[helldomain]

Ya kak admin jestokij i woobsche chelowek ne horoshij sdelal bi sledujushee: a) Napisal draiwer ceplyajushijsya k iosubu i otkriwajushij kajdij fail, kotorij hochet otkrit proga user levela, dopustim, tipa exe (signatura MZ ili ZM w nachale, nu i eshe kucha priznakow), skanil bi rsrc tablu i iskal opredelennie stroki (naprimer: Softina Buhgalter-Idiot versiya h.z. kakaya). Kak tolko podobnoe naideno w rsrc - draiwer wozwraschaet kod oshibki i ne daet otkrit fail na chtenie. Kak sledstwie - softina ne zapuskaema.
---Esli wlom muchat DDK i pisat draiwer, to pishem user level applkuhu---
b) kotoraja perehwatiwaet CreateProcess(), CreateProcessEx() i paru drugih wizowow i prowodit tot je analiz, chto i draiwer. Kompilim etu applikuhu w dll, kotoraya reeksportiruet drugie funkcii KERNEL32.dll, i podkliuchaem ee ko wsem processam. Kak podkliuchit ee k drugim processam: ispolzowat injection (ischem na gugle), guihooking nu ili CreateRemoteThread() i im podobnoe.
---Esli wlom pisat ul applikuhu, to pishem perehwatchik na urowne shell---
c) Analizator pishem wse rawno, delaem dll s API prowodnika (kotorij explorer), fakticheski perehwatiwaem popitiki zapustit progu explorerom s takih populyarnih mest kak desktop i.t.d.

Kak oboiti wariant c: napisat prosteishuju applikuhu wiziwajushuju nujnuju cherez CreateProcess().
Obhodim wariant b: pishem applikuhu kak iz warianta c, no pered zapuskom nujnoi progi importiruem CreateProcess() imenno iz KERNEL32.dll, i imenno iz togo, kotorij lejit w winde :-).
Obhodim wariant a:
- pishem eshe odin draiwer (rawnosilno wikidiwaniju perwichnogo :-)))
- ispolzuem DDK dlya dostupa k nujnomu draiweru napryamuju s zapretom perehwata (opisanno w odnom iz teh blogow ms, funkciya DeviceOpenDescriptorMapEx2() ;-))).
- podmenit originalnij draiwer (esli mi zabili wstawit w nego zaschitu ot takih prodelok)

Nu i samij dobrij wariant obhodyaschij prostenkij analizator na posledok:
- upakowat originalnuju progu kakim nibud arhiwerom ;-).