Hola, hay varios programas de protección (ej: anti-executable) que usan un system file filter para evitar que el usuario ejecute programas no autorizados. Hay alguna forma de hackear esta protección?

Primero una corrección: no es system file filter sino file system filter.

Nosferatu:
 Un system file filter es un driver, no un proceso. Es lo mismo que usan los antivirus para protección on the fly. Básicamente hace algo con los archivos antes de ejecutarlos, guardarlos, etc. Un antivirus lo escanea antes de ejecutarlo, otro programa podría usarse para cifrar información antes de guardar los archivos y así trabajar normalmente sin intervención del usuario.
 Lo que hace este ejemplo (anti-executable) es comparar el archivo que el usuario quiere ejecutar con una basa de datos con los hash de los archivos autorizados. Si no lo encuentra no lo ejecuta. Esta base de datos está en un directorio protegido contra acceso. El programa usa un servicio con flags de seguridad alta para ejecutar un programa con contraseña que le permite al usuario desactivar el filtro. Matar estos procesos no interrumpe el filtro.
 Ya tengo identificado el sys pero no puedo tocarlo porque está protegido contra acceso como no puedo ejecutar ningún programa especial para intentar algo.
 El programa se desinstala ejecutando el instalador (un archivo). Pero el programa sólo te permite desinstalar si el filtro está desactivado. Con un debugger lo puedo interceptar el punto donde verifica si está desactivado y hacerle pensar que lo está; y así desinstalarlo. Pero la máquina donde quiero trabajarlo no tiene ningún debugger.
 El instalador está empacado, así que si lo desempaco y lo modifico en otra máquina no funciona porque cambia el hash del instalador y ya no me permite ejecutarlo.

Parece un rompecabezas...
Alguna idea?

otra posible solucion seria borrar el archivo sys que ya tienes identificado, ¿como?, pues tendrias que tener un diskette de inicio de win98 y arrancar el pc desde alli, asi tendras acceso a todos los archivos del disco duro y no te pondra ningun pero para borrarlos.

esto estaria muy bien saberlo para despues editar la entrada del registro y evitar que se ejecute.
lo mas dificil en este segundo caso seria pillar la contraseña del administrador, cosa que solo es cuestion de copiar la SAM y el archivo system(este segundo por si estan protegidos por syskey).

zhyzura:

 Lo siento. Es windows XP y además no puedo bootear desde otro dispositivo, la configuración de inicio tiene password.

 Otra cosa, tengo acceso a la cuenta de administrador. Sin embargo cuando quiero borrar el archivo sys, entrar al directorio con la base de datos o borrar las claves de registro que mencionan al filtro me tira un error de acceso denegano.
 Lo bueno es que descubrí que borrando el sys se desactiva el filtro.

Una idea sería crear un archivo msi que es un script que corre el windows installer y ponerle un comando (típico en instaladores) que borre el archivo cuando arranca el sistema.

no estaria mal que explicaras el que

   saludos,
       pepel

P.D. y no te has divertido buscandolo???