这两张图不知是否能看出一些问题来

fufuji97

原帖由 小松鼠 于 2008-12-25 08:54 发表
WPservice.exe是招商银行最近推出的网银一网通网盾的进程

楼主测试病毒装备好多。如果让我试毒，轻松上阵，就一个还原软件且只保护C: 实机。中就中了，到网上找资料手工清除。要学习野生动物在自然界生存。

你自己玩玩这个毒 http://bbs.kafan.cn/thread-392638-3-1.html，

别玩虚的，我看你只保护C盘下怎么清除，我也想知道你到哪里能找到资料，工具多那是为了分析病毒，

深红的雪

不能说明什么问题

影子类软件靠驱动过滤，用户进程（GUI）只是用来交互而已，即使把用户进程砍掉也没所谓

fufuji97

原帖由 深红的雪 于 2008-12-25 09:34 发表
不能说明什么问题

影子类软件靠驱动过滤，用户进程（GUI）只是用来交互而已，即使把用户进程砍掉也没所谓

问题是我发现现在的影子2008的进程好像冰刃也结束不掉啊

fufuji97

气流能帮我分析一下，我昨天说的那个病毒，怎么会以如此高权限加载呢？

小松鼠

原帖由 fufuji97 于 2008-12-25 08:49 发表


我晕。你那些都是ghost之类的吧

你没用过别瞎说，与ghost无关。

深红的雪

结束不了那应该是影子的驱动保护了自己的GUI进程，没有了GUI进程只是不能设置罢了

至于那个病毒，是这个帖子吧：http://bbs.kafan.cn/thread-393127-5-1.html

其实并没有以高权限加载

fufuji97

原帖由 深红的雪 于 2008-12-25 13:32 发表
结束不了那应该是影子的驱动保护了自己的GUI进程，没有了GUI进程只是不能设置罢了

至于那个病毒，是这个帖子吧：http://bbs.kafan.cn/thread-393127-5-1.html

其实并没有以高权限加载

那图里可是显示的是与explorer、system平级啊

深红的雪

请见回帖

fufuji97

谢谢，那帖去探讨

SONGBOWEN

告诉你怎么实现的，先通过explorer.exe启动一个子进程A.exe，那么他的父进程就是explorer，接下来这个被启动的进程A.exe，再去启动一个子进程B.exe，那么B就是A的子进程，接下来A.exe自身退出（或被其他进程结束），那么B.exe的父进程就不存在了，那么B.exe在进程树上就和explorer等平级了。
在进程树上的位置，并不能说明进程的级别、权限或者优先级等信息。
例如，从图上看，explorer是一个独立的进程，而实际上，explorer是userinit的子进程（userinit在系统初始化完毕后就退出了），而userinit又是winlogon启动的，所以按照此关系，explorer应该是winlogon的子进程的子进程，但图中却处于进程树的顶端。
PowerShadow的进程也是如此。