Перехват запуска программ

[удалено модератором] Нужно определить посредством ПЕРЕХВАТА АПИшных функций запуск нового приложения в системе. Как это лучше реализовать? Очень нужно. Заранее СПАСИБО.

Эта тема была разделена из темы "Внедрение библиотеки в чужой процесс"

На чистом VB никак

[удалено модератором]
Перехват функций в windows нету. Есть издевательство, которое не применяется не в одной нормальной программе.
Все серьезные программы юзают специальную возможность в windows для отлова создания процессов, но из VB это возможность недоступна, совсем.
Это мне напоминает маразм из области "скрыть процесс от диспетчера задач". Куча статей по всему инету на эту тему - и ни один антивирус от диспетчера не спасается. Почему? Нежуели потому что их создатели не знают про такую возможнность? А может просто понимают, что это никогда не нужно(благо для программиста всегда открыты такие фичи как, к примеру, системные потоки, отложенные вызовы и куча чего еще, которые итак нигде не отображаются)

Сообщение отредактировано: SCINER - 19.08.07, 10:38

Чисто в самообразовательных целях:
А можно поподробнее про

Цитата ANDLL @ 18.08.07, 17:07

специальную возможность в windows для отлова создания процессов

Или хотя бы как эта возможность называется (уж не создавать ли для этого драйвер режима ядра?), чтобы можно было поискать инфу.

Сообщение отредактировано: G-Hex - 18.08.07, 21:03

Для G-Hex. Посмотри, очень интересно http://www.wasm.ru/article.php?article=apihook_1

Спасибо за ответы. Буду рыть дальше.

Цитата G-Hex @ 18.08.07, 21:03

уж не создавать ли для этого драйвер режима ядра

Разумеется, создавать Есть причины, по которым таие вещи не делаются в для обычных пржек.
Функция PsSetCreateProcessNotifyRoutine(Ex)

ANDLL
Пусть оффтоп, но что имеет в виду AVZ когда пишет что функция перехвачена?

Цитата Nerey @ 19.08.07, 07:54

ANDLL
Пусть оффтоп, но что имеет в виду AVZ когда пишет что функция перехвачена?

Много чего. К примеру:
- Изменилась таблица импорта
- Изменилось тело ф-ции (первые байты ф-ции изменили на jmp MyFunction)
И т.д.
Суть в том, что _правильного_ способа перехвата не существует. Существует множество кривых и неправильных (правда, работающих), но корректных не существует и существовать не может в силу специфики работы данного механизма.

Чуть более ясно. А изменение таблицы импорта не есть наиболее чистый способ?

Ндас...Ответы поставили меня совсем в тупик. А именно слово "ДРАЙВЕР". Может вопрос не сюда, но может на Делфи кто-то знает решение....

Кстати пример по использованию PsSetCreateProcessNotifyRoutine http://www.codeproject.com/threads/procmon.asp
прадва на C++, но такова уж реальность VB программистов, что некоторые примеры можно найти только на ругих языках

Сложность написания дравйвера не в знании языка. Выучить C++ куда проще, чем научится писать системные тулзы. Отслыки типа "такова уж реальность VB программистов" это какаято бердятина

Добавлено 19.08.07, 09:51

Цитата ANDLL @ 18.08.07, 17:07

[удалено иодерптором]

Йоптдераторам пора уже научится ставить галочку "отредактировано", это не моё желание, это требование выскоих чинов, занесенное в faq

Добавлено 19.08.07, 09:59

Цитата Nerey @ 19.08.07, 08:34

А изменение таблицы импорта не есть наиболее чистый способ?

Конкретно создание процесса вообще никак нельзя перехватить в пользовательском режиме - я могу тупо запихать нужные параметры в стек и вызвать sysenter - расскажите как будете перехватывать? И вообще да, ничего чистого тут нет, хотя наверное это лучше чем переписывание ее кода.

Добавлено 19.08.07, 10:15
http://www.experts-exchange.com/Programming/Misc/Q_21260270.html
Как вы думаете, много этот сайт зарабатывает?

Йоптдератор очень торопился .

Цитата ANDLL @ 19.08.07, 09:49

Конкретно создание процесса вообще никак нельзя перехватить в пользовательском режиме - я могу тупо запихать нужные параметры в стек и вызвать sysenter - расскажите как будете перехватывать? И вообще да, ничего чистого тут нет, хотя наверное это лучше чем переписывание ее кода.

По-моему такие извращения не нужны автору темы.

Спасибо всем за ответы. Нашел решение в Делфи. Это перехват CreateThread. Пытался CreateProcess, но там какие-то бока с передачей дальше (после хука) параметров. Указатели всякие и т.п.