H
hzm7512
Unregistered / Unconfirmed
GUEST, unregistred user!
一个关于api Hook的问题，我用api hook拦截ShellExecuteW和CreateprocessW，正常的情况下（通过双击鼠标）是可以的获得文件名和进程名这些数据的，但是在cmd命令行（在cmd命令行里输入一个文件的地址）打开的文件，Hookapi就拦截不到。不知道如何解决。
A
andd_chen
Unregistered / Unconfirmed
GUEST, unregistred user!
你是在msdos下输入cmd不能拦截到吗？
H
hzm7512
Unregistered / Unconfirmed
GUEST, unregistred user!
我可能没有说明白：我想做一个文件访问的日志，记录我的机子上所有打开过的文件和进程，在正常操作下（非dos命令）是可以拦截我想要的数据，但是打开cmd的界面，然后输入文件的路径，此时文件已被打开，但是api hook拦截不到打开文件的动作，和创建进程的动作，要怎么样才能解决。
A
andd_chen
Unregistered / Unconfirmed
GUEST, unregistred user!
在dos下的cmd不是shell，所以你还要hook相应的函数，你可以查下dos的cmd是否调用了windows api函数，如果是，则hook他，如果不是，我就不知道了
Z
zqw0117
Unregistered / Unconfirmed
GUEST, unregistred user!
ShellExecuteW和CreateprocessW？那ShellExecuteA, CreateProcessA, ShellExecuteExW, ShellExecuteExA, CreateProcessExW, CreateProcessExW, WinExecA, WinExecW呢？都拦截了？
D
djsyz
Unregistered / Unconfirmed
GUEST, unregistred user!
CMD类似是一个虚拟机，HOOK不可能拦截CMD内处理的结果，但可以拦截输入结果。
如果实在要拦截，只能从内存分配的角度考虑，这样做的话就有点麻烦了。也不是HOOK的用意所在了。
如果实在要拦截，只能从内存分配的角度考虑，这样做的话就有点麻烦了。也不是HOOK的用意所在了。
A
andd_chen
Unregistered / Unconfirmed
GUEST, unregistred user!
to djsyz
你能讲讲具体怎么做吗？
你能讲讲具体怎么做吗？
H
hzm7512
Unregistered / Unconfirmed
GUEST, unregistred user!
to zqw0117:我都把这些函数拦截了，在cmd下也是不行的。
to andd_chen
os下不是调用windows api，所以我知道Hook api是不行的。
to djsyz:具体要怎么做呢？能不能告诉一个解决的思路呢？
to andd_chen
os下不是调用windows api，所以我知道Hook api是不行的。to djsyz:具体要怎么做呢？能不能告诉一个解决的思路呢？
T
tianliangle2003
Unregistered / Unconfirmed
GUEST, unregistred user!
CMD下是用CreateProcess相关API启动程序的，拦截就可以了，如果是CMD内部命令就不可以了
W
wangsea
Unregistered / Unconfirmed
GUEST, unregistred user!
试过拦截NtVdmControl吗?hackdef1000拦截此函数屏蔽cmd下对特定目录的读取,所以应该可以满足你的要求
A
andd_chen
Unregistered / Unconfirmed
GUEST, unregistred user!
to wangsea
NtVdmControl这个函数有吗?我怎么在msdn里没找到啊
NtVdmControl这个函数有吗?我怎么在msdn里没找到啊
W
wangsea
Unregistered / Unconfirmed
GUEST, unregistred user!
Google搜索 "NtVdmControl",有很多,例如:
http://www.nsfocus.net/index.php?act=sec_doc&do=view&doc_id=896&keyword=
用PE工具看导入表,有"ZwVdmControl",所以也一定有"NtVdmControl",拦载ZwVdmControl与
NtVdmControl是一样的.
http://www.nsfocus.net/index.php?act=sec_doc&do=view&doc_id=896&keyword=
用PE工具看导入表,有"ZwVdmControl",所以也一定有"NtVdmControl",拦载ZwVdmControl与
NtVdmControl是一样的.
W
wr960204
Unregistered / Unconfirmed
GUEST, unregistred user!
我上一段时间写一个安全扫描.类似病毒防火墙的咚咚.用驱动的方式写的Rootkit拦截内核的ZwCreateProcess/ZwCreateProcessEx.在系统启动之前就加载就可以拦截得到全部的进程创建.
H
hzm7512
Unregistered / Unconfirmed
GUEST, unregistred user!
jieshu