Protect Process

Сейчас на форуме: ManHunter, rmn, _MBK_, tyns777 (+10 невидимых)

. 1 . 2 . >>

Посл.ответ	Сообщение
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 07 апреля 2012 14:21 · Поправил: OnLyOnE · Личное сообщение · #1 Собственно задача состоит в том, чтобы защитить свой процесс от завершения в диспетчере задач и не только. Примером может служить процесс smss.exe и реакция диспетчера задач на попытку его завершения. Сразу говорю, гуглил .. много рассуждений на данную тему, но примера рабочего кода так и не нашел.(может хреново искал?) В общем хотелось бы получить максимально развернутый ответ на поставленный вопрос с примером рабочего кода (язык не важен). Из того что почерпнул в гугле и на васме, что можно хучить TerminateProcess и DebugExitProcess. Вот интересно, есть другие способы кроме хука? Более "цивилизованные"? P.S. Сразу оговорюсь, мой процесс -> сервис ----- aLL rIGHTS rEVERSED!

tihiy_grom Ранг: 441.3 (мудрец), 297thx Активность: 0.41↘0.04 Статус: Участник	Создано: 07 апреля 2012 15:14 · Поправил: tihiy_grom · Личное сообщение · #2 запускай 2 сервиса, чтобы один восстанавливал другого
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 07 апреля 2012 15:35 · Личное сообщение · #3 Пример неудачный, smss закостылен по имени в диспетчере. Обзови свой процесс так же, то же самое скажет. Другими менеджерами он спокойно убивается. Нормально это никак не сделаешь, ограничить юзера в правах только, не давай админа.
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 07 апреля 2012 15:56 · Поправил: OnLyOnE · Личное сообщение · #4 tihiy_grom пишет: запускай 2 сервиса, чтобы один восстанавливал другого неудачный вариант, я как-раз стремлюсь к минимизации реализации, а не нагромождения всяких изощренных методов. Archer пишет: Обзови свой процесс так же, то же самое скажет Эт уже побывал... работает... но как бы тоже метод не исключительный по красоте реализации Archer пишет: ограничить юзера в правах только, не давай админа тоже не вариант, увы.. P.S. Пока, в качестве хоть какой-то защиты прикрутил вот такое решение... оно не препятствует завершению процесса, но делает BSOD системе при завершении моего процесса Code: IsCriticalProcess proc OnOff local hToken:dword local tkp:TOKEN_PRIVILEGES invoke RtlZeroMemory,addr tkp,sizeof tkp invoke GetCurrentProcess lea ebx,hToken invoke OpenProcessToken,eax,TOKEN_ADJUST_PRIVILEGES + TOKEN_QUERY,ebx .if eax == NULL call LastError .endif invoke LookupPrivilegeValue,NULL,chr$("SeDebugPrivilege"),addr tkp.Privileges[0].Luid .if eax == NULL call LastError .endif mov tkp.PrivilegeCount,1 mov tkp.Privileges[0].Attributes,SE_PRIVILEGE_ENABLED invoke AdjustTokenPrivileges,hToken,FALSE,addr tkp,sizeof tkp,NULL,0 invoke CloseHandle,hToken .if eax == NULL call LastError .endif invoke RtlSetProcessIsCritical,OnOff,NULL,FALSE ret IsCriticalProcess endp НО вопрос по теме остается открытым, т.е. требующего вариантов решения... ----- aLL rIGHTS rEVERSED!
TryAga1n Ранг: 262.5 (наставник), 337thx Активность: 0.34↘0.25 Статус: Участник	Создано: 07 апреля 2012 16:01 · Поправил: TryAga1n · Личное сообщение · #5 Похукать NtOpenProcess, ZwTerminateProcess
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 07 апреля 2012 16:02 · Личное сообщение · #6 TryAga1n пишет: Похукать NtOpenProcess Пример кода, как? ----- aLL rIGHTS rEVERSED!
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 07 апреля 2012 16:11 · Личное сообщение · #7 Бред конечно, но например создай тред который со Sleep,100 будет проверять все процессы и если там есть TerminateProcess(и все остальные), блокировать их типа ret в начале.
ClockMan Ранг: 568.2 (!), 465thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 07 апреля 2012 16:13 · Личное сообщение · #8 OnLyOnE Не заморачивайся на защите а то получится как nProtect GameGuard, пиши дровину и прячь свой процесс как олю прячет фантик хотя утиль от руссиновича всёравно найдёт его tihiy_grom пишет: запускай 2 сервиса, чтобы один восстанавливал другого да заморожу я эти два процесса а потом кильну,даже пикнуть неуспеют... ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
TryAga1n Ранг: 262.5 (наставник), 337thx Активность: 0.34↘0.25 Статус: Участник	Создано: 07 апреля 2012 16:15 · Поправил: TryAga1n · Личное сообщение · #9 Только через драйвер http://somebastardstolemyname.wordpress.com/2008/10/04/c-ntopenprocess-hook/ - Вообще вопрос этот чисто VX'ерский, так что стоит подомогаться до СЛиВок, он много может рассказать))
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 07 апреля 2012 16:30 · Личное сообщение · #10 Vovan666 пишет: Бред конечно, но например создай тред который со Sleep,100 будет проверять все процессы и если там есть TerminateProcess(и все остальные), блокировать их типа ret в начале. Не айс если честно ... так можно и систему подвесить, если во всех процессах хутчить TerminateProcess и иже с ними.. ClockMan пишет: пиши дровину и прячь свой процесс как олю прячет фантик да мог бы я спрятать, и пример исходника дровины есть... но пока хочу той реализации о которой писал выше.. TryAga1n пишет: Вообще вопрос этот чисто VX'ерский, так что стоит подомогаться до СЛиВок, он много может рассказать)) Ну... не VX'ерский... , просто от "продвинутых" пользователей которые суют нос куда не следует . ----- aLL rIGHTS rEVERSED!
tihiy_grom Ранг: 441.3 (мудрец), 297thx Активность: 0.41↘0.04 Статус: Участник	Создано: 07 апреля 2012 16:32 · Личное сообщение · #11 OnLyOnE пишет: Ну... не VX'ерский... , просто от "продвинутых" пользователей которые суют нос куда не следует . ну тогда 2 контролирующих друг друга сервиса тебе вполне хватит
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 07 апреля 2012 17:42 · Личное сообщение · #12 tihiy_grom пишет: ну тогда 2 контролирующих друг друга сервиса тебе вполне хватит ну не хочу я писать отладчик..плюс ресурсы дополнительные будет жрать такой тандем ----- aLL rIGHTS rEVERSED!
Dart Sergius Ранг: 105.6 (ветеран), 36thx Активность: 0.1↘0 Статус: Участник	Создано: 07 апреля 2012 19:20 · Личное сообщение · #13 Поставь обработчик на закрытие твоего сервиса - открытие его снова.
NikolayD Ранг: 189.9 (ветеран), 334thx Активность: 0.3↘0 Статус: Участник	Создано: 07 апреля 2012 19:38 · Личное сообщение · #14 А утилита от Ms-Rem'a не лечит такое?
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 07 апреля 2012 19:54 · Поправил: OnLyOnE · Личное сообщение · #15 Dart Sergius пишет: Поставь обработчик на закрытие твоего сервиса - открытие его снова. Это, я так понял, во втором процессе? Можно.. NikolayD пишет: А утилита от Ms-Rem'a не лечит такое? Ну не буду же я таскать с вместе со своим сервисом какую-то утилиту? P.S. Но я так и не увидел ни одного даже самого маленького кусочка кода реализации одного из вариантов. Слова.. слова... P.P.S. Тайно надеюсь, что топ прочтет глубокоуважаемый системный гуру ntldr и посоветует дельное.. ----- aLL rIGHTS rEVERSED!
Dart Sergius Ранг: 105.6 (ветеран), 36thx Активность: 0.1↘0 Статус: Участник	Создано: 07 апреля 2012 20:44 · Личное сообщение · #16 OnLyOnE, а в сервисы не обрабатывают сами своё закрытие? Что если заменить обработчик системный на закрытие - своим?
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 07 апреля 2012 20:53 · Личное сообщение · #17 Можно выставить автоматический рестарт сервиса, если он помер.
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 07 апреля 2012 21:27 · Личное сообщение · #18 Dart Sergius пишет: OnLyOnE, а в сервисы не обрабатывают сами своё закрытие? Что если заменить обработчик системный на закрытие - своим? естественно есть обработчик,но если мне самому надо будет нужно остановить сервис, я хрен это сделаю если в обработчике намучу рестарт, если я тебя правильно понял.. Archer пишет: Можно выставить автоматический рестарт сервиса, если он помер. Тоже самое, мне надо к примеру самому прибить сервис... ?.. ----- aLL rIGHTS rEVERSED!
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 07 апреля 2012 21:42 · Личное сообщение · #19 Помер!=корректно был завершён. Если сам начнёшь тоже прибивать через пень-колоду, таки да, тоже перезапустится.
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 07 апреля 2012 21:55 · Личное сообщение · #20 Archer пишет: Помер!=корректно был завершён. Если сам начнёшь тоже прибивать через пень-колоду, таки да, тоже перезапустится. Ок, согласен. Пример кода, что ловить в обработчике? Хотя бы частично... плиз ----- aLL rIGHTS rEVERSED!
Dart Sergius Ранг: 105.6 (ветеран), 36thx Активность: 0.1↘0 Статус: Участник	Создано: 07 апреля 2012 21:56 · Личное сообщение · #21 OnLyOnE а ты перед перезапуском проверяй ключ в реестре или наличие какого-нить файла, если нету - то перезапуск.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 07 апреля 2012 22:12 · Личное сообщение · #22 Почитай мой пост выше ещё раз. Я не имел в виду обработчики. А имел в виду стандартную виндовую фичу перезапуска сервисов в случае сбоев. Если происходит сбой (внезапно сервис сдох), винда его перезапустит, никакие обработчики трогать не надо. \| Сообщение посчитали полезным: OnLyOnE
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 07 апреля 2012 22:21 · Поправил: ARCHANGEL · Личное сообщение · #23 OnLyOnE --> Здесь <-- Ms-Rem показывает, как написать простенький драйвер, перехватывающий NtOpenProcess и не дающий диспетчерам задач из ринг3 грохать твой процесс. В конце есть сорцы. А с перезапуском - мне как-то не очень сама идея. Для того, чтобы нехорошие перцы-малварщики так не делали (не перезапускали свои малварные процессы), можно просто через CreateFile открыть Pe-файл с dwShareMode == 0 и никакой перезапуск такому сервису не поможет. Ибо CreateProcess нормально не отработает по понятным причинам. В случае же драйверного перехвата желательно не давать открыть и csrss.exe, ибо в нём есть все описатели процессов, через которые тоже можно грохнуть защищаемый тобой процесс. ----- Stuck to the plan, always think that we would stand up, never ran.
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 07 апреля 2012 23:09 · Личное сообщение · #24 Придет ntldr и скажет, что выхода нет Нормально это не сделать, все хотят быстро и с малым кодом, лень писать. Полулегально можно перехватом SSDT или инжект в чужой процес, но все это дело может и не сработать, сейчас понаставлено всякого на компьютерах. Поэтому чем проще, тем лучше. По нормальному я бы делал Длл с основной начинкой, она как сервис по умолчанию не будет видна в таск менеджере, далее наделать нужных гуи стабов, скажем ГУИ для управления, ГУИ с основным функционалом, далее накатать протокол общения через named pipes, ввести туда стандарт безопасности, таким образом без особого реверса только ты будешь общаться со своим сервисом, через протокол реализовать управление завершения или изменения параметра авторестарта. Далее остальная начинка сервиса развертывает все стабы гуи скажем через планировщик задач, либо открытие ехе черех сторонний процесс через инжект и конект к сервису с проверкой. Если даже гуй будет леквидирован пользователем, он не завершит весь главный сервис, сервис легко запустит вновь нужный ему стаб для работы с пользователем. Если же адепт полезет в сервисы проверять или будет наводка на именно тот сервис, то сервис в списке сервисов можно скрыть через структуру SERVICE_RECORD, по принципу сокрытия тоже самое, что сокрытие в таскменеджере, нужно будет лишь перебрать их и найти свой сервис. Вот статья на эту тему http://www.codeproject.com/Articles/46670/Service-Hiding Также можно посмотреть плагины оллидбг там есть кажется сокрытие через хук опенпроцесс и NtQueryInformationProcess Сам сервис при перезапуске Code: mov Action0.aType, SC_ACTION_RESTART mov Action0.Delay, 0h mov Action1.aType, SC_ACTION_RESTART mov Action1.Delay, 0h mov Action2.aType, SC_ACTION_RESTART mov Action2.Delay, 0h mov lpInfo1.dwResetPeriod, 1h mov lpInfo1.lpRebootMsg, 0 mov lpInfo1.lpCommand, 0 mov lpInfo1.cActions, 3 lea eax, Action0 mov lpInfo1.lpsaActions, eax invoke ChangeServiceConfig2, ServiceHandle, 2, addr lpInfo1 ret Все остальное через ControlService управляется как стандартный сервис. Клиент - Сервер техникой и легкой игрой с перехватами можно сделать нормальное сокрытие ИМХО ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube \| Сообщение посчитали полезным: OnLyOnE, _ruzmaz_
ClockMan Ранг: 568.2 (!), 465thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 08 апреля 2012 01:12 · Личное сообщение · #25 Archer пишет: Можно выставить автоматический рестарт сервиса, если он помер Вообще можно выставить и перезагрузку компа например если будет более двух сбоев но опять это всё обходится штатными утилями виндовс ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 08 апреля 2012 08:06 · Личное сообщение · #26 Archer пишет: Почитай мой пост выше ещё раз. Я не имел в виду обработчики. А имел в виду стандартную виндовую фичу перезапуска сервисов в случае сбоев. Если происходит сбой (внезапно сервис сдох), винда его перезапустит, никакие обработчики трогать не надо. Я понял, вариант неплохой скорее всего его и реализую. mak спасибо за код. ----- aLL rIGHTS rEVERSED!
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 08 апреля 2012 09:18 · Личное сообщение · #27 Сделал Для "продвинутых" юзверей действительно оптимальное решение "не убиваемого" процесса. Вот мой код (может кому будет интересно) Code: SERVICE_FAILURE_ACTIONS struct dwResetPeriod dd ? lpRebootMsg dd ? lpCommand dd ? cActions dd ? lpsaActions dd ? SERVICE_FAILURE_ACTIONS ends SC_ACTION struct aType dd ? Delay dd ? SC_ACTION ends SC_ACTIONS struct Action0 SC_ACTION <> Action1 SC_ACTION <> Action2 SC_ACTION <> SC_ACTIONS ends SC_ACTION_RESTART = 1 .data lpInfo SERVICE_FAILURE_ACTIONS <0> Actions SC_ACTIONS <> .code mov hServiceBase,FUNC(OpenSCManager,NULL,NULL,SC_MANAGER_ALL_ACCESS) .if hServiceBase == NULL call LastError invoke ExitProcess,-1 .endif mov hService,FUNC(CreateService,hServiceBase,addr ServiceName,addr ServiceDisplayName,SERVICE_ALL_ACCESS,\ SERVICE_WIN32_SHARE_PROCESS,SERVICE_AUTO_START,SERVICE_ERROR_NORMAL,addr WindowsPath,NULL,NULL,NULL,NULL,NULL) .if hService == NULL call LastError invoke ExitProcess,-1 .endif mov Actions.Action0.aType,SC_ACTION_RESTART mov Actions.Action0.Delay,NULL mov Actions.Action1.aType,SC_ACTION_RESTART mov Actions.Action1.Delay,NULL mov Actions.Action2.aType,SC_ACTION_RESTART mov Actions.Action2.Delay,NULL mov lpInfo.dwResetPeriod,0 mov lpInfo.lpRebootMsg,0 mov lpInfo.lpCommand,0 mov lpInfo.cActions,3 lea eax,Actions mov lpInfo.lpsaActions,eax invoke ChangeServiceConfig2,hService,SERVICE_CONFIG_FAILURE_ACTIONS,addr lpInfo .if eax == NULL call LastError .endif invoke StartService,hService,NULL,NULL .if eax == NULL call LastError .endif invoke CloseServiceHandle,hService invoke CloseServiceHandle,hServiceBase ----- aLL rIGHTS rEVERSED!
cosinus Ранг: 13.8 (новичок), 1thx Активность: 0.01↘0 Статус: Участник	Создано: 08 апреля 2012 17:50 · Поправил: cosinus · Личное сообщение · #28 Дык не решилась проблемка-то. Касаемо действий венды при сбое сервиса, то можно и в реестре сразу править ключи. Которые можно отловить RegMon'ом. Но это "кто-как-хочет". Но если реально надо защитить процес от кыляния в "диспетчере задач" и других ринг3-утилитах, то лучше сделать так, чтобы имени этого процесса в этих утилита небыло tasklist в командной строке и tasklist /svc Или же "прятаться" ещё глубже, в тех "отличиях" выводимых консолью. Тоесть лучше спрятаться, тогда перед тем чтобы кильнуть - следует поискать. И поиск через EPROCESS может обламаться Думаю у меня получилось изложить ход мысли.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 08 апреля 2012 18:04 · Личное сообщение · #29 cosinus Если уж развивать это направление, то любой "продвинутый" юзверь может качнуть RKU, перечислить все процессы и сделать Force Kill + File Erase, и если сервис представлен самостоятельным ехе-файлом, то можно сразу начинать отпевать его. И никакие трюки с EPROCESS тут не работают, ибо RKU юзает списки планировщика. ----- Stuck to the plan, always think that we would stand up, never ran.
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 08 апреля 2012 19:47 · Личное сообщение · #30 ARCHANGEL пишет: то любой "продвинутый" юзверь Ну вы батенька нагоняете тумана Не на столько они у меня продвинутые, иначе не пользовались бы моими услугами ----- aLL rIGHTS rEVERSED!

. 1 . 2 . >>

Для печати