Программа накрыта armadillo, на виртуалке не запускается, проверяет файл hosts на наличие "запрещённых адресов".

| Сообщение посчитали полезным:

пропиши другой файл в реестре:
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\DataBasePath

-----
Nulla aetas ad discendum sera

| Сообщение посчитали полезным:

Flint, пробовал изменять реестр перезагружал но на windows7 не работает, реальный путь остается тот же.

Нужен универсальный способ, так как проверку реестра сделать не сложно.

Может как-то перехватить winapi?

| Сообщение посчитали полезным:

Pastor, может помочь

http://www.evilsocket.net/2014/02/01/keservicedescriptortable-patching-aka-how-to-hook-win32-api-patching-the-kernel/

-----
Харе курить веники и нюхать клей, к вам едет из Америки бог Шива, и он еврей.

| Сообщение посчитали полезным:

нужно "запрещать адреса" не через hosts, а через политики ІР секюрити

| Сообщение посчитали полезным:

Если не получится...
Зачем обходить эту защиту, когда можно изменять любые данные которые следуют после нее. Перенаправьте куда надо на следующем узле (роутер, сервер, burpsuite для HTTP).
Он (программа) ведь не сможет узнать что стало с запросом после отправки.
Если процесс известен, можно использовать Echo Mirage.
Настроить VMware на "невидимость", и крутить WRK под windbg.

| Сообщение посчитали полезным:

Возможно задам глупый вопрос, но зачем все эти велосипеды? Почему не снять арму и избавиться от проверки hosts?

| Сообщение посчитали полезным: Zorn

CreateFileW хукнуть или что пониже, наверняка читается содержимое файла.

| Сообщение посчитали полезным:

Когда то давно делал лоадер на батлу вторую. Секуром там что ли был.
Элементарный сирч/реплейс /etc/hosts на /etc/h0sts
Работало

| Сообщение посчитали полезным:

Zorn пишет:
Когда то давно делал лоадер на батлу вторую. Секуром там что ли был.
SafeDisk 4.5 с наномитами

| Сообщение посчитали полезным:

Есть ли способ полностью заблокировать доступ в сеть/Инет с помощью файла hosts? Если же нет, то другой вопрос - имеется, скажем, десяток разных программ, все они ломятся в Инет с разными целями, от проверки апдейтов до проверки регистрации. Какой именно файл или файлы в WinXP можно удалить или заглушить, чтобы ни одна программа не могла достучаться до Инета? Есть ли общий (для всех механизмов доступа в Инет) файл, тыкскать - ключевой? Вопрос может показаться идиотским, но дело в виртуализации, а там совсем другие подходы, нежели в реальной системе.

| Сообщение посчитали полезным:

Ты б хыть почитал, для чего вообще hosts нужен. Он для резолва доменных имён. И на доступ по IP никак не влияет. Отключи адаптер сети-и не будет интернетов.

| Сообщение посчитали полезным:

Вопрос, похоже, полностью решен. Респект Zorn за пинок в нужном направлении. Один байт в реестре и все пучком.

| Сообщение посчитали полезным:

GMAP пишет:
Какой именно файл или файлы в WinXP можно удалить или заглушить, чтобы ни одна программа не могла достучаться до Инета?
что-то вроде tcpip.sys и аналогов

| Сообщение посчитали полезным:

Veliant
С tcpip.sys не получилось, видимо, вариантов коннекта много, нужно во всем этом разбираться. Через реестр все получается, поэтому нет смысла дальше ломать голову. Кстати, на реальной системе такой метод не работает, а на виртуале все ОК.

| Сообщение посчитали полезным:

Default route на себя же заверни, в таблице маршрутизации, и все.

| Сообщение посчитали полезным:

Подскажите, какие именно виндовые процессы используют этот hosts? Одна задача решена, но осталась вторая - заблокировать только определенные сайты в виртуальном hosts, оставив реальный файл hosts в неприкосновенности. Предполагаю, что дублирование искомых процессов и самого файла hosts в виртуальной среде, должно помочь.

| Сообщение посчитали полезным:

Фаервол уже отменили ?
Че вы к этому хостс привязались ?

| Сообщение посчитали полезным:

Судя по всему ArmaGeddon тоже отменили.
Ктож ищет себе легкий путь.

| Сообщение посчитали полезным:

Дело в виртуализации программ, а не в блокировке реальной системы, фаер здесь не нужен. Мне нужно через виртуальный дубль hosts и виртуализацию процессов, которые его используют, заблокировать доступ к выбранным сайтам внутри виртуального контейнера.

| Сообщение посчитали полезным:

GMAP пишет:
виртуальный дубль hosts
это как вообще? перехват и заворот обращений через апи?
тогда что мешает перехватывать апи для работы с сетью и соединениями, например?

DNSAPI.dll
HostsFile_Open
HostsFile_ReadLine
HostsFile_ReadClose

| Сообщение посчитали полезным:

-=AkaBOSS=-
Мысль верная, но получается невероятное количество дллок, которые придется дублировать в виртуал, чтобы вся эта лабуда вообще заработала. Тупиковый путь, буду мыслить дальше.

| Сообщение посчитали полезным: