21.05.2007 18:03
баян. самая тема - разорвать записи в списках описателей процессов. такое например реализовано в FU Rootkit (исходники на rootkit.com), единственный минус тут - нужно писать драйвер. хотя можно вообщето и без него, но тогда задача усложняется на порядок.

_Great_ 21.05.2007 18:08
Вапсчета баян. закрыто


Время: 02:25