| 内核级利用通用Hook函数方法检测进程 |
|
| |
|
|
{
printf("IO wrong+%d\n", GetLastError());
getchar();
return 0;
}
int c=0;
while( *((char*)(&outbuf)+c*16) )
{
//把csrss.exe和自身进程信息跳过，因为会产生有大量的信息。
if ( strcmp((char*)(&outbuf)+c*16,"app.exe") && \
strcmp((char*)(&outbuf)+c*16,"csrss.exe") )
printf("%s\n",(char*)(&outbuf)+c*16);
c++;
}
Sleep(1);
}
}
试验结果：
......
TTPlayer.exe
System
TTPlayer.exe
vrvmon.exe
TTPlayer.exe
System
System
Explorer.EXE
Explorer.EXE
Explorer.EXE
......
测试、编译环境Windows2000 Sp4、Windows2000 DDK。没写出线程的隐藏进程代码，不过基本上实现得差不多了，只需要把返回的信息，和Ring3级查询得到的信息进行适时对比就能查出异常进程了。
责任编辑 赵毅 zhaoyi#51cto.com TEL:（010）68476636-8001
上一页 [1] [2]
 |
频道声明：本频道的文章除部分特别声明禁止转载的专稿外，可以自由转载.但请务必注明出出处和原始作者 文章版权归本频道与文章作者所有.对于被频道转载文章的个人和网站,我们表示深深的谢意。
| 原始作者:佚名 |
录入时间:2007-3-31 2:27:54 |
| 信息来源:不详 |
投稿信箱:itqoo@126.com |
|
|
 |
|
|
|
| 文章录入：itqoo 责任编辑：itqoo |
|
上一个文章： 入侵检测（IDS）应该与操作系统绑定
下一个文章： 没有了 |
| 【字体：小 大】【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】 |
用户登录 
新用户注册 
网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！） 