从Process Monitor隐藏的进程

Question

我需要创建一个可以读写文件的应用程序（C ++ / MFC）。但是我需要这个过程不要出现在进程监视器（它带有SysInternals）中。

从别人的反应来看，我现在确认这似乎是“非法的”。但那是我正在处理的客户的要求。所以，我想我只需要满足客户的要求。

Answer 1

Process Monitor的一个用途是查找和删除试图向用户隐藏的恶意软件：

  

Process Monitor是一种先进的   显示的Windows监视工具   实时文件系统，注册表和   进程/线程活动。它结合了   两个遗产的特点   Sysinternals工具，Filemon和   Regmon，并添加了一个广泛的列表   增强包括丰富和   非破坏性过滤，   综合事件属性等   会话ID和用户名，可靠   流程信息，完整线程   具有集成符号支持的堆栈   对于每个操作，同时进行   记录到文件等等。的及其   独特的强大功能将使   进程监控您的核心实用程序   系统故障排除和恶意软件   狩猎工具包。

我并不是说你想要做的事情是不可能的，而是你试图做一些感觉有点不诚实的事情。

话虽如此，我希望您考虑一下这样一个事实，即您试图隐藏一个实用程序的过程，该实用程序是为了找到比您和我更聪明的人找到任何东西和所有东西。

Answer 2

我假设你不打算做任何恶意的事情。如果是这种情况，那么重要的是不要将应用程序隐藏在诊断工具之外。您不能保证您的应用程序没有错误。即使它是，您也无法预测其与其他应用程序的交互。因此，您应该将其保持可见，以便其他技术人员可以在出现问题时进行故障排除。

关于你的评论，“所以，我想我只需满足客户的要求” - 如果这对他们来说是非法的或技术上的危险。你需要保护自己和他们免受不良判断。

Answer 3

PM会以非常低的水平读取数据，因此要隐藏它，您必须实际接管某些NT内核结构和方法，以向PM报告与Windows本身所见的不同的信息。这样做取决于平台和版本（即Windows XP SP1与Windows XP SP2的不同之处不同于Vista x64等）。如果不造成大量系统不稳定性问题，几乎不可能正确完成。

虽然它并非严格违法，但每个已经完成并被发现的公司（您将会）都会受到用户和安全专业人员的强烈反对和批评。同样，虽然没有明确违法，但所需的更改类型可能会在最终用户的计算机上打开严重的安全漏洞。如果他们遇到重大系统崩溃或暴露于黑客/病毒，您可能会对损害承担法律责任。

Answer 4

可能是半合法的（虽然我不希望我的名字与他们相关联）应用程序，你想让人们看不到的是DRM执行者和儿童和错误配偶的保姆凸轮式监视器。

那就是说，我不认为你的客户真的希望你破坏这么重要的系统。他们可能想要一些不那么类似rootkit的东西，但是他们选择了看“24”的词汇并且未能充分表达他们想要做的事情。

我的建议是回到他们的澄清。如果他们确实希望某些事情完全无法察觉，那么您需要根据自己的良心来决定是继续还是离开客户。