200分！关于防止一个进程被杀的问题。 (200分)

Coolcfan · 2004-03-08

这是原来那个讨论WM_CLOSE的帖子。谢谢大家的帮助，但现在有了新问题。 现在的问题是让受保护的进程用任何方法都杀不掉。防止WM_CLOSE我已经知道了， 但是还有一些很变态的函数，比如TerminateProcess，如何防止？除了服务之外就 没有其他方法？那么拒绝访问的进程是怎么回事？ 欢迎讨论除了SendMessage：WM_CLOSE之外的所有关闭、杀死进程的函数的预防措施。 每一种，如果很长就发E-Mail给我：coolcfan@sina.com

savetime · 2004-03-08

用 WindowHook ：   SetWindowsHookEx(WH_GETMESSAGE, MsgFilter, g_hInstance, NULL); 在 MsgFilter 中分析窗口句柄是否是记事本，然后判断消息是否是 WM_CLOSE 如果是，则修改消息为 WM_NULL。 在 http://www.delphibbs.com/delphibbs/dispq.asp?lid=2414531 有一个例子。

andy263 · 2004-03-08

hook ^_^

wqhatnet · 2004-03-08

HOOK是程序员的必修课啊

Coolcfan · 2004-03-08

谢谢！但是我在这个论坛曾经见过一个帖子，楼主说他用 HOOK拦截PostMessage的消息不成功，他拦的是WM_CHAR， WM_CLOSE如果用PostMessage来发是不是也有这种问题呢？ 在这里献给savetime 50分

Coolcfan · 2004-03-08

I'm sorry，savetime那50分没发出去。。。

Coolcfan · 2004-03-08

savetime，你的那个是C语言代码，我最不懂得就是C语言！！！！！！

savetime · 2004-03-08

你说的问题是： http://www.delphibbs.com/delphibbs/dispq.asp?lid=2476431 我曾在该贴 POST 一段： 从原理上说，只要是使用 WH_GETMESSAGE 就可以修改使用 GetMessage 和 PeekMessage 的消息，对于直接使用 CallWindowProc 的是改不了的。 ------------------------------------------------------------------ WM_CLOSE 确实在多数情况下是非进队消息，但是如果 DefWindowProc 是用 SendMessage 发送的 WM_CLOSE 那应该是可以拦住的。 C 的代码看不懂，我也没办法，可以找原贴楼主要一份，他说已经改成 DELPHI 的了。

Coolcfan · 2004-03-10

如果要百分之百拦截呢？ 比如如果我对记事本进行保护，那么除非将我的拦截程序关掉，否则谁也 关不掉记事本，不论是有杀进程功能的木马、任务管理器或者其他杀进程 软件都不行！！！！！！！！！！！！！！！！！！！！！！！！！！！ 是不是要“分类讨论思想”？ 只要能达到以上目的，我这200分就给谁！！！！！ 请贴出比较详细的代码。

Coolcfan · 2004-03-10

进程插入技术呢

savetime · 2004-03-10

杀进程和拦截 WM_CLOSE 差别大了。 WM_CLOSE 只是窗口/线程级别的东东，进程都能杀掉，窗口消息几乎失效了。

amli · 2004-03-10

下邊2個函數就可以: GetWindowLong(hWnd, GWL_WNDPROC) SetWindowLong(hWnd, GWL_WNDPROC, @Proc)

Coolcfan · 2004-03-11

Terminateprocess这个函数就是用来杀进程的。 要阻止它杀掉我们保护的进程，用上面的函数可以吗？ 另外，如果要同时对多个进程进行保护，应该怎么办？ 我认为用Findwindow找进程是不行的；应该用文件名来 找进程，就是Snapshot内存然后。。。但这又有一个路 径问题。

Coolcfan · 2004-03-11

>>来自：savetime, 时间：2004-3-10 13:00:25, ID：2495337 >>杀进程和拦截 WM_CLOSE 差别大了。 >>WM_CLOSE 只是窗口/线程级别的东东，进程都能杀掉，窗口消息几乎失效了。 就是嘛，我说我怎么成功拦截了自身的WM_CLOSE却还会被杀掉。 很多木马是不是用Terminateprocess函数呢？

liaj · 2004-03-11

HOOK吧

Coolcfan · 2004-03-11

别老hook了，累人啊！

amli · 2004-03-12

var   OldProc : Pointer = nil; function NewProc(hWnd: HWND; Msg: UINT;   wParam: WPARAM; lParam: LPARAM): LRESULT; stdcall; begin   Case Msg of     WM_CLOSE:ShowMessage('Close');   end;   Result := CallWindowProc(OldProc, hWnd, Msg, wParam, lParam); end; procedure TForm1.Button1Click(Sender: TObject); begin   OldProc := Pointer(GetWindowLong(Handle, GWL_WNDPROC));   if Assigned(@OldProc) then     SetWindowLong(Handle, GWL_WNDPROC, Integer(@NewProc)); end;

ranksun · 2004-03-12

:amli,补充    在退出时，要调用SetWindowLong(Handle, GWL_WNDPROC, Integer(@OldProc));    还原，

amli · 2004-03-12

to ranksun: 不需要这样. OldProc有生存期.

itren · 2004-03-12

这样用 TerminateProcess 就不能关闭了么？

200分！关于防止一个进程被杀的问题。 (200分)

Coolcfan

Unregistered / Unconfirmed

savetime

Unregistered / Unconfirmed

andy263

Unregistered / Unconfirmed

wqhatnet

Unregistered / Unconfirmed

Coolcfan

Unregistered / Unconfirmed

Coolcfan

Unregistered / Unconfirmed

Coolcfan

Unregistered / Unconfirmed

savetime

Unregistered / Unconfirmed

Coolcfan

Unregistered / Unconfirmed

Coolcfan

Unregistered / Unconfirmed

savetime

Unregistered / Unconfirmed

amli

Unregistered / Unconfirmed

Coolcfan

Unregistered / Unconfirmed

Coolcfan

Unregistered / Unconfirmed

liaj

Unregistered / Unconfirmed

Coolcfan

Unregistered / Unconfirmed

amli

Unregistered / Unconfirmed

ranksun

Unregistered / Unconfirmed

amli

Unregistered / Unconfirmed

itren

Unregistered / Unconfirmed

Similar threads