PC Hunter V1.56 [2019-01-31] 发布，支持Win10(17763)

显示全部楼层 · 发表于 2009-4-8 23:07:05

原帖由 银砾石 于 2009-4-8 22:45 发表
停止线程的时候未检测是自己的线程，然后进程一直在.....

文件枚举不全

是NTFS的文件系统么？

显示全部楼层 · 发表于 2009-4-8 23:07:33

我的是vista，菜单会变灰。其实XueTr出错退出后，改名复制到别的地方再运行，一般都能成功。

显示全部楼层 · 发表于 2009-4-8 23:09:50

目前是允许停止XT线程的
当时考虑可能有线程注入XT 也怕有注入的XT调用驱动因此这个地方没过滤

显示全部楼层 · 发表于 2009-4-8 23:14:02

我全NTFS ，XP，前次结束线程窗口关闭后，再复制其他地方改名运行显示空白，可以直接通过任务管理器结束
文件和服务管理部分还能显示

显示全部楼层 · 发表于 2009-4-8 23:20:07

原帖由 backway 于 2009-4-8 23:14 发表
我全NTFS ，XP，前次结束线程窗口关闭后，再复制其他地方改名运行显示空白，可以直接通过任务管理器结束
文件和服务管理部分还能显示

改了名运行只要驱动中检测到上次哪一个进程还没有死的话驱动也不会为新启动的进程服务因此看到的全是空白
文件、注册表和服务管理部分能显示都是因为不需要驱动
文件部分是直接解析磁盘
注册表是Hive解析
服务部分是直接用API检测了一次没有隐藏的

[ 本帖最后由 Deker 于 2009-4-8 23:21 编辑 ]

显示全部楼层 · 发表于 2009-4-8 23:20:46

看来XueTr在vista下运行跟xp下有很多不同哦。

显示全部楼层 · 发表于 2009-4-9 00:32:37

过来顶一下

显示全部楼层 · 发表于 2009-4-9 07:55:19

ntfs文件系统
其实原因很简单，相信Deker也想到了，，枚举处理时某一种情况是跳过的，就是那个了

这种方法隐藏的话常规模式是可以访问的，但是需要知道文件名

显示全部楼层 · 发表于 2009-4-9 08:54:10

没想到跟截图中火流星的颜色标记有关

显示全部楼层 · 发表于 2009-4-9 10:49:53

原帖由 银砾石 于 2009-4-9 07:55 发表
ntfs文件系统
其实原因很简单，相信Deker也想到了，，枚举处理时某一种情况是跳过的，就是那个了

这种方法隐藏的话常规模式是可以访问的，但是需要知道文件名

谢谢提醒我看看

[原创工具] PC Hunter V1.56 [2019-01-31] 发布，支持Win10(17763)

回复 950楼 backway 的帖子

回复 959楼银砾石的帖子

[原创工具] PC Hunter V1.56 [2019-01-31] 发布，支持Win10(17763)

回复 950楼 backway 的帖子

回复 959楼 银砾石 的帖子

回复 959楼银砾石的帖子