利用IShellExecuteHook接口对程序监控

最新推荐文章于 2021-04-03 17:25:41 发布
最新推荐文章于 2021-04-03 17:25:41 发布
阅读量5k 收藏 5
点赞数
分类专栏： 编程技术 文章标签： windows api hook 服务器 blog 测试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/laiboy/article/details/5755324
版权
本文介绍了如何利用IShellExecuteHook接口对Windows应用程序的启动进行监控和控制。通过注册COM服务器并在Execute方法中判断程序是否在黑名单内，从而实现对程序执行的拦截。在Windows 7和Vista上运行需要开启特定的注册表键值。
摘要由CSDN通过智能技术生成

利用IShellExecuteHook接口对程序监控

 

作者:赖锋(忙碌命)

Blog: http://blog.csdn.net/laiboy

      http://laiboy.cublog.cn

 

Windows的应用程序的调用大部分是利用ShellExecute()和ShellExecuteEx()这两个API调用，而这两个API最终调用的是CreateProcess()这个API，它们的作用是获取进程序足够的参数传给CreateProcess()。所以，只要监控这两个API的调用，就可以实现对程序启动的监视和控制。

Windows操作系统提供了IShellExecuteHook这个COM的接口，这是一个传统的Windows操作系统的HOOK模型中的一个接口。

注册IShellExecuteHook函数

IShellExecuteHook是一个COM服务器，这个COM

最低0.47元/天 解锁文章
JonnyLai
关注
  • 0
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
[Win32] ShellHook的实现
zuishikonghuan的博客
11-08 4092
启动Windows，加载Win32子系统，登录一个用户会话后，会启动Shell程序，默认是explorer.exe，就是我们看到的桌面和任务栏等，其实Shell是可以自定义的，我们完全可以自己编写一个Shell取代系统的Shell。下面我们来看看编写Windows Shell的核心技术之一——ShellHook。 ShellHook是什么？当一个窗口创建、激活、关闭时，explorer总
Windows Hook经验总结之四：COM组件Hook原理及实践
ITer之家
11-17 4961
前面已经介绍过API的hook方法及具体实践，本文则讲述COM组件的Hook方式。COM组件可简单理解为一个二进制可执行程序或DLL，内部包含一系列的接口和函数。Hook COM本质上也是进行函数地址切换，让它跳到我们自定义的函数执行我们想要的功能。但这一切同样是发生在系统架构下，自定义函数的执行时机不由我们触发。
易语言api hook ShellExecuteA 执行程序
511遇见
05-25 3533
ShellExecute的功能是运行一个外部程序(或者是打开一个已注册的文件、打开一个目录、打印一个文件等等)，并对外部程序有一定的控制,和CreateProcessA比起来没有太复杂，可以简单理解为易语言里的执行。 ShellExecuteA .版本 2 .DLL命令 ShellExecuteA, 整数型, "shell32.dll", "ShellExecuteA", , 查找与指定文件关联在一起的程序的文件名,并执行相关操作，成功则返一个大于31的值。 .参数 hwnd, 整数型, , 用来指
ShellExecuteHook
云里雾里的专栏
02-05 2972
　【转：laiwuyingas 木马技术发展趋势回顾】 经常关注安全的用户或许会见到过"ShellExecuteHook"，如今许多木马和恶意程序都在用户层使用它作为启动方式了，但这是一种什么技术，大家可能又会迷惑不解了，究竟这个技术和木马有什么联系?其实这是一种正常的系统功能，名为"执行挂钩"，操作系统厂商开发它的初衷十分简单：为程序提供一个额外的通知功能，以实现系统中任何程序启动时都提前让使用了"执行挂钩"的程序收到新程序的启动通知，简单的说，这是操作系统在出于某种程序交互需求的考虑
关于进程劫持注入的一点分析与思考
輚至消亡
04-03 2471
1. 劫持进程实现注入 今天我尝试对win10 x64上的计算器进程进行进程劫持注入。 劫持进程实现注入要执行如下步骤: 以挂起方式启动目标进程 采用其他注入方式将DLL注入目标进程 继续目标进程的主线程使目标进程继续运行 这种注入方式的优点: 被注入的进程来不及做任何防御就会被注入。 因为以挂起方式启动进程，该进程的地址空间内除了目标进程的exe模块和ntdll.dll模块外 还来不及解析导入表将所需dll全部导入，也就是说作为防护的dll模块或者线程可能也来不及导入和执行，这大大提高了注入
Delphi深度探索之外壳执行操作记录器
01-05
标题与描述均提到了“Delphi深度探索之外壳执行操作记录器”，这表明文章将深入探讨在Delphi环境中实现对外壳执行操作（如通过ShellExecute或ShellExecuteEx函数调用外部程序）的记录机制。虽然标签为空，但根据标题...
用C＃创建SHELL扩展
09-06
由于C#不像C++可以直接通过`#include "shlguid.h"`导入`IShellExecuteHook`接口，因此需要手动声明接口的信息: ```csharp [ComImport, InterfaceType(ComInterfaceType.InterfaceIsIUnknown), Guid("000214FB-0000-...
WinXP下监视进程的创建
07-14 565
在winxp下进程的创建无非是使用System,Winexec,ShellExecute,CreateProcess等库函数和系统API.但是为了实现对进程创建的监视,我们一般都是拦截这些api,这样工作量会很大.而实际上这些函数最终都会调用ntdll.dll所导出的ZwCreateProcessEx函数,由他填入服务索引号,并软中断进入内核模式.只要Hook了该函数就能有效地从用户层监视进程的创
外壳执行操作记录器
08-28 134
记录外壳的活动 记录外壳活动有很多好处，比如当需要监控用户的行为，回溯系统崩溃前的过程。实现这一功能的关键工具相当简单，它就是COM接口 IShellExecuteHook。编写一个实现了这一接口的COM对象后，再在系统中注册，就可以容易地控制并影响Windows外壳的运行。 Windows 98和Windows 2000都支持IShellExecut...
ShellExecuteHook 示例
05-16
利用 ShellExecuteHook 以无进程方式自动运行； 利用 ShellExecuteHook 以无进程方式自动运行
ShellExecuteHooks
07-03
利用Com技术实现的对ShellExecute和ShellExecuteEx的Hook.
APIHook ShellExecute你双击快捷方式,我就能记录下来.你双击的任何快捷方式我都知道.zip
04-04
记录双击过的快捷方式 你双击快捷方式,我就能记录下来.你双击的任何快捷方式我都知道
Shell - 通过hook文件后门实现应用的自动启停
小工匠
09-28 8709
文章目录启动脚本daemon 启动脚本 #!/bin/bash set_network_param() { sysctl -w fs.file-max=999999 sysctl -w net.ipv4.tcp_tw_reuse=1 sysctl -w net.ipv4.tcp_fin_timeout=15 sysctl -w net.core.netdev_max_backlog=4096 sysctl -w net.core.somaxconn=40960 sysctl -w net.
钩子技术、HOOK技术应用（二）
yc_8301的专栏
11-22 992
以下转载自：http://hi.baidu.com/vbcs003/blog/item/3cc7eb4b23d2a1f183025c2c.html HOOK专题--------------------------------------------------------------------------------目录 基本概念 运行机制 钩子类型 作者--------------
VB实现SHELL扩展之接口参数获取失败探析
叶帆工作室
08-23 7779
前几天有位网友问我用VB实现SHELL扩展的问题，这个问题比较有意思，虽然VB较少使用了，但是用VB开发COM组件还是比较方便的（前几天用EVC开发COM组件，相比起来，用VB还是比较幸福的），所以便进行了深入的研究。Shell扩展有多种，而我们目前所关注的就是实现“IShellExecuteHookW ”接口的扩展，这个接口功能很强劲，只要是window加载相应程序，必须要过这一关，这样你就
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值