 |
eXeL@B —› Программирование —› Unl@cker |
| Посл.ответ | Сообщение |
|
|
Создано: 05 декабря 2008 19:14 · Личное сообщение · #1  Вообщем есть задача интересная , нужно прочитать файл который скрытым является, и помимо этого занят процессом. Я прилагаю сам скрытый текстовик и мелкую прогу на асме показывающую , невозможность чтения текстового файла при запущеной проге.
К статье про унлок файлов не посылать. Каждый из 3 ех методов был реализован. И он не подходит технически. Драйвера отпадают тоже , решение должно быть бездрайверное.  c649_05.12.2008_CRACKLAB.rU.tgz - hdd.rar
----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube  |
|
|
Создано: 05 декабря 2008 19:41 · Личное сообщение · #2 получаем через ZwQuerySystemInformation список хэндлов, каждый хэндл дуплицируем себе, сверяем тип хэндла с типом "файл", потом через хэндл получаем имя файла, который он описывает и сравниваем его с C:\ver.txt. Если сравнение истинно, то закрываем нахуй хэндл. ----- Shalom ebanats! |
|
|
Создано: 05 декабря 2008 19:56 · Личное сообщение · #3 я так делал с дровиной. Есть вариант это сделать не из драйвера ?
----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube |
|
|
Создано: 05 декабря 2008 19:56 · Личное сообщение · #4 это и делается не из драйвера ----- Shalom ebanats! |
|
|
Создано: 05 декабря 2008 21:43 · Личное сообщение · #5 SLV пишет: это и делается не из драйвера +1, метод полностью юзермодный, вот тако процесс может защититься от попыток открыть его через ZwOpenProcess, поэтому мне не особо нравиться. И это - не единственная причина. Но тут хотелось бы уточнить - драйвер не подходит, или методы из нулевого кольца в целом не подходят? ----- Stuck to the plan, always think that we would stand up, never ran. |
|
|
Создано: 05 декабря 2008 22:33 · Личное сообщение · #6 методы нулевого кольца подходят , если они без дровины реализованы. Но и в свое время мудрить что то особо не хочется , простота приветствуется.
----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube |
|
|
Создано: 05 декабря 2008 22:58 · Личное сообщение · #7 Тогда - открытие секции \Device\PhysicalMemory и модификация глобальной таблицы дескрипторов. Описано у Рема. www.wasm.ru/article.php?article=apihook_3 От себя только добавлю, что метод проверял - на WinXP SP2 работал прекрасно. ----- Stuck to the plan, always think that we would stand up, never ran. |
|
|
Создано: 06 декабря 2008 01:56 · Личное сообщение · #8 KIS на NtSystemDebugControl ругается ----- Gutta cavat lapidem. Feci, quod potui. Faciant meliora potentes |
|
eXeL@B —› Программирование —› Unl@cker |
Для печати