Мониторинг процессов

@Kastylera · Регистрация: 22.04.2019

Author24 — интернет-сервис помощи студентам

Подскажите как реализовать следующее:
Программа, что ведет протокол действий пользователя с управления процессами во время сеанса работы, должна сохранять в скрытых файлах на диске полные имена всех создаваемых процессов и дату-время их создания.
Не могу понять как контролировать создание новых процессов. Создать snapshot текущих процессов и по таймеру проверять на наличие новых не вариант. Была идея сделать глобальный хук CreateProcess,но не могу понять как именно его реализовать.

@Kastylera · 03.05.2019, 19:02 **[ТС]**

Идея следующая. Делать CreateProcessNotifyEx в "User Mode". Суть этого метода это создать dll c экспортируемой функцией
C++Выделить код

C++

extern "C" NTSTATUS __stdcall CreateProcessNotify ( 
    LPCWSTR lpApplicationName, 
    ULONG uReason 
    ) {...}

extern "C" NTSTATUS __stdcall CreateProcessNotify (
LPCWSTR lpApplicationName,
ULONG uReason
) {...}
И прописать эту dll в
Ключ: HKLM\System\CurrentControlSet\Control\Session Manager\AppCertDlls
Тип значения: REG_EXPAND_SZ
При этом наша dll будет внедрена в приложения которые могут создать процесс..
Как именно прописать dll?
Нашла примеры с блокировкой процессов. Не могу понять как просто взять имя.
Плюс надо синхронизировать доступ к файлу.

@ISergey · 04.05.2019, 09:54

Сообщение от Kastylera

Как именно прописать dll?

C

    TCHAR szCurPath[MAX_PATH];
    TCHAR szCurNameDll[MAX_PATH];
 
 
    if(!GetCurrentDirectory(MAX_PATH, szCurPath )) {
        printf("Cannot GetCurrentDirectory (%d)\n", GetLastError());
        return;
    }
 
    _tcscpy(szCurNameDll, szCurPath);
    _tcscat(szCurNameDll, TEXT("\\LPDll.dll"));
 
    HKEY hKey;
    if ( RegCreateKeyEx(HKEY_LOCAL_MACHINE, 
        TEXT("SYSTEM\\CurrentControlSet\\Control\\Session Manager\\AppCertDlls"), 0,NULL,0,KEY_ALL_ACCESS,
        NULL,&hKey, NULL) != ERROR_SUCCESS ) 
    {
        printf("Cannot RegCreateKey AppCertDlls (%d)\n", GetLastError());
        return;
    }
 
    if ( RegSetValueEx(hKey, TEXT("LPDll"), 0, REG_EXPAND_SZ, 
        (BYTE*)szCurNameDll, _tcslen(szCurNameDll) * sizeof(TCHAR) ) != ERROR_SUCCESS )
    {
        printf("Cannot RegSetValue LPDll (%d)\n", GetLastError());
        return;
    }
    RegCloseKey(hKey);

Этот способ мониторинга процессов сложен в отладке. Любая ошибка в dll может убить процесс или повесить всю ос.

@Kastylera · 04.05.2019, 10:06 **[ТС]**

Вписать dll в реестр я собиралась бантиком, я не могу понять что записать внутрь функции CreateProcessNofity.

@Kastylera 0 / 0 / 0 Регистрация: 22.04.2019 Сообщений: 3
		1
	Мониторинг процессов 22.04.2019, 22:09. Показов 2405. Ответов 3 Метки winapi, windows (Все метки) Подскажите как реализовать следующее: Программа, что ведет протокол действий пользователя с управления процессами во время сеанса работы, должна сохранять в скрытых файлах на диске полные имена всех создаваемых процессов и дату-время их создания. Не могу понять как контролировать создание новых процессов. Создать snapshot текущих процессов и по таймеру проверять на наличие новых не вариант. Была идея сделать глобальный хук CreateProcess,но не могу понять как именно его реализовать. 0

@Kastylera 0 / 0 / 0 Регистрация: 22.04.2019 Сообщений: 3
	04.05.2019, 10:06 [ТС]	4
	Вписать dll в реестр я собиралась бантиком, я не могу понять что записать внутрь функции CreateProcessNofity. 0