Обходы: Предотвратить уничтожение моего программного обеспечения с помощью другого программного обеспечения

(Хотел написать комментарий, но это получилось довольно долго …)

Как говорит @AndrewMedico в комментарии: TerminateProcess процесса диспетчера задач для предотвращения завершения работы диспетчера задач.

Я предлагаю вам следующий подход:

1. Попробуйте простую инъекцию DLL

   a / Создайте DLL, которая печатает некоторый текст DllMainнапример, printf("I am here\n"); fflush(stdout);

   b / Попробуйте ввести его в какой-нибудь другой процесс командной строки, используя процесс хакер«s Разное> Вставить DLL …

   c / Убедитесь, что ваша DLL была выполнена внутри целевого процесса, проверив ее стандартный вывод

2. Попробуйте простой API-хук:

   a / Создайте приложение командной строки, которое ожидает ключ, а затем завершает себя, используя некоторый вариант TerminateProcess(GetCurrentProcess(), 1);, Добавьте код для печати текста после TerminateProcess вызов.

   б / Запустите это приложение, чтобы проверить текст после вызова TerminateProcess не печатается.

   с / крюк TerminateProcess перед ожиданием ключа с помощью, например, mhook. Напечатайте некоторый текст в функции замены и затем вернитесь. Не называйте оригинал TerminateProcess Вот.

   d / Запустите это приложение, чтобы убедиться, что текст внутри хука напечатан и текст после TerminateProcess вызов также распечатывается (т. е. убедитесь, что завершение процесса было подавлено).

3. Объедините результаты предыдущих шагов, чтобы достичь своей цели:

   a / Поместите код подключения из шага 2 в DLL из шага 1

   b / Внедрить его в приложение с шага 2b (т.е. без хука), пока он ждет ключа, и проверить текст после TerminateProcess печатается.

   c / Наслаждайся (или отлаживать / обвинять меня)

Удачи!

EDIT>

Хорошо, вот мой взгляд на то, что мы имеем здесь:

1. Код в вопросе:

   • (Приложение очень похоже на то, что я предлагаю в «2b»)

   • Крючки TerminateProcess и показывает окно сообщения вместо.

   • Должен отображать окно сообщения при выполнении

   • (Похоже, это 32-битная версия)

2. YouTube видео

   • Показывает приложение «Terminate process.exe», которое завершает процесс, указанный по имени

   • После выполнения «Injector.exe» приложение перестает завершать процесс и вместо этого отображает окно сообщения (IMHO «Injector.exe» внедряет «DllFile.dll» в запущенный «Terminate process.exe»)

3. Исходный код инжектора в комментариях YouTube

   • Этот код внедряет DLL «C: \ DllRedirectAPI.dll» в первый процесс с именем «жертва.exe», который он находит

   • (Он не внедряется в «Terminate process.exe», он не использует «DllFile.dll»)

4. Исходный код для DLL в комментариях YouTube

   • Этот код перехватывает функцию MessageBoxA что вместо этого отображается другое окно сообщения. Стоит отметить, что сам код хука вызывает оригинал MessageBoxA и использует подход, который отменяет модификацию, которую он сделал во время перехвата, вызывает исходную функцию и затем повторно применяет перехват.

   • (Это не перехватывает ‘TerminateProcess’ вообще)

   • (Похоже, это 32-битная версия)

5. Выдержки из 64-битной версии

   • Разрушительный крючок MessageBoxA (то есть не создает резервную копию исходного кода)

   • Крюк использует MessageBoxExA (который не поврежден) вместо отображения другого окна сообщения (т.е. оно не использует перезаписанное MessageBoxA)

   • (Это не перехватывает ‘TerminateProcess’ вообще)

   • (Это 64-битная версия)

Отказ от ответственности: я не настолько искусен в этой теме, чтобы быть на 100% уверенным, не стесняйтесь исправлять / уточнять меня.

Для фактического перехвата я лично рекомендую использовать библиотека мхук, который работал для меня. Эту документацию тоже стоит прочитать.

Смотрите, например этот для некоторых альтернатив (я не пробовал ни одну из них) …

EDIT>

Этот работает для меня на Win XP внутри VirtualBox:

#include <windows.h>
#include <stdio.h>
#include <mhook.h>

static BOOL WINAPI
(*_TerminateProcess)(
_In_ HANDLE hProcess,
_In_ UINT   uExitCode
) = NULL;

BOOL WINAPI
TerminateProcessImpl(
_In_ HANDLE hProcess,
_In_ UINT   uExitCode) {

printf("\nBlocked\n"); fflush(stdout);
return 0;
}

BOOL WINAPI DllMain(HINSTANCE hInstance, DWORD Reason, LPVOID Reserved) {
if(Reason==DLL_PROCESS_ATTACH) {
printf("\nDLL attached!\n"); fflush(stdout);
HMODULE h = LoadLibrary("Kernel32");
if(h!=NULL) {
printf("\nGot Kernel32!\n"); fflush(stdout);
_TerminateProcess=(void*)GetProcAddress(h,"TerminateProcess");
if(_TerminateProcess!=NULL) {
printf("\nAbout to hook...\n"); fflush(stdout);
if(Mhook_SetHook((void*)&_TerminateProcess, &TerminateProcessImpl)) {
printf("\nHooked OK!\n"); fflush(stdout);
} else {
printf("\nHook failed!\n"); fflush(stdout);
}
}
}
}
return TRUE;
}