Скрытие процесса

Тема в разделе "WASM.WIN32", создана пользователем mrcrown, 12 июл 2008.

  1. mrcrown

    mrcrown Member

    Публикаций:
    0
    Регистрация:
    18 янв 2008
    Сообщения:
    227
    Всем здарофф!
    Тема заезженая, но все же!
    Процесс я скрываю перехватываю ф-цию NtQuerySystemInformation
    с SYETEM_INFORMATION_CLASS == 0x05 Но! Утилита tasklist процесс видит! Дебаггер показал, что tasklist Ниразу не вызвал вышеприведеную ф-цию с классом == 0x05, а список процессов получил. NtQuerySystemInformation вызывался только с классами 0x00, 0x01, 0х02 кто что думает по этому поводу?
    Как же получается список процессов этой "долбаной" утилитой? :)
     
    mrcrown, 12 июл 2008
    #1
  2. 2FED

    2FED New Member

    Публикаций:
    0
    Регистрация:
    20 фев 2008
    Сообщения:
    1.002
    2FED, 12 июл 2008
    #2
  3. mrcrown

    mrcrown Member

    Публикаций:
    0
    Регистрация:
    18 янв 2008
    Сообщения:
    227
    Не! Не в r0 В Юзвермоде!
     
    mrcrown, 12 июл 2008
    #3
  4. 2FED

    2FED New Member

    Публикаций:
    0
    Регистрация:
    20 фев 2008
    Сообщения:
    1.002
    Всёравно читай =) там и про методы детекта в юзермоде написано
     
    2FED, 12 июл 2008
    #4
  5. JCronuz

    JCronuz New Member

    Публикаций:
    0
    Регистрация:
    26 сен 2007
    Сообщения:
    1.240
    Адрес:
    Russia
    mrcrown
    http://www.wasm.ru/print.php?article=hidingnt
     
    JCronuz, 12 июл 2008
    #5
  6. mrcrown

    mrcrown Member

    Публикаций:
    0
    Регистрация:
    18 янв 2008
    Сообщения:
    227
    Ага, почитал ужо! Спс!
     
    mrcrown, 12 июл 2008
    #6
  7. mrcrown

    mrcrown Member

    Публикаций:
    0
    Регистрация:
    18 янв 2008
    Сообщения:
    227
    Следующий вопрос, кто знает что за класс информации: 0x40??
    И какая структура внутри?
     
    mrcrown, 12 июл 2008
    #7
  8. Clerk

    Clerk Забанен

    Публикаций:
    0
    Регистрация:
    4 янв 2008
    Сообщения:
    6.689
    Адрес:
    РБ, Могилёв
    SystemExtendedHandleInformation
    typedef struct _SYSTEM_HANDLE_TABLE_ENTRY_INFO_EX {
    PVOID Object;
    ULONG_PTR UniqueProcessId;
    ULONG_PTR HandleValue;
    ULONG GrantedAccess;
    USHORT CreatorBackTraceIndex;
    USHORT ObjectTypeIndex;
    ULONG HandleAttributes;
    ULONG Reserved;
    } SYSTEM_HANDLE_TABLE_ENTRY_INFO_EX, *PSYSTEM_HANDLE_TABLE_ENTRY_INFO_EX;

    typedef struct _SYSTEM_HANDLE_INFORMATION_EX {
    ULONG_PTR NumberOfHandles;
    ULONG_PTR Reserved;
    SYSTEM_HANDLE_TABLE_ENTRY_INFO_EX Handles[ 1 ];
    } SYSTEM_HANDLE_INFORMATION_EX, *PSYSTEM_HANDLE_INFORMATION_EX;
     
    Clerk, 12 июл 2008
    #8
  9. mrcrown

    mrcrown Member

    Публикаций:
    0
    Регистрация:
    18 янв 2008
    Сообщения:
    227
    sps! А де отрыл?
     
    mrcrown, 12 июл 2008
    #9
  10. Clerk

    Clerk Забанен

    Публикаций:
    0
    Регистрация:
    4 янв 2008
    Сообщения:
    6.689
    Адрес:
    РБ, Могилёв
    wrk
     
    Clerk, 12 июл 2008
    #10
  11. mrcrown

    mrcrown Member

    Публикаций:
    0
    Регистрация:
    18 янв 2008
    Сообщения:
    227
    Windows Research Kernel?
     
    mrcrown, 12 июл 2008
    #11
  12. 2FED

    2FED New Member

    Публикаций:
    0
    Регистрация:
    20 фев 2008
    Сообщения:
    1.002
    А где Windows Research Kernel скачать можно? на сайте M$ только описание.
     
    2FED, 13 июл 2008
    #12
  13. wasm_test

    wasm_test wasm test user

    Публикаций:
    0
    Регистрация:
    24 ноя 2006
    Сообщения:
    5.582
    http://www.google.ru/search?q=wrk.7z гденибудь да найдешь
     
    wasm_test, 13 июл 2008
    #13
  14. 2FED

    2FED New Member

    Публикаций:
    0
    Регистрация:
    20 фев 2008
    Сообщения:
    1.002
    Great: Как я помню, прямые ссылки на варез запрещены =/ А в свободном доступе эту штуку вроде не выкладывали официально M$
     
    2FED, 13 июл 2008
    #14