Win2000WinXP系统下进程的防杀

｝ Ｓｌｅｅｐ（１）； ｝ ） ｉｎｔ ＷＩＮＡＰＩ ＷｉｎＭａｉｎ（ＨＩＮＳＴＡＮＣＥ ｈＩｎｓｔａｎｃｅ，
ＨＩＮＳＴＡＮＣＥ ｈＰｒｅｖＩｎｓｔａｎｃｅ，ＬＰＳＴＲ ｌｐＣｍｄＬｉｎｅ，
ｉｎｔ ｎＣｍｄＳｈｏｗ） ｛
ＤＷＯＲＤ Ｔｈｒｅａｄｌｄ； ＣｒｅａｔｅＭｕｔｅｘ（ＮＵＬＬ，ＴＲＵＥ，”ＲＵＮＤＵｊ２．ＥＸＥ”）； ＣｒｅａｔｅＴｈｒｅａｄ（ＮＵＬＬＯ，ＴｈｒｅａｄＣｈｅｃｋＰｒｏｃ，（ＬＰＶＯＩＤ 牢）”ＭＡＩＮ．ＥＸＥ”，０，＆Ｔｈｒｅａｄｌｄ）；
万方数据
－－－——１４５·－－——
《农业网络信。窟，）２００８年第７期 交流园地
首先．我们在ＶＣ６中建立一个Ｗｉｎｄｏｗｓ Ａｐｐｌｉｃａ— ｔｉｏｎ空项目，项目名称为ＲＵＮＤＬＬ３２，之所以用这个 名称。是为了防止其他程序或用户认出我们用来监视 的程序，ＲＵＮＤＬＬ３２．ＥＸＥ是一个系统文件，并且系统 启动后一般会有同名进程在运行，对其他用户或程序 辨别真伪具有一定的迷惑性。
结束的进程及时恢复运行，较好地解决了这一问题；如能通过远程线程将程序作为线程隐藏在其它进程中，将更好的起到
防杀的作用。
关键词：进程；线程；木马；动态链接库
中图分类号：ＴＰ３０９
文献标识码：Ａ
文章编码：１６７２—６２５１（２００８）０７－０１４５—０２
Ｐｒｏｃｅｓｓ ｐｒｅｖｅｎｔｉｏｎ ａｎｄ ｋｉｌｌ ｉｎ Ｗｉｎ２０００／ＷｉｎＸＰ ｓｙｓｔｅｍ
（上接第１４６页）
当两个程序分别编译连接完成后．可以把它们复 制到同一个文件夹下进行测试，在运行其中的任意一 个程序后，会启动另外一个程序，并互相监控，如果 我们用任务管理器结束其中的一个进程。会发现被结 束的进程重新出现，这就证明我们的程序已经正确运 行了。 ５结束语
防止进程结束技术和方法有很多．而且这一技术 发展也相当快，本文仅从一个侧面加以讨论，希望通过
《农业网络信息》２００８年第７期 应用实践
境中，可能出现严重性能问题。所以在广域网中，可 以将广播报文的发送间隔调整大一些．以减少网络上 部比较的开销
当由于ＲＩＰ广播而产生网络性能问题时，可以考 虑使用“ｐｅｅｒ”命令配置ＲＩＰ报文的定点传送。定点 传送可用于在非广播网络支持ＲＩＰ。 ４ ＲＩＰ故障处理的一般步骤
１基本原理 我们知道。在ＷＩＮＤＯＷＳ系统下，可执行文件主
要是Ｅｘｅ和Ｃｏｍ文件。这两种文件在运行时都有一个 共同点，会生成一个独立的进程，从任务管理器中寻 找特定进程是我们发现木马的方法之一．同时木马也 可以查找并结束相应的杀毒进程．从而对我们的计算 机安全构成威胁．防止进程被恶意结束就成为大家共 同研究的问题。要想做到进程的防杀，有两个办法， 第一是使用让系统看不见你的进程，从而无法结束任 务；第二是不让进程能够被其他软件结束。本文以第二 种方法为例加以讨论，其基本原理是建立多个进程， 并且进程之间互相监视，如果发现某一进程被结束， 则通过另外存活的进程进行恢复．使进程达到防杀的
②可以看到ＲＩＰ在协议模式下的配置信息是否正 确。如是否引入其他协议的路由，如果引入，是以多 大的路由权值引入的；是否对路由进行过滤和按什么
规则过滤等。 ５结束语
目前。有许多使用中的路由协议比ＲＩＰ先进。虽 然这些协议取得成功，但ＲＩＰ仍是非常有用的路由协
议．前提是充分理解了其实际含义并能正确地使用
序。
ＤＷＯＲＤ Ｔｈｒｅａｄｌｄ； ＣｒｅａｔｅＭｕｔｅｘ（ＮｕＬＬ，ＴＲＵＥ，”ＡＤＶＥＲ，兀ＳＥ．ＥＸＥ”）；
：：ＣｒｅａｔｅＴｈｒｅａｄ（ＮＵＬＬ，０，ＴｈｒｅａｄＣｈｅｃｋＰｍｃ，（ＬＰＶＯＩＤ 幸）”ＲＵＮＤＬＬ３２．ＥＸＥ”，０，＆Ｔｈｒｅａｄｌｄ）；
（下转第１４８页）
万方数据
·－－——１４６·－——
（２）用ＣｒｅａｔｅＰｒｏｃｅｓｓ函数重新运行被其他程序结 束的进程。
（３）用ＣｒｅａｔｅＴｈｒｅａｄ ０函数建立监视进程所用的 线程，而主程序可以完成正常的功能。 ４具体实例
下面是在Ｖｉｓｕａｌ Ｃ＋＋６．０环境下编写的防止进程被 非法终止的程序编写方法：
（１）专用监视程序：
收稿日期：２００８—０４—１８；修回日期：２００８—０４—２５ 作者简介：刘天颖（１９８０一），男，助教，研究方向：智能检测与故障诊断。
Ａｂｓｔｒａｃｔ：Ｐｒｏｃｅｓｓ ｐｒｅｖｅｎｔｉｏｎ ａｎｄ ｋｉｌｌ ａｇｅ ｔｈｅ ｉｍｐｏｒｔａｎｔ ｔｅｃｈｎｏｌｏｇｉｅｓ ｗｈｉｃｈ ｔｈｅ ｐｏｉｓｏｎｏｕｓ ｓｏｆｔｗａｒｅ ａｎｄ ｔｈｅ ｔｒｏｊａｎ ｄｅｓｉｇｎｅｒ ｓｅｅｋｓ
ｕｎｃｅａｓｉｎｇｌｙ．Ｕｓｉｎｇ ｔｈｅ ｐｒｏｔｅｃｔｉｏｎ ｒｅｇｅｎｅｒａｔｉｏｎ ｔｅｃｈｎｏｌｏｇｙ，ｔｈｅ ａｒｔｉｃｌｅ ｒｅｓｔｏｒｅｄ ｔｈｅ ｆｉｎｉｓｈｅｄ ｐｒｏｃｅｓｓ ｂｙ ｍｏｎｉｔｏｒｉｎｇ ｍｕｔｕａｌｌｙ ｏｆ ｔｗｏ ｐｒｏｃｅｓｓ，ａｎｄ ｔｈｅｎ ｓｏｌｖｅｄ ｔｈｉｓ ｐｒｏｂｌｅｍ．Ｉｆ ｗｅ ｃａｎ ｈｉｄｅ ｔｈｅ ｐｒｏｃｅｓｓ ｉｎ ａ ｆａｒ－ｔｈｒｅａｄ ｐｒｏｃｅｄｕｒｅ，ｔｈｅ ｅｆｆｅｃｔ ｏｆ ａｇａｉｎｓｔ ｋｉｌｌｓ ｗｉｌｌ ｈｅ ｂｅｔｔｅｒ．
ＨＡＮＤＬＥ ｈＭｕｔｅｘ；
ｃｈａｒ串ｐＮａｍｅ＝（ｃｈａｒ木、１Ｐａｒａｍ； ｗｈｉｌｅ（ｔｒｌｌｅ） ｛
ｈＭｕｔｅｘ＝ＯｐｅｎＭｕｔｅｘ（ＭＵＴＥＸ＿ＡＬＬ＿ＡＣＣＥＳＳ，ＦＡＬＳＥ， ｐＮａｍｅ）；
ｉｆ（！ｈＭｕｔｅｘ） ｛
ＣｒｅａｔｅＰｒｏｃｅｓｓ ｐＮａｍｅ，ＮＵＬＬ，ＮＵＬＬ，ＮＵＬＬ，
目的。
２实现步骤 在下面的例子中，我们创建了两个应用程序，每
一个程序运行的时候建立一个线程。专门用于监视其 他的迸程，这样，在保证监视的时候，程序的主线程 还可以做其他的事情。另外，我们使用了互斥对象， 以便进程间的监视。 ３函数方法
（１）用ＯｐｅｎＭｕｔｅｘ ０函数检测是否被监视的进程 是否正在运行，这里用到的是一个取巧的方法，没有 去列举系统进程。降低了程序的复杂性。
然后在Ｓｏｕｒｃｅ Ｃｏｄｅ中添加一个名为ｍｏｎｉｔｏｒ．ｃｐｐ 的文件。
在此文件中写入如下代码：
＃ｉｎｃｌｕｄｅ＜ｗｉｎｄｏｗｓ．ｈ＞
ＤＷＯＲＤ ＷＩＮＡＰＩ ＴｈｒｅａｄＣｈｅｃｋＰｒｏｃ（ＬＰＶＯＩＤ １Ｐａｒａｍ） ｛ ＳＴＡＲＴＵＰＩＮＦＯ ｓｉ＝｛ｓｉｚｅｏｆ（ｓｉ））； ＰＲＯＣＥＳＳ ＩＮＦＯＲＭＡＴＩＯＮ ｐｉ＝（０）；
ＭＵＴＥＸ＿ＡＬＬ＿－ＡＣＣＥＳＳ，
｛
ＣｒｅａｔｅＰｒｏｃｅｓｓ ｐＮａｍｅ，ＮＵＬＬ，ＮＵＬＬ，ＮＵＬＬ，
ＦＡＬＳＥ，０，ＮＵＬＬ ＮＵＬＬ，＆ｓｉ，＆ｐｉ）； ＷａｉｔＦｏｒＳｉｎｇｌｅＯｂｊｅｃｔ（ｐｉ．ｈＰｒｏｃｅｓｓ，ＩＮＦＩＮＩＴＥ）； ＣｌｏｓｅＨａｎｄｌｅ（ｐｉ．ｈＰｒｏｃｅｓｓ）； ＣｌｏｓｅＨａｎｄｌｅ（ｐｉ．ｈＴｈｒｅａｄ）；
《农业网络信息）２００８年第７期 交流园地
Ｗｉｎ２０００ＭｉｎＸＰ 系统下进程的防杀
刘天颖１，张彬１，蔺维维２，石立桩２
（１．河北农业大学，河北保定０７１００１，２。天津供电公司，天津３００４５０）
摘要：进程的防杀是杀毒软件和木马设计者不断探求的重要技术，文章采用守护再生技术，通过两个进程相互监视，将被
在网络上测定ＩＰ连通性的最常用方法是Ｐｉｎｇ命 令。从源点向目的端发送Ｐｉｎｇ命令成功的话，意味着 所有物理层、数据链路层、网络层功能均正常运转。 而当ＩＰ连通失败．首先要检查的是源到目标间所有物 理连接是否正常、所有接口和线路协议是否运行。当 物理层和数据链路层检查无误后。我们将排错重点转 向网络层，一般故障处理的步骤如下：
）
，
ｅｌｓｅ
｛ ＣｌｏｓｅＨａｎｄｌｅ（ＩｌＭｕｔｅｘ）；
｝ Ｓｌｅｅｐ（１）； ）
） 函数功能同专用监视程序一样。
然后在ＣＭＡＩＮＡｐｐ：：ＩｎｉｔＩｎｓｔａｎｃｅ中的“ＡｆｘＥｎａｂｌｅ— ＣｏｎｔｒｏｌＣｏｎｔａｉｎｅｒ（）；”语句后面，插入如下代码，建 立我们的互斥变量并启动相应的ＲＵＮＤＬＬ３２监视程
使用ｄｉｓｐｌａｙ ｃｕｒｒｅｎｔ—ｃｏｎｆｉｇｕｒａｔｉｏｎ命令，查看接口 的信息和ＲＩＰ的相关配置。
①可以看到ＲＩＰ在接口模式下的配置信息是否正 确。如该接口是否收发ＲＩＰ报文，接口配置验证是什
么类型的．接口向外发送的报文是ＲＩＰｖｌ还是ＲＩＰｖ２， 是广播发送还是多播发送，接口在接收和发送路由时 是否增加附加的路由权。
ＦＡＬＳＥ，０，ＮＵＬＬ，ＮＵＬＬ，＆ｓｉ，＆ｐｉ）；‘ ＷａｉｔＦｏｒＳｉｎｇｌｅＯｂｊｅｃｔ（ｐｉ．ｈＰｒｏｃｅｓｓ，ＩＮＦＩＮＩＴＥ）； ＣｌｏｓｅＨａｎｄｌｅ（ｐｉ．ｈＰｒｏｃｅｓｓ）； ＣｌｏｓｅＨａｎｄｌｅ（ｐｉ．ｈＴｈｒｅａｄ）； ｝
ｅｌｓｅ
（ ＣｌｏｓｅＨａｎｄｌｅ（ｈＭｕｔｅｘ）；
（２）当发生路由表项丢失或其他问题，检查网络 设备的ＲＩＰ基本配置。
①使用ｄｉｓｐｌａｙ ｒｉｐ命令察看ＲＩＰ的各种参数设置。 看ＲＩＰ是否已经启动，相关的接口是否已经使用， ｎｅｔｗｏｒｋ命令设置的网段是否正确：
②用ｄｅｂｕｇｇｉｎｇ ｒｉｐ系列命令查看ＲＩＰ的调试信 息。每隔３０秒钟，在所指定运行ＲＩＰ的接口上。路 由器将报告ＲＩＰ路由更新报文的传输，ｄｅｂｕｇｉｎｇ信息 显示了发送每个路由更新报文的路由和度量值。通过
它。我们应根据不同的网络环境选择不同的路由协
议。
。／
参考文献 【ｌ】陈俊．ＲＩＰ路由协议技术【Ｊ】．铜仁职业技术学院学报，２００６，（２）：
１２—１４．
【２】田源．关于路由器的网络技术的实用田．消费导刊，２００７，（１２）：
１８６—１８７．
誉啦萍牙毡薄岔毪摹努弛鼢窖屿芦客毡皋笞岫鼢鹕鹕窜啦舀鹞鹕搴留的滞留屿薄苔磅净弩弛舜留现卑牙也昂留弛萍ｇ啦芦譬弛芦岔弛岛窖弛皋岔弛卑簪墙鞋蓼强舄牙弛净葶毡皋ｇ屿￥笞她≯弛芦
Ｋｅｙ ｗｏｒｄｓ：Ｐｒｏｃｅｓｓ；Ｔｈｒｅａｄ；Ｔｒｏｊａｎ；Ｄｙｎａｍｉｃ ｌｉｎｋ ｌｉｂｒａｒｙ