Изменение PID или hProcess

Доброго дня все!
Люди, как изменить пид процесса или его хендл?
(Я имею для самого себя)

0

[bold]Добраться до нулевого кольца не так уж и трудно. Есть два способа:
1)через драйвер(этот способ описан в MSDN);
2)открытие секции DevicePhysicalMemory и модификации глобальной таблицы дескрипторов(GDT).
Более подробно на http://wasm.ru/print.php?article=apihook_3.

P.S: эти способы просты в использовании, даже средний программист может использовать их в своих целях.

На вопрос spirin'а зачем это надо, отвечу на ring0 можно делать что-угодно. Прочитай статью и поймёшь ))[/bold]

0

Сообщение от gelion [bold] Здравствуй Messir, я тот самый кореш о котором писал ORST. На тему изменения PID ты был не прав,зайди на WASM.ru и почитай статьи ms-ren'a, он подробно излагает метод изменения PID'a ,а также скрытие процесса,и самое главное изменения (!!!!) имени процеса налету. И все это на ring0,если ты знаеш что это :-)))))). Код на Delphi и на Asm [/bold]

Ну, вообще-то речь шла о юзермоде
В кольце ядра, естественно, можно тотально менять поведение системы. Как варианты - еще можно пропатчить ntoskrnl, тогда и драйвера никакие вообще не нужны
Но это все требует наличия соответсвтующих прав (Локальная система или Админ) и немалого геморроя и осторожности. Оно вам надо? Проще АПИ юзермода перехватывать.

ну вообще-то понятно для чего это все надо ORST вирус пишет или ломает, а может просто всех разводит...

непонятно другое, почему эта дискуссия ведется в разделе: "Программирование на Visual Basic", хех

0

[bold]Я пишу на Delphi и MASM32, и мне совершенно безразличен VB. Мне просто интересна эта тема.

Сейчас у меня есть разроботка программы, которая не палится антивирусами, невидимая в процессах и на жестком диске, также она работает в ring0. Этот движок можно использовать для создания систем удаленного доступа aka троянов, или навороченых файрволов. Если кому-то интересно это, пиши на nullS0ft@hotmail.ru
Также на заказ я могу сделать на этой основе троян, который будет [underline]покруче!!![/underline] X-Control'а.[/bold]

0

ну я пишу на C++ и Java и мне совершенно безразличны вирусы/антивирусы и невидимые процессы, меня просто удивило, что твой товарищ, вполне неплохо подкованный теоретически, взялся за задачу доступа к нижним уровням платформы Win32, планируя при этом использовать Visual Basic

0

Сообщение от boombastik меня просто удивило, что твой товарищ, вполне неплохо подкованный теоретически, взялся за задачу доступа к нижним уровням платформы Win32, планируя при этом использовать Visual Basic

Ничего подобного, мне просто интересно узнать возможно ли средствами VB6 получить доступ к нижним уровням платформы Win32.
Я конечно знаю, что с такой задачой C++ или Delphy справяться без проблем.
На том же http://www.wasm.ru/ приведены яркие примеры реализации данной задачи.

0

Через [bold]Delphy[/bold] перешол на [bold]Ring0[/bold] , все идет как по маслу...
Сделаю динамическую библиотеку и тогда простое приложение VB6 сможет скрыть себя из списка процессов [bold]и даже убить из процессов KAV!!![/bold]
Кстате, насет KAV'а, по ходу ж KAV тоже пахает на нулевом кольце?
И если я не ошибаюсь, он хукает функции и и т.д. направленные на него? (Поэтому простой диспетчер задач не может снять его).
Но вот когда я перешол на нулевое кольцо мне удалось получить его хендл и через в [bold]NATIVE API KAV[/bold] был удачно снят.
Получаеться что мой процесс находиться на более низком уровне чем KAV и поєтому он не может отловит ?

0

вмешиваясь в обший ход мыслей TerminateProcess убивает не процес KAV
он просто останавливает службу ребята в KAV не настолько углубили свою прогу чтобы она работала на уровне запросов системного ядра, а служба просто с переодичностью перезапускается но ето не факт что процес не будет виден в списке процессов. Хотя видел пример того как можно заустить процес от имени другого процесса но и ето не спасает от списка процессов на момент запуска все равно там виден

0

Зачем встраивать свой процесс в другой?
Я так делал, но когда перешол на уровень ядра Win32 мне это уже не нужно.
Я просто загружаю свой драйвер и использую его как шлюз через который выполняю свой код на низком уровне. Вот именно сдесь я могу установить глобальный хук или вообще физически скрыть свой процесс.
А насчет KAV ты не прав, он убиваеться, я ж говорил, я использую NATIVE API'шную функцию. А та, что мой код віполняеться на более низком уровне чем KAV позволяет мне без проблем обойти все его методы защиты и с уверенностью стереть его с памяти.

0

Забыл. Ты имел ввиду встраивание процесса в другой?
В NativeApi есть такая функция, с помощью которой можно спокойно инжектировать свой процесс в другой (Точно не помню названия, помоемо чтото типа вот этого: InjectInProcess) - прикольная вещь.

0

Короче вот прога, которая скрывает, переименновывает и изменяет PID.
Советую вводить только корректные данные, а то я не доделал полностью контроль ошибок и может произойти сбой системы...
Там есть два способа инициализации: Через CallMode или через драйвер.
Скрытие всех процессов покачто не работает.

Вот он:

0

кому интересна программа без исходников?

0

Блин, как отписАться от этого топика?! О! щас сниму галку - и да наступит тишина...

Сообщение от ORST Короче вот прога, которая скрывает, переименновывает и изменяет PID.

Под юзером прога благополучно пососала, что и требовалось доказать... :P

Smalig, вот я снял галку "Подписаться на ответы" (в прошлом своём посте), а оповещение мне всё равно пришло! непорядок, знаете ли...

Команч, невнимательный ты
Видишь внизу ссылку - ПОДПИСКА. Кликай туда - там есть ОТписка

0

Ребята..я пошел искать скрытые процесы... на компе... :-)
Хотя... в наш век все возможно.
У меня гад какойто висит.. в компе к Лисе прилипает, успевает второй экземпляр Лисы создать пржде чем 1 моя зажщита отключит. И дружно 2 лисы виснет. Но вот проказника отловить не могу... может посоветуете чемнить?

Можно офтоп? Все равно ветка умерла
Прсто, рад увидитеь тут Вас всех, Всем доброго здравия, я уж думал что отвалили на другой форум. Персонально каждому жму руку. Блин хотел скать чтонить, а сказать нечего. Получается флейм. Вс рад всех видеть. :-)

Итак, вот я и доделал динамическую библиотеку...
Реализовал на Delphy.
╔═══════════════╗
║HideProcess.dll║
╚═══════════════╝
╔═Functions:════════════════════════════ ════════════════════════════════════════ ════════════════════════════════════════ ═╗
║Private Declare Function HideProcessA Lib "HideProcess.dll" (ByVal ProcessID As Long) As Long ║
║Private Declare Function ShowProcessA Lib "HideProcess.dll" (ByVal ProcessAddr As Long) As Long ║
║Private Declare Function ShowInfo Lib "HideProcess.dll" () As Long ║
║Private Declare Function ShutdownFirstHardDrive Lib "HideProcess.dll" () As Long ║
║Private Declare Function XTerminateProcess Lib "HideProcess.dll" (ByVal pHandle As Long, ByVal ExitCode As Long) As Long║
║Private Declare Function XChangePID Lib "HideProcess.dll" (ByVal ProcessId As Long, ByVal NewName As String) As Long ║
║Private Declare Function XChangeName Lib "HideProcess.dll" (ByVal OldPid As Long, ByVal NewPid As Long) As Long ║
╚═══════════════════════════════════════ ════════════════════════════════════════ ════════════════════════════════════════ ═╝

0

Сорри за "мусор"

0