0

Написал службу Windows, запускается как LocalSystem. Под любой другой учетной записью нельзя убить процесс в менеджере задачи, но если зайти под администратором то процесс легко можно завершить. Как защитить мой процесс от завершения, как это делает Windows с некоторыми своими процессами от имени "System"???

10
  • вирус пишешь)? 23 фев 2012 в 17:43
  • 4
    Да вообще тут можно 2 варианта предположить: либо вы действительно пишите конкурент скайпа, либо вы просто прочли пару страниц журнала "Хакер" и вдохновленные им решили написать супер мега неуловимый вирус который уничтожит нас всех 23 фев 2012 в 17:59
  • 2
    Ну если кому интересно - пишу программу мониторига компьютерных классов для учебного заведения в котором работаю. Программа имеет 2 функции: время от времени запускать сканирование запущенных процесов и убивать "неугодные" (плееры, косынки, коунтерстрайки), а так же выступать в роли сервера для возможности управлять компьютером удаленно через набор API (убить вручную один из процессов, просмотреть имя текущего пользователя, перезагрузить машину и т.д.). Особый акцент хочу сделать на мобильный клиент, например для Android, так как не всегда есть время сидеть за компом).
    – zonex
    23 фев 2012 в 18:10
  • 3
    благое дело? играешь значит ты в косынку, осталось положить последнею карту и ты уже весь в ожидании "фонтана" карт и... и тут все закрывается....
    – Gorets
    21 апр 2012 в 8:31
  • 2
    Благое дело делается очень просто: горе-программисты последовательно выкидываются на мороз, пока не освободится достаточно фондов, чтобы пригласить нормального сисадмина. И всё сразу станет так, как пожелает завкафедрой в письменном виде.
    – karmadro4
    9 июн 2012 в 7:03

4 ответа 4

3

Это неосуществимо.

В случае, если пользователь имеет право вызвать TerminateProcess для вашего программы, то исполнение команды End Process из диспетчера задач завершит работу процесса. Вы можете попробовать усложнить задачу: то есть воспрепятствовать вызову диспетчера задач как такового, но в конечном счете и это обходится прямым вызовом функции TerminateProcess.

1
  • спасибо. буду копать дальше
    – zonex
    23 фев 2012 в 20:12
3

Извиняюсь, что может это ошибка, удалите если что, но я думаю, почему бы не сделать 2 процесса и чтобы один присматривал за другим, и если что перевызывал другой. Простите за некомпетентность, но мне также кажется, что нужно создать какой-то драйвер. если надо удалить ответ, напишите в коммент, я сам удалю.

2
  • И если один из процессов завершен, > taskkill -f -im taskmgr > taskkill -f -im explorer > shutdown -r -t 1
    – Sh4dow
    21 апр 2012 в 8:43
  • 1
    iexplore.exe только так и срубается, собака
    – karmadro4
    9 июн 2012 в 6:55
0

В настройках службы есть вариант Перезапускать при ошибках. В таком случае (если ограничение на число перезапусков не выставлено), процесс будет перезапускаться, если пользователь его прибьёт.

Что касается именно защиты от закрытия, то такое делают только антивирусы, которые сами умеют следить за активностью приложений и могут в неё вмешиваться. Не знаю, как точно оно реализовано, но предположу, что там есть некие хуки на стандартные функции, при срабатывании которых приложение просто приостанавливается, а антивирус решает, что делать.

Ну и ещё. Чтобы пользователь не мог убить все процессы некого приложения, надо поддерживать их количество около 16, причём таким обраом, что их родительский порцесс завершился, благодаря чему и они не находятся в одном поддереве. Программно, конечно, всё равно можно поприбивать, но руками не должно получиться. Но службы и так умеют перезапускаться, так что в этом нет необходимости.

9
  • Если у пользователя есть права админа, то всё, сопротивляться бесполезно. Он может остановить сервис, подменить исполняемый файл, перехватить попытки его запустить и блокировать, да что угодно. Дополнительное чтение по теме. И ещё.
    – VladD
    5 июн 2015 в 9:37
  • @VladD, может теоретически и может практически - это не одно и то же и сильно зависит от способностей пользователя. К тому же, антивирус же умеет защищаться от админских прав. При желании, можно сделать что-то такое же, хотя это и сложно.
    – Qwertiy
    5 июн 2015 в 9:40
  • Нет, антивирус не умеет защищаться от них. Честно. Всё, что бежит с админскими правами, может снести антивирус.
    – VladD
    5 июн 2015 в 9:42
  • @VladD, умеет. На попытку прибить процесс явно реагирует запретом, на попытку остановки службы выводит окно с запросом.
    – Qwertiy
    5 июн 2015 в 9:43
  • Да, но это не защита, это детский сад, песочек, совочек, горшочек и трусы на лямках. Вы можете просто вызвать ZwTerminateProcess, предварительно сбросив атрибуты безопасности.
    – VladD
    5 июн 2015 в 9:47
-1

Ну, как вариант, можно сделать вспомогающий .exe - файлик, который будет отслеживать наличие процесса, завершать который нельзя, а приложение того процесса будет отслеживать наличие в системе процесса того самого вспомогающего .exe - файлика. В итоге получится замкнутая цепь: при завершении одного из процессов, сразу же будет запущено приложение завершенного процесса.

4
  • Ну я об этом же в своем ответе
    – semenvx27
    21 апр 2012 в 8:15
  • ой, сори. Я просто не читал ответы...
    – AseN
    21 апр 2012 в 8:20
  • ну такой подход реализуют в некоторых "недовирусах", это весьма ощутимо сказывается на производительности системы, особенно на слабых машинах. Да и не очень профессионально с точки зрения программирования.
    – zonex
    8 июн 2012 в 19:39
  • Производительность упадет, если опрашивать. -- Можно ведь связать их парой пайпов, которые читать в отдельных потока (watchdog крест-накрест). Как только один процесс упадет поток в другом слетит с read() с нулем. Как говорится, ву-а-ля. А дальше дело техники, сразу ныряем новым процессом, старый завершаем, маскируемся ..., ну тут широкий простор для фантазии.
    – avp
    8 июн 2012 в 22:56

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.