用XT的进来看一下

显示全部楼层 · 发表于 2011-4-8 23:29:27

有时候会看到一个进程，但是那个文件又不存在
这是怎么回事呢？

显示全部楼层 · 发表于 2011-4-8 23:32:37

有可能是进程创建后就把自己的文件给删掉了。

显示全部楼层 · 发表于 2011-4-9 00:42:05

用，但不懂，帮顶了

显示全部楼层 · 发表于 2011-4-9 03:25:39

2L正解

安全软件经常这样做,还有一些系统的驱动也是这样

显示全部楼层 · 发表于 2011-4-9 12:19:53

是二楼的解释

显示全部楼层 · 发表于 2011-4-9 12:27:41

进程和驱动文件不存在的话要注意一下，病毒喜欢删除自身，当然XUETR自己的驱动也是删除的，自己排除一下

显示全部楼层 · 发表于 2011-4-9 13:38:37

没有明白！

显示全部楼层 · 发表于 2011-4-9 13:51:01

假设进程是系统工作的承包商，这样就是承包以后却解散了……
有的软件会在创建后删除自己的文件，也有可能是被其他软件删掉了他的进程文件。就像昨天远程处理一个病毒时病毒在创建进程后杀毒软件被删除了，也是一个文件不存在

显示全部楼层 · 发表于 2011-4-9 15:11:22

本帖最后由 KiAcler 于 2011-4-9 15:11 编辑

有很多可能。
常见的应该是运行之后又把自己移走了或者删掉了（关个句柄或直接IRP即可）
还有以前在学校貌似有见过一个病毒是把可执行文件直接释放到内存加载。（这绝对不是不可能的，自己多看看loader就有头绪了，看雪也有人发过src）

[求助] 用XT的进来看一下