家里无聊随手做:【我的电脑听我的】驱动通知通过规则拦截进程启动

显示全部楼层 · 发表于 2013-4-28 09:52:17

本帖最后由 zhq445078388 于 2013-4-28 11:53 编辑

好吧我承认..标题是为了吸引大家进来..
因为完全到不了那种境界...

原理简单通过注册进程启动回调.获取进程启动信息

灰常简单
将启动的PID写入环三的内存
通知环三程序读取
然后应用程序读取进程命令行.然后匹配预设的规则,当匹配成功则暂停进程运行弹窗提示,

不匹配则不操作

界面:
QQ截图20130428095054.jpg

匹配规则时的弹窗

驱动源码及符号文件

监控进程启动.zip (84.2 KB, 下载次数: 957)

显示全部楼层 · 发表于 2013-4-28 11:24:40

看截图类似360 的捆绑净化器？

显示全部楼层 · 发表于 2013-4-28 11:37:35

通过安装包名称中是否有 _s 来判断是否静默安装的，你歇菜了吧，
云控的你歇菜了吧
我记得是搜狗还是谁，静默安装参数是 /pp，你也歇菜了吧

显示全部楼层 · 发表于 2013-4-28 11:41:41

我只是被标题吸引过来的

显示全部楼层 · 发表于 2013-4-28 11:47:26

鼓励有代码的帖子。

显示全部楼层 · 发表于 2013-4-28 11:52:38

wowocock 发表于 2013-4-28 11:47
鼓励有代码的帖子。

发现大肉鸡...

显示全部楼层 · 发表于 2013-4-28 12:05:05

本帖最后由龙套传说于 2013-4-28 12:06 编辑

下来看看，膜拜高手。

额，费尔报毒之 myprocess.sys。。不支持64位？？？

显示全部楼层 · 发表于 2013-4-28 12:10:15

本帖最后由 Flameocean 于 2013-4-28 12:43 编辑

wowocock 发表于 2013-4-28 11:47
鼓励有代码的帖子。

大牛，看一下这个蓝屏驱动，帮帮百度杀毒一下

042813-30919-01.zip (28.72 KB, 下载次数: 804)

显示全部楼层 · 发表于 2013-4-28 13:10:32

龙套传说发表于 2013-4-28 12:05
下来看看，膜拜高手。

64位需要签名..木有..

显示全部楼层 · 发表于 2013-4-28 14:24:22

Flameocean 发表于 2013-4-28 12:10
大牛，看一下这个蓝屏驱动，帮帮百度杀毒一下

堆栈里面看到了

百度杀毒 360卫士费尔托斯特...

[原创工具] 家里无聊随手做:【我的电脑听我的】驱动通知通过规则拦截进程启动