프로세스 탐색기 응답은 한 번만 작동하지만 컴퓨터를 다시 부팅 한 후에도 적용됩니다. 이를 위해 PowerShell을 사용할 수 있습니다.
Param (
[string[]]$ProcessNames,
[string]$DenyUsername
)
$cscode = @"
using System;
using System.Security;
using System.Security.AccessControl;
using System.Security.Principal;
using System.Runtime.CompilerServices;
using System.Runtime.InteropServices;
public class ProcessSecurity : NativeObjectSecurity
{
public ProcessSecurity(SafeHandle processHandle)
: base(false, ResourceType.KernelObject, processHandle, AccessControlSections.Access)
{
}
public void AddAccessRule(ProcessAccessRule rule)
{
base.AddAccessRule(rule);
}
// this is not a full impl- it only supports writing DACL changes
public void SaveChanges(SafeHandle processHandle)
{
Persist(processHandle, AccessControlSections.Access);
}
public override Type AccessRightType
{
get { return typeof(ProcessAccessRights); }
}
public override AccessRule AccessRuleFactory(System.Security.Principal.IdentityReference identityReference, int accessMask, bool isInherited, InheritanceFlags inheritanceFlags, PropagationFlags propagationFlags, AccessControlType type)
{
return new ProcessAccessRule(identityReference, (ProcessAccessRights)accessMask, isInherited, inheritanceFlags, propagationFlags, type);
}
public override Type AccessRuleType
{
get { return typeof(ProcessAccessRule); }
}
public override AuditRule AuditRuleFactory(System.Security.Principal.IdentityReference identityReference, int accessMask, bool isInherited, InheritanceFlags inheritanceFlags, PropagationFlags propagationFlags, AuditFlags flags)
{
throw new NotImplementedException();
}
public override Type AuditRuleType
{
get { throw new NotImplementedException(); }
}
}
public class ProcessAccessRule : AccessRule
{
public ProcessAccessRule(IdentityReference identityReference, ProcessAccessRights accessMask, bool isInherited, InheritanceFlags inheritanceFlags, PropagationFlags propagationFlags, AccessControlType type)
: base(identityReference, (int)accessMask, isInherited, inheritanceFlags, propagationFlags, type)
{
}
public ProcessAccessRights ProcessAccessRights { get { return (ProcessAccessRights)AccessMask; } }
}
[Flags]
public enum ProcessAccessRights
{
STANDARD_RIGHTS_REQUIRED = (0x000F0000),
DELETE = (0x00010000), // Required to delete the object.
READ_CONTROL = (0x00020000), // Required to read information in the security descriptor for the object, not including the information in the SACL. To read or write the SACL, you must request the ACCESS_SYSTEM_SECURITY access right. For more information, see SACL Access Right.
WRITE_DAC = (0x00040000), // Required to modify the DACL in the security descriptor for the object.
WRITE_OWNER = (0x00080000), // Required to change the owner in the security descriptor for the object.
PROCESS_ALL_ACCESS = STANDARD_RIGHTS_REQUIRED | SYNCHRONIZE | 0xFFF, //All possible access rights for a process object.
PROCESS_CREATE_PROCESS = (0x0080), // Required to create a process.
PROCESS_CREATE_THREAD = (0x0002), // Required to create a thread.
PROCESS_DUP_HANDLE = (0x0040), // Required to duplicate a handle using DuplicateHandle.
PROCESS_QUERY_INFORMATION = (0x0400), // Required to retrieve certain information about a process, such as its token, exit code, and priority class (see OpenProcessToken, GetExitCodeProcess, GetPriorityClass, and IsProcessInJob).
PROCESS_QUERY_LIMITED_INFORMATION = (0x1000),
PROCESS_SET_INFORMATION = (0x0200), // Required to set certain information about a process, such as its priority class (see SetPriorityClass).
PROCESS_SET_QUOTA = (0x0100), // Required to set memory limits using SetProcessWorkingSetSize.
PROCESS_SUSPEND_RESUME = (0x0800), // Required to suspend or resume a process.
PROCESS_TERMINATE = (0x0001), // Required to terminate a process using TerminateProcess.
PROCESS_VM_OPERATION = (0x0008), // Required to perform an operation on the address space of a process (see VirtualProtectEx and WriteProcessMemory).
PROCESS_VM_READ = (0x0010), // Required to read memory in a process using ReadProcessMemory.
PROCESS_VM_WRITE = (0x0020), // Required to write to memory in a process using WriteProcessMemory.
SYNCHRONIZE = (0x00100000), // Required to wait for the process to terminate using the wait functions.
}
"@
Add-Type -TypeDefinition $cscode
$ProcessNames | % {
Get-Process -ProcessName $_ | % {
$handle = $_.SafeHandle
$acl = New-Object ProcessSecurity $handle
$ident = New-Object System.Security.Principal.NTAccount $DenyUsername
$ace = New-Object ProcessAccessRule ($ident, 'PROCESS_TERMINATE, PROCESS_SUSPEND_RESUME, WRITE_DAC', $false, 'None', 'None', 'Deny')
$acl.AddAccessRule($ace)
$acl.SaveChanges($handle)
}
}
이 스택 오버플로 답변을 기반으로 합니다 . 기본적으로 보호 할 프로세스 목록과 사용자를 보호 할 프로세스 목록을 제공하며 프로세스의 ACL을 적절히 조정합니다. A와 저장 .ps1(어딘가 사용자가 읽고 쓸 수는 없지만) 파일, 다음 사용자의 시작에서 이런 일을 포함하는 배치 파일을 넣어 :
powershell \path\to\script.ps1 ('snippingtool', 'mspaint') 'Guest' -executionpolicy bypass
즉 보호 snippingtool.exe와 mspaint.exe에서합니다 (자르는 도구 및 페인트는) 고객에 의해 살해된다.
이는 프로세스가 시작된 후에 실행되어야합니다 . PowerShell 스크립트 sleep 10가 Param차단 된 후 또는 그 이상 을 추가해야 할 수도 있습니다 . 완료되면 작업 관리자를 사용하여 해당 프로세스를 종료하려고하면 다음이 발생합니다.
또한 테스트하는 계정이 관리자이거나보다 정확하게 계정을 보유한 경우에는 아무 것도 유용하지 않습니다 SeDebugPrivilege.
창에서 X를 클릭하거나 응용 프로그램 자체의 닫기 기능을 사용하면 모든 프로세스가 실행 중지를 자유롭게 결정할 수 있으므로 프로세스가 여전히 종료됩니다. 다른 답변에 설명 된대로 알림 영역을 숨겨야 할 수도 있습니다. 또한 이러한 중요한 프로세스는 게스트 사용자로 실행되므로 해당 사용자는 프로세스 개체의 소유자이며 ACL을 다시 조정할 수 있거나 PROCESS_VM_WRITE프로세스의 메모리를 낙서하고 충돌하는 기능을 사용할 수 있습니다. 빈 ACE를 추가 OWNER RIGHTS하고로 변경 'PROCESS_TERMINATE, PROCESS_SUSPEND_RESUME, WRITE_DAC'하여 해결할 수 있습니다 'PROCESS_ALL_ACCESS'.
GPO를 통해 작업 관리자에 대한 액세스를 거부하면 사용자가 작업 관리자를 사용하지 못하게되며 가장 간단한 솔루션이지만 taskkill그룹 정책을 준수하지 않는 자체 프로그램 (또는 )을 실행하는 데 방해가되지는 않습니다. 방어하려는 프로세스가 방어하려는 프로세스와 다른 사용자로 실행 된 것이 가장 좋습니다.
물론, 손님이 이러한 다양한 "보호"를 우회하기 위해 그 모든 문제에 기꺼이 간다면 기술적 인 것보다 사회적 문제가 더있을 수 있습니다.
