Мастера DELPHI (документация, исходники, скачать)

Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG

« предыдущая ветвь | форум | следующая ветвь »

CreateRemoteThread???

Страницы: < 1 2 3 4 5 6 7 8 >
volser © (2005-01-20 19:21:00)
Мне нужно запустить поток в чужом процесе.

Как работать с функцией
CreateRemoteThread(hProcess,nil, 0, @myProc, nil, 0,ThreadID)

myProc - доступна только в моем адресном пространстве. Как сделать так что бы она была доступна и в hProcess?

Kerk (2005-02-01 14:17:00) [41]
Piter © (01.02.05 14:13) [110]
не понял. Можно поподробнее?

ну я же сказал, что это просто предположение. имхо проще ловить момент внедрения, чем ПРИ КАЖДОМ коннекте пересчитывать контрольные суммы.

kaZaNoVa (2005-02-01 14:15:00) [42]
Piter © (01.02.05 14:13) [110]
ну, openprocess перехвати, что сложного то? )))

Piter (2005-02-01 14:13:00) [43]
Kerk © (01.02.05 12:42) [107]
Факт внедрения в процесс файрволы определяют перехватывая АПИ

не понял. Можно поподробнее?

Имхо, файерволы просто получают список всех модулей программы, которые она использует. После чего рассчитывает контрольную сумму этих модулей на диске.

И по полученным даным файеры и пишут про изменения...
Внедряться здесь, по-моему, совсем не обязательно. Что перехватывать?

Kerk (2005-02-01 13:07:00) [44]
http://www.maxpatrol.com/defeating-xpsp2-heap-protection.htm

xShadow (2005-02-01 12:59:00) [45]

> xShadow © (29.01.05 22:31) [103]

Моя идея такова, что глюки начинаются из-за фаервола, потому как программа отрабатывает без фаервола.

Kerk (2005-02-01 12:42:00) [46]
xShadow © (29.01.05 22:31) [103]
В общем рузeльтаты экспериментов на WinXP SP2 c системой DEP настроеной на все приложения. Метод Kerk'a работает без проблем

DeadMeat сказал, что мой код не работает там. Не стыковочка.. так все-таки работает или нет?

Piter © (30.01.05 14:56) [106]
ну и что? А для этого им нужно внедряться в процесс?

Очередное мое скромное предположение. :)
Факт внедрения в процесс файрволы определяют перехватывая АПИ.. а как иначе? :) Хотя это легко проверить можно.. только лень :)

Piter (2005-01-30 14:56:00) [47]
Piter © (30.01.05 2:34) [104]
у файерволов есть опция как наблюдения за приложениями и за изменениями в них

ну и что? А для этого им нужно внедряться в процесс?

Я просто не понял фразы:

проверял Outpost и ZoneAlarm тут начинаются чудеса... Вылетают при попытке внедрения сразу же

кто вылетают? Файерволы?

xShadow (2005-01-30 12:35:00) [48]

> Piter © (30.01.05 02:34) [104]

Возможно я не правильно описал, у файерволов есть опция как наблюдения за приложениями и за изменениями в них. А внедрения в чужой процес пробую я.

Piter (2005-01-30 02:34:00) [49]
xShadow © (29.01.05 22:31) [103]
Вылетают при попытке внедрения сразу же.

А что, файерволы разве внедряются в приложения? Зачем им это?

xShadow (2005-01-29 22:31:00) [50]
Оффтоп:
В общем рузeльтаты экспериментов на WinXP SP2 c системой DEP настроеной на все приложения. Метод Kerk'a работает без проблем и метод kaZaNoVa тоже работает, как ни странно. В то время как половина других приложений перестала работать в частности Опера.
Отдельная история когда работает FireWall накрученный на всю, проверял Outpost и ZoneAlarm тут начинаются чудеса... Вылетают при попытке внедрения сразу же.
Что касается UPX и иже с ним то пакеры арудуют в своём адресном пространстве а это не запрещено.
Пока всё.

DeadMeat (2005-01-27 19:57:00) [51]

> А как же UPX ы всякие ?

Насколько я понял, по умолчанию DEP проверяет только "свои", виндузовые проги.. В смысле "родные" процессы, которые являются "родными" для Windows. Но его можно настроить и на проверку всех процессов в системе. Но изначально, он держит только "свои"... К примеру Explorer из их числа.

---
...Death Is Only The Begining...

alpet (2005-01-27 17:38:00) [52]
когда то решал эту проблему. Использовал частично Hook's и запись в процесс, а вот CreateRemoteThread не пользовал.
В архиве http://alpet.hotmail.ru/wgcsrc.zipможно посмотреть файл chspy.pas в котором через отладку грузится, и chhook.pas в котором через ловушки.

kaZaNoVa (2005-01-27 15:59:00) [53]
Kerk © (27.01.05 15:26) [97]

> ты про формат PE почитай. у секции есть физический
> размер, а есть виртуальный. разные вещи.

я когда экспериментировал, физический где-то был 15кб, и один из "виртуальных" 45кб - если не путаю ..

Игорь Шевченко (2005-01-27 15:35:00) [54]
Удалено модератором

kaZaNoVa (2005-01-27 15:31:00) [55]
Удалено модератором

Kerk (2005-01-27 15:26:00) [56]
Piter © (27.01.05 15:18) [96]

ты про формат PE почитай. у секции есть физический размер, а есть виртуальный. разные вещи.

Piter (2005-01-27 15:18:00) [57]
Kerk © (27.01.05 0:44) [95]
насколько я представляю (не уверен). он распаковывает код в секции PE,

это как это? В секции зашифрованного EXE'шника?!
Но как минимум расшифрованный EXE'шник будет занимать больше места, он туда просто не влезет!

Kerk (2005-01-27 00:44:00) [58]
Piter © (27.01.05 0:41) [94]
как это? А куда же он распаковывает оригинальный EXE'шник?

насколько я представляю (не уверен). он распаковывает код в секции PE, которые помечены как содержащие код.

Piter (2005-01-27 00:41:00) [59]
Kerk © (27.01.05 0:15) [91]
он препятствует выполнению кода, находящегося в области данных

хм. грамотно...

Значит, функция CreateTemoteThread считай недееспособна для внедрения?

Kerk © (27.01.05 0:28) [93]
а он не выполняет код в области данных

как это? А куда же он распаковывает оригинальный EXE'шник?

P.S. А где настройки этой функции в XP SP2?

Kerk (2005-01-27 00:28:00) [60]
GuAV © (27.01.05 0:26) [92]
А как же UPX ы всякие ?

а он не выполняет код в области данных.

Страницы: < 1 2 3 4 5 6 7 8 >

Наверх

	« предыдущая ветвь \| форум \| следующая ветвь »