уведомление о запуске функции

УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

НОВЫЕ ТОРГОВАЯ НОВОСТИ ЧАТ

Скрыть

		ANTICHAT > ПРОГРАММИРОВАНИЕ > С/С++, C#, Rust, Swift, Go, Java, Perl, Ruby
уведомление о запуске функции

Опции темы

Поиск в этой теме

Опции просмотра

уведомление о запуске функции

01.02.2008, 15:41

vvs777

Познавший АНТИЧАТ

Регистрация: 16.11.2004

Сообщений: 1,257

С нами: 11305766

Репутация: 454

Отправить сообщение для vvs777 с помощью AIM

уведомление о запуске функции

как без перехвата функции получить уведомление о ее запуске?

Антивирус Касперского 6.0 при вызове функции SetWindowsHookEx
сообщает о потенциально-опасном ПО типа loader, которое пытается всюду
внедрить библиотеку.
При этом он не перехватывает функцию SetWindowsHookEx.
Без Касперского
@SetWindowsHookEx = $00325120 (обычный)
@SetWindowsHookEx1 = $77D45006 (через LoadLibrary)
когда Касперского только что запустили и он матерится о том что базы
устарели итп, но еще не матерится на запуск хука
@SetWindowsHookEx = $00325120 (обычный)
@SetWindowsHookEx1= $77D45006 (через LoadLibrary)
Когда уже полностью загружен и матерится на все
@SetWindowsHookEx = $00325120
@SetWindowsHookEx1= $77D45006
Адрес функции не зависит от того запущен касперский или нет. Но зато он
разный для обычной и загруженной через LoadLibrary.
Почему и как такое происходит? Как же антивирь определяет что функция
запускается?

𝕏 Twitter Reddit Telegram Копировать ссылку

01.02.2008, 16:17

spider-intruder

Постоянный

Регистрация: 10.12.2005

Сообщений: 939

С нами: 10746345

Репутация: 929

м.б. Notify Routines ??? (нет каспера просто под рукой)

подумав немного.........
или сплайсинг :-)

Ты запусти хотябы Avz а лучше Rku и расскажи нам поподробнее что они пишут - тогда и посоветуем хорошо
(ставить касперского нет возможности)

П.С.2 - а откуда ты взял эти адреса? Ты их в SSDT смотришь я надеюсь??
Короче давай подробностей - расскажу всё )

Последний раз редактировалось spider-intruder; 01.02.2008 в 16:38..

01.02.2008, 17:26

razzzar

Участник форума

Регистрация: 16.06.2007

Сообщений: 107

С нами: 9948928

Репутация: 208

ну вообще-то касперыч изменяет таблицу Sdt, где он выставляет адресса своих функций. они при вызове сообщают р3 монитору о том что кто-то их вызвал, касперский об этом говорит и спрашивает что делать. если ответ положительный, то вызывается оригинальная функция, которая была запсиана в Sdt до выставления хуков.

01.02.2008, 20:17

_Great_

Флудер

Регистрация: 27.12.2005

Сообщений: 2,372

С нами: 10721066

Репутация: 4360

ssdt

04.02.2008, 12:34

vvs777

Познавший АНТИЧАТ

Регистрация: 16.11.2004

Сообщений: 1,257

С нами: 11305766

Репутация: 454

пока немного не догнал.
>П.С.2 - а откуда ты взял эти адреса?
Вообщем стандартный пример установки хука (брал из фака forum.sources.ru раздел Делфи). Прога, вызывающая функцию sethook() - ничего интересного.
А вот в dll-ке при вызове setwindowhookex я поставил вывод в файл значения
integer(@setwindowhookex) и то что выдает GetProcAddress(Loadlibrary())
Эти значения я и выложил в 1 посте. Это производится как при НЕ ЗАПУЩЕННОМ касперском (когда ничего подменено не должно быть) так и при запущенном.
Если бы каспер хукал функцию, адреса "до" и "после" были бы разными.

проги

Цитата:

Avz а лучше Rku

запущу дома потом рез скажу.

Предыдущая тема Следующая тема

Похожие темы
Тема	Автор	Раздел	Ответов	Последнее сообщение
Управление памятью в ядре Windows XP	_Great_	С/С++, C#, Rust, Swift, Go, Java, Perl, Ruby	4	12.01.2008 02:17

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)

Быстрый переход