回答編集履歴
3
文言修正
test
CHANGED
|
@@ -74,7 +74,7 @@
|
|
|
74
74
|
|
|
75
75
|
|
|
76
76
|
|
|
77
|
-
プログラムの IAT(Import Address Table) を書き換えて、自分で用意した関数
|
|
77
|
+
プログラムの IAT(Import Address Table) を書き換えて、自分で用意した関数を呼ばせます。
|
|
78
78
|
|
|
79
79
|
CreteProcess と GetProcAddress が対象になります。
|
|
80
80
|
|
2
ドライバーを使わない方法
test
CHANGED
|
@@ -47,3 +47,59 @@
|
|
|
47
47
|
「Windows Driver Kit (WDK) のダウンロード」
|
|
48
48
|
|
|
49
49
|
[https://docs.microsoft.com/ja-jp/windows-hardware/drivers/download-the-wdk](https://docs.microsoft.com/ja-jp/windows-hardware/drivers/download-the-wdk)
|
|
50
|
+
|
|
51
|
+
|
|
52
|
+
|
|
53
|
+
#追記
|
|
54
|
+
|
|
55
|
+
ドライバーの作り方については
|
|
56
|
+
|
|
57
|
+
|
|
58
|
+
|
|
59
|
+
「初めてのドライバーの作成」
|
|
60
|
+
|
|
61
|
+
[https://docs.microsoft.com/ja-jp/windows-hardware/drivers/gettingstarted/writing-your-first-driver](https://docs.microsoft.com/ja-jp/windows-hardware/drivers/gettingstarted/writing-your-first-driver)
|
|
62
|
+
|
|
63
|
+
|
|
64
|
+
|
|
65
|
+
を紹介しておきます。（私もわからないですし）
|
|
66
|
+
|
|
67
|
+
|
|
68
|
+
|
|
69
|
+
ドライバーを使わない方法だと
|
|
70
|
+
|
|
71
|
+
|
|
72
|
+
|
|
73
|
+
(1) DLL インジェクション
|
|
74
|
+
|
|
75
|
+
|
|
76
|
+
|
|
77
|
+
プログラムの IAT(Import Address Table) を書き換えて、自分で用意した関数のアドレスを呼ばせます。
|
|
78
|
+
|
|
79
|
+
CreteProcess と GetProcAddress が対象になります。
|
|
80
|
+
|
|
81
|
+
|
|
82
|
+
|
|
83
|
+
現状、32bit/64bit プロセスが混在する環境があるので対応が難しいと思います。
|
|
84
|
+
|
|
85
|
+
|
|
86
|
+
|
|
87
|
+
|
|
88
|
+
|
|
89
|
+
(2) CreateWindow を捕まえてお茶を濁す。
|
|
90
|
+
|
|
91
|
+
|
|
92
|
+
|
|
93
|
+
SetWindowsHookEx で WH_CBT フックを行います。
|
|
94
|
+
|
|
95
|
+
|
|
96
|
+
|
|
97
|
+
「280_アプリの起動と終了を知る WH_CBT フック」
|
|
98
|
+
|
|
99
|
+
[http://mrxray.on.coocan.jp/Delphi/plSamples/280_HookCBTActivate.htm](http://mrxray.on.coocan.jp/Delphi/plSamples/280_HookCBTActivate.htm)
|
|
100
|
+
|
|
101
|
+
|
|
102
|
+
|
|
103
|
+
実際にやっているのは CreateWindow の補足で、起動を補足しているわけではないです。
|
|
104
|
+
|
|
105
|
+
Delphi で書かれてますが、使っている API は参考になるかと。
|
1
リンク追加
test
CHANGED
|
@@ -4,13 +4,13 @@
|
|
|
4
4
|
|
|
5
5
|
「Detecting Windows NT/2K process execution」
|
|
6
6
|
|
|
7
|
-
https://www.codeproject.com/Articles/2018/Detecting-Windows-NT-2K-process-execution
|
|
7
|
+
[https://www.codeproject.com/Articles/2018/Detecting-Windows-NT-2K-process-execution](https://www.codeproject.com/Articles/2018/Detecting-Windows-NT-2K-process-execution)
|
|
8
8
|
|
|
9
9
|
|
|
10
10
|
|
|
11
11
|
ユーザ登録すればソースコードがダウンロードできます。
|
|
12
12
|
|
|
13
|
-
https://www.codeproject.com/KB/threads/procmon/ProcMon.zip
|
|
13
|
+
[https://www.codeproject.com/KB/threads/procmon/ProcMon.zip](https://www.codeproject.com/KB/threads/procmon/ProcMon.zip)
|
|
14
14
|
|
|
15
15
|
|
|
16
16
|
|