你好,欢迎来到电脑编程技巧与维护杂志社! 杂志社简介广告服务读者反馈编程社区  
合订本订阅
 
 
您的位置:文章管理 / 本期精品文章
如何利用Winlogon事件通知包来增强程序的隐蔽性
 

作者:曹卫忠

禁止学生玩游戏一直是计算机教师头疼的事。禁止游戏的程序有很多,但隐蔽性多不太好,学生只要杀进程或断开网络连接就行了。这里介绍一种利用Winlogon通知包和进程注入的方法来禁止全屏游戏,配合硬盘还原系统,在实践中取得较好的效果。

Winlogon事件通知包(Winlogon Notification Package)”就是处理winlogon在切换状态时发出的事件的DLL。可以通过“Winlogon Notification Package”来监视winlogon事件的响应。winlogon.exe会在启动时加载已经注册的DLL,并且会在系统状态切换时调用注册DLL的事件处理函数。也可以自己编写处理winlogon的事件的逻辑,将其作为函数导出,把它编译为Win32 Dll,然后添加信息到注册表。为了注册 Winlogon Notification Package”,必须在“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify”下创建 notification package”子键。在“Notify”项下,可以根据需要创建如下键值:

Asynchronous[REG_DWORD]:表明是否异步处理winlogon事件,如设为 1winlogon将启动一个新线程来处理。

DllName[REG_EXPAND_SZ]:指定要加载的DLL名。

Impersonate[REG_DWORD]:表明是否以登录用户的权限来处理事件。

Lock[REG_SZ]:锁定桌面事件。

Logoff[REG_SZ]:注销事件。

Logon[REG_SZ]:登录事件。

Shutdown[REG_SZ]:关机事件。

StartScreenSaver[REG_SZ]:启动屏保事件。

StartShell[REG_SZ]:启动shell(一般指explorer.exe)事件。

Startup[REG_SZ]:系统开机事件。

StopScreenSaver[REG_SZ]:停止屏保事件。

Unlock[REG_SZ]:解除桌面锁定事件。

其中每个事件对应DLL中的一个导出函数,即每当有事件发生时,winlogon.exe便调用相应的函数。本文的DllName的值为“test.dll”,Logon的值为“testLogon”,Logoff的值为testLogoff,系统在登录和注销时就分别调用testLogontestLogoff

首先编写杀全屏游戏的dll文件killgame.dll,利用Winlogon事件通知包加载test.dll,当系统登录时,建立两个线程,一个线程负责检查explorer.exe中有没有killgame.dll,没有就注入,另一个线程监视explorer.exe进程,如果没有就重启。要想从winlogon.exetest.dll卸载,很可能是蓝屏和重启。下面给出个别模块的核心代码,具体代码参照源码:

1.杀全屏游戏的dll

Function killgame:Boolean; //杀全屏游戏的函数

Var

  WndCaption:array[0..256] of Char;

  P:DWORD;

   wnd:thandle;

   r:trect;

begin

  Result:=True;

 wnd:=GetForegroundWindow();

 //是否是有效窗口及标题不为空

  推荐精品文章

·2024年6月目录 
·2024年5月目录 
·2024年4月目录 
·2024年3月目录 
·2024年2月目录 
·2024年1月目录
·2023年12月目录
·2023年11月目录
·2023年10月目录
·2023年9月目录 
·2023年8月目录 
·2023年7月目录
·2023年6月目录 
·2023年5月目录

  联系方式
TEL:010-82561037
Fax: 010-82561614
QQ: 100164630
Mail:gaojian@comprg.com.cn

  友情链接
 
Copyright 2001-2010, www.comprg.com.cn, All Rights Reserved
京ICP备14022230号-1,电话/传真:010-82561037 82561614 ,Mail:gaojian@comprg.com.cn
地址:北京市海淀区远大路20号宝蓝大厦E座704,邮编:100089