Empêche le processus utilisateur d'être tué avec "End Process" à partir de l'Explorateur de processus

Question

J'ai remarqué que GoogleToolbarNotifier.exe ne peut pas être supprimé à partir de l'Explorateur de processus. Il renvoie "Accès refusé". Il s'exécute en tant qu'utilisateur, il exécute la priorité "Normal" et il s'exécute à partir de Program Files.

Comment ont-ils fait?

Je pense qu'il pourrait y avoir un moyen de modifier l'ACL, ou marquer le processus comme «critique», mais je n'arrive pas à trouver quelque chose.

Mise à jour:

J'ai trouvé la réponse avec un bon peu de creuser. K. @ Alex a eu raison de cette autorisation de PROCESS_TERMINATE a été retiré du processus, mais je voulais fournir la réponse dans le code:

static const bool ProtectProcess() 
{ 
    HANDLE hProcess = GetCurrentProcess(); 
    EXPLICIT_ACCESS denyAccess = {0}; 
    DWORD dwAccessPermissions = GENERIC_WRITE|PROCESS_ALL_ACCESS|WRITE_DAC|DELETE|WRITE_OWNER|READ_CONTROL; 
    BuildExplicitAccessWithName(&denyAccess, _T("CURRENT_USER"), dwAccessPermissions, DENY_ACCESS, NO_INHERITANCE); 
    PACL pTempDacl = NULL; 
    DWORD dwErr = 0; 
    dwErr = SetEntriesInAcl(1, &denyAccess, NULL, &pTempDacl); 
    // check dwErr... 
    dwErr = SetSecurityInfo(hProcess, SE_KERNEL_OBJECT, DACL_SECURITY_INFORMATION, NULL, NULL, pTempDacl, NULL); 
    // check dwErr... 
    LocalFree(pTempDacl); 
    CloseHandle(hProcess); 
    return dwErr == ERROR_SUCCESS; 
} 

Answer 1

Lors de l'exécution de ma copie de ce a Deny ensemble sur la Terminate autorisation (Process Explorer le montre).

On suppose qu'ils appellent SetKernelObjectSecurity pour modifier/supprimer les listes de contrôle d'accès lors du chargement de leur processus.

Answer 2

Le code donné dans la question est trompeur. Il construit un DACL avec aucune entrée d'autorisation et une entrée de refus; cela pourrait avoir du sens si vous appliquiez la liste DACL à un fichier avec l'héritage activé, mais dans ce cas, l'entrée deny est redondante. Dans le modèle de contrôle d'accès Windows, si une liste DACL existe mais ne contient pas ACE correspondant, access is implicitly denied.

Voici ma version, qui applique un DACL vide, refusant tout accès. (Notez qu'il renvoie un code d'erreur plutôt que d'un booléen.)

DWORD ProtectProcess(void) 
{ 
    HANDLE hProcess = GetCurrentProcess(); 
    PACL pEmptyDacl; 
    DWORD dwErr; 

    // using malloc guarantees proper alignment 
    pEmptyDacl = (PACL)malloc(sizeof(ACL)); 

    if (!InitializeAcl(pEmptyDacl, sizeof(ACL), ACL_REVISION)) 
    { 
     dwErr = GetLastError(); 
    } 
    else 
    { 
     dwErr = SetSecurityInfo(hProcess, SE_KERNEL_OBJECT, 
        DACL_SECURITY_INFORMATION, NULL, NULL, pEmptyDacl, NULL); 
    } 

    free(pEmptyDacl); 
    return dwErr; 
} 

Answer 3

J'ai essayé de le faire avec l'aide de l'écriture des services Windows ..et puis faire quelques changements

est ici le lien vers écrire simple service windows http://code.msdn.microsoft.com/windowsdesktop/CppWindowsService-cacf4948

et nous pouvons mettre à jour le fichier Servicabase.cpp avec les deux énoncés suivants ..

fCanStop = FAUX; fCanShutdown = FALSE;