P2P対策などで､該当するﾌﾟﾛｸﾞﾗﾑの起動をﾌﾞﾛｯｸするようなｿﾌﾄを見かけますが､このようなｿﾌﾄの動作原理はどうなっているのでしょうか｡▽1
●
匿名回答1号 ﾍﾞｽﾄｱﾝｻｰ |
いくつか方法が考えられると思います｡
ﾄﾞﾒｲﾝに参加しているような場合､ｸﾞﾙｰﾌﾟﾎﾟﾘｼｰを用いているのかもしれません｡
http://www.atmarkit.co.jp/fwin2k/win2ktips/631rejectexec/rejectexec.html
また､ﾀｽｸﾏﾈｰｼﾞｬｰの様な定期的な監視や強制終了を行っているかもしれません｡
http://support.microsoft.com/kb/187913/ja
http://support.microsoft.com/kb/409542/ja
ｿﾌﾄとしてありがちなのはAPIなどのﾌｯｸを用いた方法かもしれません｡
下記の"Detecting Process Execution"が参考になるでしょう｡
http://www.internals.com/articles/apispy/apispy.htm
Windows NT/2000 offers similar functionality through the use of the undocumented PsSetCreateProcessNotifyRoutine function exported from NTOSKRNL.
下記では一般的なAPIﾌｯｸについてまとめています｡
http://www.codeproject.com/Articles/2082/API-hooking-revealed
これらを使えば実際の動作も解析できるでしょう｡
